Associate Partner Mary-Jo de Leeuw op RTLZ over de gevaren van connected toys!

Connected toys worden steeds goedkoper, en daardoor voor iedereen bereikbaar. Maar voor de veiligheid ervan haalt iedereen zijn schouders op, zegt Mary-Jo de Leeuw. Ze is oprichter van het platform Internet of Toys, dat drie jaar lang onderzoek deed. “Iedereen trekt zijn handen er vanaf, dat vind ik heel zorgelijk.”

Als ze in de speelgoedwinkel staat, zegt ze weleens tegen andere ouders: ‘weet je wel zeker dat je die wilt kopen?’ Ze lacht erbij, maar haar boodschap is serieus. Na drie jaar onderzoek concludeert haar platform Internet of Toys dat het goed mis is met connected toys, speelgoed dat met het internet is verbonden.

De Leeuw en haar compagnon Anouk Vos onderzochten een hele reeks producten en de bijbehorende apps. Denk aan poppen die onthouden wat je zegt en kattenoren die bewegen op basis van je hersenactiviteit.

Daarbij moesten ze stellen dat er met allemaal iets mis was. “We vonden privacyissues die echt tenenkrommend waren. Waarom heeft zo’n app toegang nodig tot je contactgegevens? En waarom worden jouw data ter beschikking gesteld aan derden? Het is bovendien helemaal niet duidelijk of je gegevens opgeslagen worden op een veilige plek.”

Schattig… of toch niet

Aan aandacht voor hacks en datalekken is geen gebrek. Vorige week nog haalde een grote hack van camera’s de wereldwijde media. “Daarvoor worden boetes uitgedeeld en kunnen mensen gestraft worden. Maar internet of toys, dat vind iedereen vooral leuk en schattig. Dat zo’n pop zo lek is als een mandje en iedereen bij je gegevens kan komen, daarvan wordt gezegd: boeien.”

Dat connected toys helemaal niet zo schattig zijn, blijkt uit haar demo van de blonde pop Cayla. De Leeuw gebruikte het onschuldig ogende popje op een netwerkbijeenkomst voor oud-topmilitairen, waar ze haar zo had geprogrammeerd dat ze in het Arabisch doodswensen uitsprak. “Dat maakte meteen duidelijk waarom mijn verhaal belangrijk was. Cayla is het symbool geworden van de strijd die ik met mijn platform Internet of Toys voer.”

Voorwaarden zijn vaak ‘shocking’

Bij haar thuis komen er een heleboel dingen niet in. Op haar zwarte lijst staat om te beginnen alles van VTech. “De hacks bij die fabrikant vorig jaar toonden aan dat er van alles mis is met de veiligheid van de producten. De reactie van VTech was net zo tekenend als het ontkennen van een lek: er zou een update komen. Maar als al je gegevens op straat liggen, is een update inhoudsloos. Dat is net zoiets als naar de EHBO gaan met een gebroken arm en dat de arts zegt: neem maar een kopje suiker.”

Huize De Leeuw ligt niet vol met houten speelgoed: haar kinderen mogen gewoon spelen met een iPad en Xbox. Maar apparaten die aanwijsbaar data doorspelen naar andere partijen, die komen er niet in. “Ik check alle algemene voorwaarden van apparaten die in huis komen. Het is best wel shocking wat daar in staat. Je moet je echt goed afvragen waarom je je gegevens zou weggeven aan een volstrekt onbekende.”

Vandaag wonen we in Islamabad

Daarbij leert De Leeuw haar kinderen hetzelfde als ze volwassenen aanraadt: vul – als je dan toch een gebruikersprofiel moet aanmaken – altijd een nepnaam, -geboortedatum en -adres in. “Mijn kinderen maken er al grapjes over: vandaag wonen we in Islamabad.”

Nog zo een: gebruik nooit overal hetzelfde wachtwoord. “Dat is vragen om problemen. Als er op de ene plek een lek is, kun je met een beetje zoekwerk op nog veel meer plekken dingen uithalen met jouw wachtwoord.”

De eerste dode

Wat De Leeuw het meest is opgevallen na drie jaar onderzoek en het voeren van talloze gesprekken, is dat niemand zich verantwoordelijk lijkt te voelen voor veiligheids- en privacyproblemen met connected toys. “De Consumentenbond, Autoriteit Persoonsgegevens, ministeries; iedereen zegt: dit is niet mijn werkveld. Of nog erger, dan krijg je de reactie: wie ligt daar nou wakker van? Iedereen trekt zijn handen er vanaf, dat vind ik heel zorgelijk.”

De overheid geeft ook niet het goede voorbeeld, vindt De Leeuw. “Er is net een rapport uitgebracht door de Cyber Security Raad, die de overheid gevraagd en ongevraagd moet adviseren. Onder het kopje ‘Internet of Things’ is de conclusie: de wereld wordt steeds digitaler. Daar moet ik van huilen. Wat gaan we dóen met z’n allen? Zelfs de overheid komt na al die jaren niet verder dan het advies ‘stop niet zomaar een usb-stick in je laptop’.”

Wanneer er écht verschil komt? “Als de eerste dode valt, zeggen Anouk en ik altijd.”

Keurmerk op speelgoed

Haar Internet of Toys is wél klaar voor de volgende stap. Er lopen gesprekken met publieke en (internationale) private partijen om standaarden te ontwikkelen. Standaardisatie van connected speelgoed is haar droom: “Van alles wat in de cloud wordt opgeslagen, de authenticiteit verifiëren en veiligheid waarborgen.”

Voor een keurmerk denkt ze aan het gebruik van duidelijke symbolen. “Vergelijkbaar met verkeersborden: ‘Dit speelgoed maakt gebruik van bluetooth, een app, de cloud’, et cetera. Geen mening eraan verbinden, maar mensen erop wijzen wat het doet.”

Pitchen voor opschaling

Het ontbreekt alleen nog aan slagkracht: mensen en geld. Een pitch die De Leeuw vandaag doet bij een ministerie, zou daar wel eens verandering in kunnen brengen. “We willen ons testlab uitbreiden en het team opschalen.”

De Leeuw hoopt een stevige club neer te zetten: ethical hackers die nog meer speelgoed testen, juridisch adviseurs die onderzoeken waar het misgaat in wet- en regelgeving en relatiemanagers die bijvoorbeeld met fabrikanten praten. “Als dat lukt, kunnen we een voorzet doen voor een nieuwe standaard. Het probleem benoemen en daadwerkelijk een oplossing aandragen. Dat is de enige manier om de digitale wereld echt veiliger te maken.”

Bron • RTL Z / Karin Husslage

http://www.rtlz.nl/techweek/connected-toys-zijn-vaak-zo-lek-als-een-mandje