SurfingAttack controla smartphones (en secreto) mediante ondas ultrasónicas contra asistente de voz

Un grupo de académicos de varias universidades estadounidenses y especialidades, han publicado un nuevo método de ataque que utiliza ondas ultrasónicas para controlar en secreto los asistentes de voz.

Bautizado como «SurfingAttack«, el ataque aprovecha las propiedades únicas de la transmisión acústica en materiales sólidos para «permitir múltiples rondas de interacciones entre el dispositivo controlado por voz y un atacante, a una distancia más larga y sin la necesidad de tener a la vista el dispositivo».

De esta manera, un atacante podría interactuar con los dispositivos utilizando los asistentes de voz para secuestrar los códigos de autenticación de dos factores SMS e incluso realizar llamadas fraudulentas, señalaron los investigadores en el documento, controlando así el dispositivo de la víctima sin que ésta tuviera conocimiento de ello.

¿Cómo funciona el SurfingAttack?

Los micrófonos MEMS, usados de manera generalizada en la mayoría de estos asistentes, contienen una pequeña placa incorporada llamada diafragma, que cuando se golpea con sonido u ondas de luz provoca una señal eléctrica que luego se decodifica en comandos reales.

El nuevo ataque explota la naturaleza no lineal de los circuitos de micrófono MEMS para transmitir señales ultrasónicas maliciosas, ondas de sonido de alta frecuencia que son inaudibles para el oído humano. Solo necesita un transductor piezoeléctrico de 5 dólares conectado a la superficie de una mesa. Además, los ataques pueden ejecutarse desde 9 metros de distancia.

Para ocultar el ataque, los investigadores emitieron una onda ultrasónica guiada para ajustar el volumen del dispositivo lo suficientemente bajo como para que las respuestas de voz no se noten, mientras que aún se pudieron grabar las respuestas de voz del asistente a través de un dispositivo de tapping oculto más cerca al dispositivo de la víctima debajo de la mesa.

Una vez configurado, un intruso no solo puede activar los asistentes de voz (por ejemplo, usando «OK Google» o «Hey Siri» como palabras de activación), sino también generar comandos de ataque (por ejemplo, «leer mis mensajes» o «llamar a Sam con el altavoz») utilizando sistemas de texto a voz (TTS), todos los cuales se transmiten en forma de señales de ondas guiadas por ultrasonidos que pueden propagarse a lo largo de la mesa para controlar los dispositivos.

SurfingAttack se ha probado con éxito en una variedad de dispositivos que utilizan asistentes de voz, como los Google Pixel, Apple iPhone, Samsung Galaxy S9 y Xiaomi Mi 8, y se descubrió que cada uno de ellos era vulnerable a los ataques de ondas ultrasónicas. También se descubrió que funciona a pesar de usar diferentes superficies de la mesa (metal, vidrio o madera) y configuraciones telefónicas.

No se conoce que este tipo de ataques hayan sido explotados hasta ahora, aunque sí conocemos otros anteriores como BackDoor, LipRead y DolphinAttack.

No afecta a los asistentes digitales para el hogar

Por si te lo estás preguntando, los altavoces inteligentes de Amazon y Google, serie Echo y Home, no se vieron afectados por este tipo de ataques. En todo caso, la última investigación presenta un nuevo vector de ataque que requeriría que los fabricantes de dispositivos erigieran nuevas defensas de seguridad y salvaguarden los dispositivos de los ataques basados ​​en la voz que se están convirtiendo cada vez más en un punto de entrada para todo hogar inteligente.

Estos asistentes digitales son cada vez más populares en los hogares, con los Echo de Amazon como punta de lanza de un segmento que se ha visto envuelto en varias polémicas de privacidad por la cantidad de datos que recoge y sobretodo por el uso que las tecnológicas hacen de ellos. Los más críticos dicen que con su compra estás metiendo un auténtico caballo de troya en tu misma casa.