Check Point Research ha recentemente identificato vulnerabilità di sicurezza in alcuni sottodomini di Alexa, che avrebbero permesso a un hacker di rimuovere e installare competenze sull'account della vittima selezionata, accedere alla sua cronologia vocale e ai dati personali.
L'attacco richiedeva solo un singolo click da parte dell'utente su un link dannoso creato dall'hacker e l'interazione vocale della vittima.
Con più di 200 milioni di dispositivi venduti in tutto il mondo, Alexa è in grado di interagire con la voce, impostare promemoria, riprodurre musica e controllare dispositivi intelligenti in un sistema domotico.
Gli utenti possono estendere le funzioni di Alexa installando le "skill", che sono applicazioni guidate dalla voce. Tuttavia, le informazioni personali memorizzate negli account Alexa degli utenti e l'uso del dispositivo come controller di automazione domestica rende questi dispositivi un bersaglio molto attraente per gli hacker.
I ricercatori di Check Point hanno dimostrato come le vulnerabilità individuate in alcuni sottodomini di Amazon possano essere sfruttate da un hacker che crea e invia ad un utente selezionato un link dannoso che sembra provenire da Amazon.
Se l'utente clicca sul link, l'aggressore può accedere alle informazioni personali della vittima, come la cronologia dei dati bancari, i nomi utente, i numeri di telefono e l'indirizzo di casa; estrapolare la cronologia dei comandi vocali di una vittima; installare in modo silenzioso le competenze (app) sull'account Alexa di un utente; visualizzare l'intera lista di competenze di un account utente Alexa e persino rimuovere silenziosamente una competenza installata.
«Gli speaker intelligenti e gli assistenti virtuali sono talmente comuni che è facile trascurare la quantità di dati personali in loro possesso e il loro ruolo nel controllo di altri dispositivi smart nelle nostre case. Ma gli hacker li vedono come punti di ingresso nella vita delle persone, dando loro la possibilità di accedere ai dati, origliare le conversazioni o condurre altre azioni dannose senza che il proprietario ne sia consapevole» ha detto Oded Vanunu, responsabile della ricerca sulle vulnerabilità dei prodotti al Check Point.
«Abbiamo condotto questa ricerca per evidenziare come la sicurezza di questi dispositivi sia fondamentale per mantenere la privacy degli utenti. Fortunatamente, Amazon ha risposto rapidamente alla nostra divulgazione per chiudere queste vulnerabilità su alcuni sottodomini di Amazon e Alexa. Speriamo che i produttori di dispositivi simili seguano l'esempio di Amazon e controllino i loro prodotti per individuare eventuali vulnerabilità che potrebbero compromettere la privacy degli utenti». E infatti, Amazon ha risolto il problema subito dopo che è stato segnalato.