Alexa diventa cattiva: trovata vulnerabilità in alcuni subdomain

Le ricerche dimostrano che gli hacker potevano rimuovere/installare skill sull'account Alexa di una vittima, accedere alle cronologie vocali e alle informazioni personali

 
Check Point Research, il braccio di Threat Intelligence di Check Point® Software Technologies Ltd. (NASDAQ: CHKP), fornitore leader di soluzioni di sicurezza informatica a livello globale, ha recentemente identificato vulnerabilità di sicurezza in alcuni sottodomini di Amazon/Alexa che avrebbero permesso a un hacker di rimuovere/installare competenze sull'account Alexa della vittima selezionata, accedere alla sua cronologia vocale e ai dati personali.
L'attacco richiedeva solo un singolo click da parte dell'utente su un link dannoso creato dall'hacker e l'interazione vocale della vittima.
Con più di 200 milioni di dispositivi venduti in tutto il mondo, Alexa è in grado di interagire con la vostra voce, impostare promemoria, riprodurre musica e controllare dispositivi intelligenti in un sistema domotico.
Gli utenti possono estendere le funzioni di Alexa installando le «skill», che sono applicazioni guidate dalla voce.
 
Tuttavia, le informazioni personali memorizzate negli account Alexa degli utenti e l'uso del dispositivo come controller di automazione domestica rende questi dispositivi un bersaglio molto attraente per gli hacker.
I ricercatori di Check Point hanno dimostrato come le vulnerabilità individuate in alcuni sottodomini di Amazon/Alexa possano essere sfruttate da un hacker che crea e invia ad un utente selezionato un link dannoso che sembra provenire da Amazon.
Se l'utente clicca sul link, l'aggressore può:
- Accedere alle informazioni personali della vittima, come la cronologia dei dati bancari, i nomi utente, i numeri di telefono e l'indirizzo di casa 
- Estrapolare la cronologia dei comandi vocali di una vittima
- Installare in modo silenzioso le competenze (app) sull'account Alexa di un utente
- Visualizza l'intera lista di competenze di un account utente Alexa
- Rimuovere silenziosamente una competenza installata
 
«Gli speaker intelligenti e gli assistenti virtuali sono talmente comuni che è facile trascurare la quantità di dati personali in loro possesso e il loro ruolo nel controllo di altri dispositivi smart nelle nostre case. Ma gli hacker li vedono come punti di ingresso nella vita delle persone, dando loro la possibilità di accedere ai dati, origliare le conversazioni o condurre altre azioni dannose senza che il proprietario ne sia consapevole», ha detto Oded Vanunu, responsabile della ricerca sulle vulnerabilità dei prodotti al Check Point.
«Abbiamo condotto questa ricerca per evidenziare come la sicurezza di questi dispositivi sia fondamentale per mantenere la privacy degli utenti. Fortunatamente, Amazon ha risposto rapidamente alla nostra divulgazione per chiudere queste vulnerabilità su alcuni sottodomini di Amazon/Alexa. Speriamo che i produttori di dispositivi simili seguano l'esempio di Amazon e controllino i loro prodotti per individuare eventuali vulnerabilità che potrebbero compromettere la privacy degli utenti. In precedenza, abbiamo condotto ricerche su Tiktok, WhatsApp e Fortnite. Alexa ci preoccupa da un po' di tempo, data la sua ubiquità e la sua connessione ai dispositivi IoT. Sono queste mega piattaforme digitali che possono farci più male. Pertanto, i loro livelli di sicurezza sono di importanza cruciale»
Amazon ha risolto questo problema subito dopo che è stato segnalato.