Possiamo fidarci di Amazon Alexa, Google Assistant e Siri, oppure i software di riconoscimento vocale possono diventare involontariamente delle “spie smart” al servizio di malintenzionati? La domanda torna di attualità, a mesi dalle polemiche sui programmi di controllo qualità, in cui dipendenti o collaboratori delle rispettive aziende ascoltano registrazioni fatte dall’assistente virtuale, anche quelle attivate per errore. Amazon, Google ed Apple avevano tentato di rassicurare gli utenti sullo scopo di questi programmi (cioè migliorare le capacità di comprensione del linguaggio dei software) e in parte avevano fatto marcia indietro, rendendo più semplici e chiare le procedure di opt-out.
Ma i problemi di privacy per gli smart speaker non sono finiti. Due ricercatori della società di sicurezza informatica tedesca SRLabs: Luise Frerichs e Fabian Bräunlein, hanno reso noti i risultati di un lavoro di analisi svolto sui sistemi di backend di Alexa e Google Assistant, i programmi di riconoscimento vocale e intelligenza artificiale che animano i dispositivi Amazon Echo e Google Home. Il problema sta nelle applicazioni utilizzabili da sviluppatori terzi per creare a loro volta delle app dotate di interfacce vocali integrate con Alexa o con Google Assistant.
Sia le Skills di Alexa sia le Actions di Google Home presentano una vulnerabilità che può essere sfruttata da eventuali malintenzionati (o anche semplicemente dallo sviluppatore dell’applicazione collegata) per spiare gli utenti e per diffondere phishing. Per illustrare il funzionamento di un attacco, i ricercatori hanno realizzato quattro applicazioni demo, due per Alexa e due per Google Home, utilizzando il carattere "�. " in diversi punti all’interno del backend. Questo comando introduce nel “dialogo” tra l’utente e l’assistente vocale una lunga pausa, per esempio successiva a una frase in cui Alexa o Google Home dicono di non aver compreso la richiesta. A quel punto può scattare o una registrazione “occulta” o, dopo pochi attimi, un tentativo di phishing.
Le due applicazioni di eavesdropping continuano a registrare dopo la pausa, contando sul fatto che presumibilmente l’utente abbia dedotto che l’applicazione è andata in pausa. Per fare phishing, invece, basta far seguire alla pausa fittizia una domanda, pronunciata da una voce sintetica molto simile a quella di Alexa o di Google Assistant. In una delle demo, per esempio, l’applicazione chiede la password dell’account di Amazon con il pretesto di dover eseguire un aggiornamento.
Tutte e quattro le applicazioni demo realizzate dai ricercatori di SRLabs hanno superato le verifiche di sicurezza di Amazon e Google. Le due società sono state informate del problema e la seconda delle due, come riportato da Zdnet, ha fatto sapere che le Actions create da sviluppatori terzi e non rispettose delle policy di Google sono state rimosse dalla piattaforma. “Stiamo approntando ulteriori meccanismi per evitare che simili problemi si ripresentino in futuro”, ha aggiunto l’azienda.