Check Point Research, il braccio di Threat Intelligence di Check Point Software Technologies Ltd., ha recentemente identificato vulnerabilità di sicurezza in alcuni sottodomini di Amazon. Che avrebbero permesso a un hacker di rimuovere-installare competenze sull’account Alexa della vittima selezionata, accedere alla sua cronologia vocale e ai dati personali.
L’attacco richiedeva solo un singolo clic da parte dell’utente. Su un link dannoso creato dall’hacker e l’interazione vocale della vittima.
Così un hacker spiava attraverso Alexa
Attacco alle informazioni memorizzate
Con più di 200 milioni di dispositivi venduti in tutto il mondo, Alexa è in grado di interagire con la vostra voce, impostare promemoria, riprodurre musica e controllare dispositivi intelligenti in un sistema domotico. Gli utenti possono estendere le funzioni di Alexa installando le “skill”, che sono applicazioni guidate dalla voce.
Le informazioni personali memorizzate negli account e l’uso del dispositivo come controller di automazione domestica, rendono però questi dispositivi un bersaglio.
Le vulnerabilità individuate
I ricercatori di Check Point hanno dimostrato la possibilità di attacco. Ovvero come le vulnerabilità individuate in alcuni sottodomini di Amazon/Alexa possano essere sfruttate da un hacker. Che crea e invia ad un utente selezionato un link dannoso che sembra provenire da Amazon.
Se l’utente clicca sul link, l’aggressore può:
- Accedere alle informazioni personali della vittima, come la cronologia dei dati bancari, i nomi utente, i numeri di telefono e l’indirizzo di casa
- Estrapolare la cronologia dei comandi vocali di una vittima
- Installare in modo silenzioso le competenze (app) sull’account Alexa di un utente
- Visualizza l’intera lista di competenze di un account utente Alexa
- Rimuovere silenziosamente una competenza installata
Le parole di Oded Vanunu
“Gli speaker intelligenti e gli assistenti virtuali sono talmente comuni che è facile trascurare la quantità di dati personali in loro possesso. – ha detto il responsabile della ricerca sulle vulnerabilità dei prodotti al Check Point -. Gli hacker li vedono come punti di ingresso nella vita delle persone, dando loro la possibilità di accedere ai dati. E di origliare le conversazioni o condurre altre azioni dannose senza che il proprietario ne sia consapevole.
Abbiamo condotto questa ricerca per evidenziare come la sicurezza di questi dispositivi sia fondamentale per mantenere la privacy degli utenti. Fortunatamente, Amazon ha risposto rapidamente alla nostra divulgazione per chiudere queste vulnerabilità . Speriamo che i produttori di dispositivi simili seguano l’esempio e controllino i loro prodotti.
In precedenza, abbiamo condotto ricerche su Tiktok, WhatsApp e Fortnite. Alexa ci preoccupa da un po’ di tempo, data la sua ubiquità e la sua connessione ai dispositivi IoT. Sono queste mega piattaforme digitali che possono farci più male. Pertanto, i loro livelli di sicurezza sono di importanza cruciale”.
Per i dettagli sulle vulnerabilità visitare il sito https://research.checkpoint.com
giornalista appassionato di tutto quanto fa tecnologia, caporedattore del quotidiano Il Giornale