Gli ingegneri dei Security Research Labs sono stati in grado di utilizzare una serie di componenti di Amazon Alexa e Google Assistant. Grazie alle loro ricerche possiamo essere consapevoli dei modi in cui alcuni sviluppatori potrebbero acquisire i nostri dati.
Attualmente, il più grande exploit rilevato da cui uno sviluppatore può trarre vantaggio durante la programmazione della propria app vocale sta usando la sequenza U + D801, punto, spazio, per forzare l’assistente vocale a “dire” una sequenza di caratteri incomprensibile che alla fine porta al silenzio. Ciò, in combinazione con strumenti regolari, può consentire a un’app di raccogliere dati specifici o semplicemente intercettare tutto ciò che si può ascoltare. Il tutto bypassando la sicurezza di Amazon e Google poiché le aziende non ispezionano gli aggiornamenti di questo tipo.
Uno sviluppatore può creare un’app correttamente funzionante, quindi aggiornarla in modo che la “app” stessa sia inutile, ma – dopo un periodo di silenzio – induce l’assistente a dire che è disponibile un aggiornamento software. A tale aggiornamento può accedere solo l’utente che dice la propria password ad alta voce. In alternativa, lo sviluppatore può indurre l’utente a pensare di aver interrotto Alexa Skill. Invece, viene programmata la richiesta per continuare a registrare ciò che gli utenti stanno dicendo. In tal caso è persino possibile poter registrare tali informazioni impostando parole come “Io”, “tu”, “password”.
Google Assistant e Alexa: rilevati alcuni problemi che permettono a questi assistenti digitali di intercettare ciò che dici
Per quanto riguarda Google Assistant, stando al modo in cui si attiva il dispositivo, pare che sia quasi obbligato a registrare tutto quello che sente finché la stanza non tace per almeno 30 secondi. Tutti questi dati non vengono necessariamente raccolti da Amazon o Google, ma vengono sicuramente archiviati dallo sviluppatore.
Google ha risposto al rapporto di SRLabs inviando a Ars Technica la seguente dichiarazione: “Tutte le azioni su Google sono tenute a seguire le nostre norme per gli sviluppatori e vietiamo e rimuoviamo qualsiasi azione che violi tali norme. Abbiamo processi di revisione per rilevare il tipo di comportamento descritto in questo rapporto. E abbiamo rimosso le azioni trovate da questi ricercatori. Stiamo mettendo in atto meccanismi aggiuntivi per impedire che tali problemi si verifichino in futuro”.
