Lỗ Hổng Của Alexa Có Thể Đã Tiết Lộ Lịch Sử Giọng Nói Của Bạn Cho Hacker

Thiết bị trợ lý thông minh đã gặp phải những sai lầm về quyền riêng tư, nhưng chúng thường được coi là đủ an toàn cho hầu hết mọi người. Nghiên cứu mới về các lỗ hổng trong nền tảng Alexa của Amazon, tuy nhiên, làm nổi bật tầm quan trọng của việc suy nghĩ về dữ liệu cá nhân mà trợ lý thông minh của bạn lưu trữ về bạn - và giảm thiểu nó càng nhiều càng tốt.

Các kết quả được công bố vào thứ Năm bởi công ty bảo mật Check Point tiết lộ rằng các dịch vụ web của Alexa có lỗ hổng mà một hacker có thể đã tận dụng để thu thập toàn bộ lịch sử giọng nói của một mục tiêu, có nghĩa là các cuộc tương tác âm thanh của họ với Alexa đã được ghi âm. Amazon đã vá các lỗ hổng, nhưng lỗ hổng cũng có thể đã tiết lộ thông tin hồ sơ, bao gồm địa chỉ nhà, cũng như tất cả các "kỹ năng," hoặc ứng dụng, người dùng đã thêm cho Alexa. Một kẻ tấn công có thể thậm chí xóa một kỹ năng hiện tại và cài đặt một kỹ năng độc hại để thu thập thêm dữ liệu sau cuộc tấn công ban đầu.

"Trợ lý ảo là một điều mà bạn chỉ cần nói chuyện và trả lời, và thường bạn không có trong tâm trí một số kịch bản hay lo lắng ác ý nào đó," nói Oded Vanunu, Giám đốc nghiên cứu lỗ hổng sản phẩm của Check Point. "Nhưng chúng tôi phát hiện ra một chuỗi các lỗ hổng trong cấu hình hạ tầng của Alexa cuối cùng cho phép một hacker có ý định xấu thu thập thông tin về người dùng và thậm chí cài đặt các kỹ năng mới."

Để tận dụng những lỗ hổng, một kẻ tấn công sẽ cần đánh lừa những mục tiêu nhấp vào một liên kết độc hại, một kịch bản tấn công phổ biến. Tuy nhiên, các lỗ hổng cơ bản trong một số miền con của Amazon và Alexa có nghĩa là một kẻ tấn công có thể đã tạo ra một liên kết Amazon chính xác và bình thường để lôi kéo nạn nhân vào các phần của cơ sở hạ tầng của Amazon bị tiết lộ. Bằng cách hướng dẫn người dùng theo dõi.amazon.com - một trang có lỗ hổng không liên quan đến Alexa, nhưng được sử dụng để theo dõi các gói hàng Amazon - kẻ tấn công có thể đã chèn mã cho phép họ chuyển đổi sang cơ sở hạ tầng Alexa, gửi một yêu cầu đặc biệt cùng với cookie của mục tiêu từ trang theo dõi gói hàng đến skillsstore.amazon.com/app/secure/your-skills-page.

Tại điểm này, nền tảng sẽ nhầm lẫn kẻ tấn công với người dùng chính thức, và hacker có thể truy cập lịch sử âm thanh đầy đủ của nạn nhân, danh sách kỹ năng đã cài đặt và các chi tiết tài khoản khác. Kẻ tấn công cũng có thể gỡ bỏ một kỹ năng mà người dùng đã thiết lập và, nếu hacker đã cài đặt một kỹ năng độc hại trong Cửa hàng Kỹ năng Alexa, có thể thậm chí cài đặt ứng dụng xen vào đó vào tài khoản Alexa của nạn nhân.

Cả Check Point và Amazon đều lưu ý rằng tất cả các kỹ năng trong cửa hàng của Amazon đều được kiểm tra và theo dõi để xác định hành vi có thể gây hại, vì vậy không chắc chắn rằng kẻ tấn công có thể đã cài đặt một kỹ năng độc hại ở đó từ đầu. Check Point cũng đề xuất rằng một hacker có thể có thể truy cập lịch sử dữ liệu ngân hàng thông qua cuộc tấn công, nhưng Amazon phản đối điều này, nói rằng thông tin này đã được che giấu trong các phản hồi của Alexa.

"Bảo mật của các thiết bị của chúng tôi là ưu tiên hàng đầu, và chúng tôi đánh giá công việc của các nhà nghiên cứu độc lập như Check Point mang lại vấn đề tiềm ẩn cho chúng tôi," một người phát ngôn của Amazon nói với MYTOUR trong một tuyên bố. "Chúng tôi đã sửa lỗi này ngay sau khi nó được đưa ra sự chú ý của chúng tôi, và chúng tôi tiếp tục củng cố hệ thống của mình. Chúng tôi không biết về bất kỳ trường hợp nào sử dụng lỗ hổng này để tấn công khách hàng của chúng tôi hoặc thông tin của khách hàng nào bị rò rỉ."

Vanunu của Check Point nói rằng cuộc tấn công mà anh và đồng nghiệp phát hiện ra là phức tạp, và không ngạc nhiên khi Amazon không tự phát hiện ra nó với quy mô của các nền tảng của công ty. Nhưng các kết quả mang lại lời nhắc nhở quý báu cho người dùng suy nghĩ về dữ liệu họ lưu trữ trong các tài khoản web khác nhau và giảm thiểu nó càng nhiều càng tốt.

"Điều này chắc chắn không phải là trường hợp của một cửa mở và OK, vào đi!" Vanunu nói. "Đây là một cuộc tấn công tinh vi, nhưng chúng tôi vui mừng Amazon đã đối mặt nó một cách nghiêm túc, vì hậu quả có thể đã tồi tệ với 200 triệu thiết bị Alexa ở khắp nơi."

Mặc dù bạn không thể kiểm soát việc Amazon có lỗi trong một trong những dịch vụ web xa xôi của mình hay không, bạn có thể giảm thiểu dữ liệu trên tài khoản Alexa của bạn. Sau phản đối về các thực hành mơ hồ liên quan đến việc sử dụng các người chép chép cho một số đoạn âm thanh của người dùng Alexa, Amazon đã làm cho việc xóa lịch sử âm thanh của bạn dễ dàng hơn. Quan trọng là phải làm điều này thường xuyên, vì nếu không Amazon sẽ lưu trữ những bản ghi đó mãi mãi.

Để xem và xóa lịch sử Alexa của bạn, mở ứng dụng Alexa trên điện thoại và điều hướng đến Cài đặt > Lịch sử. Trong chế độ xem này, bạn chỉ có thể xóa từng mục một cách riêng lẻ. Để xóa toàn bộ, hãy vào Cài đặt Quyền riêng tư Alexa trên trang web của Amazon và sau đó chọn Xem Lịch sử Giọng nói. Bạn cũng có thể xóa bằng cách nói: “Alexa, xóa điều tôi vừa nói" hoặc "Alexa, xóa mọi thứ tôi nói hôm nay."

Những điều tuyệt vời khác trên MYTOUR

• San Francisco đã chuẩn bị đặc biệt cho Covid-19
• Làm thế nào việc đột nhập tòa án đã đưa hai hacker trắng đến tù
• Mẹo để cuộc gọi video của bạn trông và nghe tốt hơn
• Làm thế nào để nhận biết - và tránh - các mô hình tối tăm trên web
• Sự tưởng tượng và tương lai cyberpunk của Singapore
• 🎙️ Nghe Get MYTOUR, podcast mới của chúng tôi về cách tương lai được thực hiện. Xem các tập mới nhất và đăng ký nhận 📩 bản tin để theo dõi tất cả chương trình của chúng tôi
• ✨ Tối ưu hóa cuộc sống gia đình của bạn với những lựa chọn tốt nhất từ đội ngũ Gear của chúng tôi, từ robot hút bụi đến nệm giá rẻ đến loa thông minh