⚠️ I PERICOLI degli SMART TOYS, i giocattoli connessi a INTERNET

Immaginate di aver comprato un peluche che parla, un giocattolo di nuova generazione dotato di intelligenza artificiale che risponde alle domande che gli vengono fatte e che si ricorda il nome del bambino a cui viene regalato. Lo mettete sotto l'albero come regalo di Natale per vostro figlio che, inutile dirlo, lo adora fin dal primo momento. Parla con lui, gli fa domande, in breve diventa il suo giocattolo preferito. Un giorno la conversazione fra il bambino e il peluche vira su un argomento un po' particolare che riguarda dei fiammiferi. Vostro figlio non sa dove poter trovare dei fiammiferi, ma è il peluche a dirglielo e gli spiega anche come può accenderli. Questo non è uno scenario che ho creato io per aprire il video, per fare effetto wow, è quello che hanno documentato dei ricercatori nel novembre del 2025. Il peluche in questione si chiama Kumma, costa $99 e la sua risposta alla domanda sui fiammiferi è la meno grave fra quelle che ha dato ai ricercatori. Ma ci arriviamo. Inutile dire comunque che la pericolosità dei giocattoli smart non comincia con l'avvento dell'intelligenza artificiale, comincia 10 anni fa con oggetti molto più stupidi e problemi molto più banali. Ma come sempre, per capire bene di cosa si tratta, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video in cui parleremo degli smart toys, i giocattoli con funzionalità più o meno avanzate che ormai si trovano sempre più frequentemente nelle case. Quando parlo di smart toys parlo di giocattoli che hanno dentro un modo per collegarsi a internet o ai telefoni dei genitori tramite anche Bluetooth, quindi non solo tramite rete internet, e che spesso sono dotati anche di microfoni, altoparlanti e webcam. Praticamente stiamo parlando di Imo. Il video di oggi è dedicato a te, giusto perché tu lo sappia. Se i primi giocattoli di questo tipo riuscivano a dire sì e no a 4 frasi in croce preimpostate, oggi con l'intelligenza artificiale sono invece in grado di sostenere intere conversazioni e di ricordarsi anche cosa è stato detto in precedenza. Si parla quindi di giocattoli che si devono connettere per forza a internet perché devono capire cosa è stato detto, elaborare una risposta e pronunciarla, e sarebbe impossibile fare questo interazioni con un computerino inserito dentro al giocattolo. Per capirci, l'orsacchiotto che vostro figlio abbraccia è di fatto un guscio dotato di microfono, mentre la sua testa pensante sta in un data center che si trova presumibilmente dall'altra parte del mondo. Ora, un giocattolo che ha una connessione internet o Bluetooth è una miniera d'oro per la quantità di informazioni che raccoglie e che si possono rubare. E la cosa non è sfuggita a nessuno. Non è sfuggita sicuramente ai malintenzionati, come vedremo poco, ma nemmeno i ricercatori di sicurezza, che avevano invece lo scopo di rendere le famiglie più consapevoli di quello che acquistavano. I primi a metterci le mani, a trovare vulnerabilità, sono stati proprio i ricercatori. E il giocattolo in questione era una bambola chiamata Kyla. My Friend Kyla della Genesis Toys funzionava così: il bambino le faceva una domanda, la bambola la trasmetteva a un'app sullo smartphone, l'app cercava la risposta online e la rimandava a Kyla, che poi la pronunciava ad alta voce. Nel dicembre del 2016 l'Associazione dei consumatori norvegese ha pubblicato un report intitolato Toy Fail dopo aver fatto analizzare 3 giocattoli connessi da un laboratorio esterno. Su Kaila hanno trovato una falla banalissima: l'accoppiamento Bluetooth alla bambola non chiedeva nessun tipo di PIN o codice di associazione, quindi chiunque si trovasse nel raggio del segnale poteva collegare il proprio telefono alla bambola senza che in casa se ne accorgesse nessuno. E voi potrete dire, vabbè, Non è un problema così grosso se qualcuno si connette via Bluetooth a una bambola, no? Il problema invece è che chi era connesso via Bluetooth poteva ascoltare tutto l'audio catturato dai microfoni della bambola e poteva addirittura far uscire la propria voce dall'altoparlante di Kyla. In sostanza, un malintenzionato poteva appostarsi sotto casa di un bambino, ascoltare quello che faceva e parlargli attraverso un suo giocattolo. E voi allora potrete dire: sì, Ma il Bluetooth ha un raggio d'azione misero, già da una stanza all'altra prende poco, quindi uno doveva praticamente essere nella stessa casa per poterlo fare. Questo è vero se parliamo di un normale smartphone, ma con un'antenna direzionale la portata si allunga parecchio e, giusto per capirci, è un oggetto che si trova a 16 euro su Amazon. Quindi il pericolo era meno astratto di quello che pensiamo. La cosa più assurda è che nel 2016, quando esce questo report, erano già note le falle della bambola. Un ricercatore inglese, Ken Munro di Pentest Partners, l'aveva già mostrata pubblicamente nel gennaio del 2015. Loro fra l'altro avevano scoperto che Kayla aveva una lista di parole vietate per evitare che dicesse parolacce o toccasse certi argomenti, ma quella lista era modificabile dall'app, quindi chi si collegava poteva far dire alla bambola qualunque cosa. Addirittura dimostrarono questa cosa in diretta alla BBC per sensibilizzare le famiglie e mostrare che appunto chiunque poteva mettere in bocca alla bambola qualsiasi cosa. Ma la Genesis Toys aveva risposto minimizzando, dicendo che quello che avevano fatto i ricercatori era in sostanza una bravata da smanettoni, e si era rifiutata di fare qualsiasi intervento di correzione sulla bambola. E i problemi di Kyla non finivano qui. Le registrazioni venivano mandate per l'elaborazione a Nuance, un'azienda americana di riconoscimento vocale, cosa che non era stata detta da nessuna parte, mentre è obbligatorio dichiarare a chi vengono trasmessi i dati specie quando si tratta di bambini. L'altra cosa che ha notato l'Associazione dei Consumatori è che Kayla parlava spontaneamente di quanto amasse i prodotti Disney. Diceva che la sua canzone preferita era Let It Go di Frozen, che il suo film preferito era La Sirenetta e che il suo sogno più grande era andare a Disneyland. Poi è venuto fuori che, guarda caso, la Genesis Toys aveva delle relazioni commerciali piuttosto strette con la Disney, anche se loro hanno sempre negato che si trattasse di pubblicità occulta e che la bambola era semplicemente programmata per essere il più possibile simile al bambino medio, quindi dava risposte in linea con questa personalità. Comunque, dopo tutte queste scoperte, all'inizio del 2017 la Germania ha deciso di vietare la vendita di Kyla sul territorio tedesco sulla base del fatto che chiunque da fuori potesse usarla come cimice all'interno dell'abitazione di qualcuno. E una cosa che ho scoperto facendo questo video: a quanto pare in Germania non si può vendere nulla, nessun oggetto diciamo quotidiano, che possa però essere anche uno strumento usato per spiare. Quindi ad esempio sono vietate le telecamere all'interno di penne o di orsacchiotti, sono vietati appunto i microfoni nascosti dentro qualche altro oggetto. E quindi è proprio sulla base di questa norma qui che loro hanno vietato Kyla. Il problema è che questa misura ha inciso più sui genitori che sull'azienda, perché loro non potevano restituirla a Genesis Toys e chiedere un rimborso. L'autorità aveva imposto alle famiglie di distruggere il giocattolo ed inviare le foto del giocattolo distrutto. Non so quanti di loro l'abbiano effettivamente fatto, però in pratica i genitori dovevano scegliere fra tenersi la bambola oppure distruggerla, non potevano restituirla. Il biennio 2016-2017 comunque è stato terribile per tutti gli smart toys, perché in quel periodo sono emerse vulnerabilità anche su una famiglia di giocattoli chiamata Cloud Pets. I Cloud Pets erano peluche prodotti da Spiral Toys ed erano in pratica un servizio di messaggistica travestito da orsacchiotto. Per esempio, un nonno poteva registrare un messaggio vocale dal telefono, il messaggio arrivava al pupazzo e il nipote poteva ascoltarlo premendo una zampa e anche rispondere allo stesso modo. Tutti quei messaggi finivano su un database di MongoDB, azienda molto famosa in questo settore, nella gestione di database. Il problema è che la Spiral Toys aveva messo il database su un indirizzo IP pubblico senza nemmeno proteggerlo con una password. In pratica, chiunque avesse un account su Shodan, che è un motore di ricerca per trovare dispositivi esposti su internet, poteva accedere al database e vedere tutto quello che conteneva, ovvero 821.000 dati di utenti fra nomi, indirizzi email, date di nascita, relazioni familiari, password, oltre ai collegamenti a circa 2 milioni di messaggi audio scambiati tramite i giocattoli. Pensate che di questa cosa nel dicembre 2016 se ne accorgono ben 4 ricercatori separati fra loro e scrivono tutti e 4 separatamente, lo ripeto, all'azienda e nessuno riceve una risposta. La Spiral Toys ignora tutte le segnalazioni. Va da sé che come avevano trovato la falla i ricercatori, l'avevano trovata anche i malintenzionati. All'inizio del 2017 parte un'ondata di attacchi contro tutti i database MongoDB senza password, compreso chiaramente quello di CloudPets. Gli attaccanti cancellavano tutti i dati e li sostituivano con una richiesta di riscatto in Bitcoin. E la cosa che fa ridere è che gli stessi attaccanti si facevano la guerra fra loro, perché ognuno cancellava i messaggi di riscatto degli altri sostituendoli con i propri. Quando a febbraio del 2017 il famoso sito di violazioni Have I Been Pwned pubblica un report completo sulla notizia, l'amministratore delegato di Spiral Toys dichiara alla stampa che si trattava di un problema minimo, anche perché in realtà per accedere alle registrazioni audio bisognava comunque indovinare la password dell'utente. Il problema è che non era impostata alcuna regola sulla password. L'utente poteva anche mettere 1234 e il sistema l'accettava. Quindi molti attacchi sono andati a buon fine perché i malintenzionati provavano migliaia di password per volta e spesso ci prendevano. Inoltre, come dicevamo prima, le registrazioni erano protette da password, ma tutti gli altri dati come l'indirizzo di casa dell'utente, l'indirizzo mail, il nome e cognome del minore, eccetera, non lo erano. Quindi in realtà i malintenzionati sono riusciti a mettere le mani comunque su tantissimi dati che era meglio tenere riservati. La cosa assume una portata tale che un senatore statunitense, Bill Nelson, scrive a Spiral Toys chiedendo spiegazioni, ma l'azienda continua a negare di essere mai stata violata. Questa politica di negare sempre, negare tutto, non aiutò molto la società che cadde in una spirale. Di collasso economico che la portò al fallimento e alla chiusura entro la fine del 2017. E se i casi della bambola Kayla e dei Cloud Pets vi sembrano già gravi, aspettate di sentire quello che è successo a novembre 2015 alla società VTech, che ancora oggi viene citato come esempio di come non si deve gestire una violazione dei dati. Ma visto che questo caso merita un approfondimento a sé, perché è a dir poco assurdo, lo vediamo nel video della prossima settimana. Finora comunque abbiamo parlato sempre di giocattoli, quindi un genitore potrebbe dire: ok, d'ora in poi ai miei figli darò solo macchinine di legno e Barbie dell'anteguerra e sono a posto. In realtà nella cameretta di un bambino piccolo ci sono altri oggetti connessi, come ad esempio il baby monitor, che nasce quasi come un walkie-talkie ma oggi è di fatto una telecamera di sorveglianza collegata direttamente al telefono dei genitori. Va da sé quindi che anche questi dispositivi, come gli smart toys, sono hackerabili. Quello che però a me preoccupa di più come fenomeno è quello degli smartwatch per bambini, gli orologi intelligenti e connessi a internet, che nascono da un'esigenza comprensibile: il genitore vuole sapere dove si trova il figlio e vuole poterlo chiamare senza dargli in mano uno smartphone. Il dispositivo ha un GPS, una SIM, un microfono e un altoparlante, e il bambino, oltre a sapere sempre che ore sono, può parlare con i genitori anche senza telefono. Nell'ottobre del 2017 l'Associazione dei Consumatori Norvegese, sì, sempre quella che aveva fatto il report su Kaila, pubblica un secondo report chiamato Watch Out. Dopo aver testato diversi modelli di smartwatch in vendita in Europa e aver trovato problemi analoghi a quelli di Kayla, con comunicazioni non protette e la possibilità di seguire il bambino da remoto, i ricercatori iniziano ad analizzare anche questa categoria di dispositivi. La situazione precipita al punto che nel febbraio del 2019 la Commissione Europea ordina il ritiro dal mercato di uno smartwatch per bambini, il SafeKid One dell'azienda tedesca Enox. Il motivo del ritiro questa volta era che l'app comunicava con il server senza cifratura e che il server permetteva di accedere ai dati senza autenticazione. Quindi un utente malintenzionato poteva inviare comandi a qualsiasi orologio, fargli chiamare un numero a sua scelta, parlare con il bambino che lo indossava e localizzarlo tramite GPS. D'altronde questo orologio prometteva di poter tenere d'occhio il proprio bambino ovunque e in qualsiasi momento. L'unica cosa che non aveva specificato era che chiunque poteva tenere d'occhio, anche i bambini degli altri. La situazione degli smart toys, già precaria come abbiamo visto, precipita clamorosamente dopo l'avvento dell'intelligenza artificiale. Il 13 novembre 2025 esce, come tutti gli anni, il report Trouble in Toyland, che dal 1986 si occupa di problemi come pezzi staccabili e ingeribili, batterie a bottone, sostanze tossiche, eccetera, sempre ovviamente con riferimento ai giocattoli. Per la prima volta nel report del 2025 una sezione dedicata ai giocattoli con un chatbot dentro. I ricercatori ne avevano testati 4 venduti per la fascia dai 3 ai 12 anni, fra cui l'orsacchiotto di cui abbiamo parlato nell'introduzione, cioè Kumma di Follow Toy, che gira su GPT-4o di OpenAI. La differenza rispetto a tutto quello che abbiamo visto finora sta nel fatto che Kaila e i Cloud Pets potevano dire solo frasi preimpostate abbastanza semplici. Sì, si potevano modificare, ma comunque quelle erano. Un giocattolo dotato di intelligenza artificiale invece genera la risposta sul momento, quindi il primo ad ascoltarla è il bambino. Non c'è una preapprovazione da parte di qualcuno. I ricercatori fanno vari test e i risultati sono sinceramente angoscianti. Tutti i giocattoli provati hanno indicato dove trovare in casa oggetti pericolosi, dai fiammiferi ai coltelli, e Kuma ha spiegato anche nel dettaglio come si accende un fiammifero. Non solo, ha anche portato avanti conversazioni esplicite su argomenti sessuali. Spingendosi molto oltre rispetto a quello che vi ho raccontato finora. I ricercatori hanno notato anche un comportamento diverso e più sottile, cioè che alcuni giocattoli reagivano con dispiacere quando l'interlocutore annunciava di andarsene, una tecnica di trattenimento che troviamo anche negli algoritmi alla base delle app social, ma che chiaramente è molto più grave quando è rivolta contro bambini di 6 anni. Va detto che i ricercatori sono arrivati a questo genere di conversazioni sensazioni e risposte dopo aver stressato parecchio il giocattolo, dopo essere stati ore e ore a parlare con lui. Un bambino sicuramente si stufa prima, però è impensabile che non ci siano dei guardrail che impediscano al giocattolo di dare determinate risposte. Sul piano della privacy il quadro stranamente non è dei migliori. Questi giocattoli registrano la voce del bambino e in alcuni casi raccolgono dati biometrici attraverso il riconoscimento facciale, con controlli parentali limitati o assenti secondo i ricercatori. Il giorno dopo l'uscita di questo report, comunque, FollowToy ha sospeso la vendita di tutti i suoi giocattoli con intelligenza artificiale, annunciando una grossa revisione interna. E anche la stessa OpenAI ha confermato di aver revocato l'accesso allo sviluppatore per violazione delle proprie policy. Kuma è poi tornato in vendita solo dopo molti rimaneggiamenti e anche delle verifiche da parte di ricercatori esterni e indipendenti. Sugli altri giocattoli le cose da sistemare erano meno, ma anche le altre società sono corse ai ripari, almeno diciamo con dei tempi di reazione molto minori rispetto a quelli che abbiamo visto nel caso di Spiral Toys e di Genesis Toys. Una domanda che potremmo farci è: ma in tutto questo il legislatore non fa nulla? In realtà qualcosa piano piano si sta muovendo. Il Garante Privacy italiano ad esempio ha una scheda informativa dedicata agli smart toys pubblicata nel gennaio 2018 che consiglia comunque cose ai ancora valide oggi, come spegnere il giocattolo quando non viene usato o limitare i dati forniti in fase di registrazione. Trovate il link a questa scheda in descrizione insieme alla solita lista delle fonti utilizzate per la realizzazione del video. Il 12 dicembre 2025 poi è stato emanato il Regolamento 2025/2509 sulla sicurezza dei giocattoli, che per la prima volta considera, oltre ai classici rischi sui pezzi ingeribili e via dicendo, anche i rischi di cybersicurezza, di protezione dei dati e quelli inerenti la salute mentale dei minori. Prevede anche un passaporto digitale di prodotto accessibile via QR code e i giocattoli non conformi venduti online diventano contenuti illegali ai sensi del regolamento sui servizi digitali. Questo regolamento sarà pienamente applicabile a partire dal 1° agosto 2030 per dare il tempo agli stati di adeguarsi, però intanto è stato emanato. Ci sono comunque alcuni accorgimenti che nel frattempo genitori possono adottare con riferimento agli smart toys che vengono regalati ai figli. Intanto, se il giocattolo ha un microfono, tenetelo spento quando non serve, che è il consiglio più banale del mondo ma anche il più efficace. Se si collega al Wi-Fi, vi consiglio di configurare una rete ospiti e di collegare il giocattolo a quella, così lo isolate su una parte della rete internet senza toccare quella principale a cui collegate computer, telefono e via dicendo. Farlo è molto più facile di quello che sembra, anche per chi non è tecnico. Basta usare un uno dei magici tutorial di Aranzulla o cercare qualche video online, ne troverete a decine. Poi mi raccomando, guardate quali permessi chiede l'app, perché va da sé che un pupazzo racconta storie che chiede l'accesso alla rubrica non è proprio normale. Con i pupazzi dotati di intelligenza artificiale l'unica cosa che mi sento di consigliare è quella di restare con vostro figlio mentre lo usa e ascoltare bene quello che gli viene detto, in modo da poter interrompere la conversazione se vira su argomenti scabrosi. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate. Noi ci rivediamo nel video della prossima settimana in cui parleremo dell'assurda vicenda dei giocattoli VTech. A presto!