Les haut-parleurs intelligents d’Amazon et de Google sont vulnérables aux pirates
Alors qu’Amazon et Google essaient désespérément de nous convaincre qu’ils n’écoutent pas tout ce que nous disons, des chercheurs en sécurité ont démontré à quel point ces appareils peuvent facilement être infiltrés par des pirates qui écoutent vos conversations. Et aussi – juste pour rire – hameçonner vos mots de passe.
Un groupe de recherche allemand Security Research Labs a découvert une vulnérabilité qu’ils ont surnommée Smart Spies. Grâce à diverses ruses, il ajoute une longue pause à la réponse d’Alexa ou de Google pour vous faire croire qu’il n’écoute plus.
Il vous invite ensuite, tout en imitant Alexa ou Google, à mettre à jour votre appareil et demande des informations personnellement identifiables telles qu’un mot de passe, ou continue simplement à écouter et à enregistrer vos conversations, en transcrivant ce que vous dites et en envoyant une transcription au pirate informatique.
Lis ça: Explorer les nouveaux outils de confidentialité d’Amazon
Selon un rapport d’ ArsTechnica, la vulnérabilité s’infiltre parce que même si Amazon et Google examinent les compétences et les actions avant qu’elles ne soient ajoutées aux plates-formes, les mises à jour ne sont pas examinées, de sorte qu’une application apparemment anodine peut devenir malveillante sans que personne ne soit plus sage. .
Les chercheurs en sécurité ont développé huit applications – quatre Alexa Skills et quatre Google Home Actions, capables de faire exactement cela. Principalement de simples applications d’horoscope dans les coulisses, ils ont pu écouter ou convaincre les utilisateurs de renoncer à leurs mots de passe ou adresses e-mail.
Dans un e- mail à Gizmodo, Security Research Labs a déclaré que la vulnérabilité avait été découverte en février. "Nous avons été surpris de voir que les hacks Smart Spies fonctionnaient encore plus de trois mois après avoir signalé les problèmes à Google et Amazon", ont-ils écrit.
Les applications ne sont plus disponibles, mais vous pouvez voir des démonstrations de leur fonctionnement sur des vidéos YouTube publiées par les chercheurs sur leur page de blog.
"Les utilisateurs doivent être plus conscients du potentiel des applications vocales malveillantes qui abusent de leurs haut-parleurs intelligents", ont-ils écrit sur leur blog. "L’utilisation d’une nouvelle application vocale doit être abordée avec le même niveau de prudence que l’installation d’une nouvelle application sur votre smartphone."
Les utilisateurs doivent être plus conscients du potentiel des applications vocales malveillantes qui abusent de leurs haut-parleurs intelligents
Security Research Labs a partagé ses conclusions avec les entreprises et leur a recommandé de mettre en œuvre des processus d’examen plus approfondis des compétences et des actions des tiers.
Amazon répond au groupe avec la déclaration suivante :
« La confiance des clients est importante pour nous, et nous menons des examens de sécurité dans le cadre du processus de certification des compétences. Nous avons rapidement bloqué la compétence en question et mis en place des mesures d’atténuation pour prévenir et détecter ce type de comportement de compétence et les rejeter ou les supprimer lorsqu’elles sont identifiées.
Ils ont également déclaré avoir mis en place des "atténuations" pour éviter les problèmes soulevés, et ont souligné que les utilisateurs ne devraient jamais partager leur mot de passe avec des appareils par la voix, toute demande de telles informations ne provenant pas d’Amazon.
La réponse de Google était similaire. "Toutes les actions sur Google doivent respecter nos politiques de développement, et nous interdisons et supprimons toute action qui enfreint ces politiques. Nous avons des processus d’examen pour détecter le type de comportement décrit dans ce rapport, et nous avons supprimé les actions que nous avons trouvées chez ces chercheurs. Nous mettons en place des mécanismes supplémentaires pour empêcher que ces problèmes ne se reproduisent à l’avenir.
Il y a peu ou pas de preuves, selon les chercheurs, que de telles applications menacent actuellement les utilisateurs d’Alexa et de Google Home, mais les utilisateurs de ces appareils doivent rester vigilants face à toute activité suspecte sur leurs haut-parleurs intelligents.