Предполагалось, что голосовые помощники сделают нашу жизнь проще. В некоторых моментах это так, но и Сири, и Гугл Ассистент подвержены взлому. Ничего не мешает хакеру, взломавшему ваш голосовой помощник, украсть все личные файлы и данные.
Группа американо-китайских разработчиков совершила атаку, получившую название SurfingAttack, которая использует ультразвуковые волны для запуска Siri, Google Assistant и Bixby (в РФ не работает). Команда смогла запросить личную информацию и сделать телефонные звонки без физического доступа к телефону.
В прошлом году разработчики доказали, что ультразвуковые волны и лазеры могут запускать голосовых помощников при определенных условиях (дальность действия не более 5-10 метров, т.е. хакер должен находиться в поле видимости жертвы). SurfingAttack использует гораздо более продуманный подход, когда оборудование для взлома помещается под столом в общественных местах (кафе, барах, ресторанах, супермаркетах).
Когда устройство находится рядом, круглый пьезоэлектрический диск стоимостью 300 рублей (на алиэкспресс) передает команды на телефон. Он может использовать триггерную фразу, чтобы разбудить помощника (“Окей, Гугл”), а затем запросить информацию или инициировать звонки.
Команда использовала ноутбук с программным обеспечением преобразования текста в речь, чтобы отправлять нужные команды на взламываемый смартфон через Wi-Fi или Bluetooth. Диск находился всего в метре от телефона, но столешница скрывает оборудование от цели (устройство для взлома можно прилепить скотчем к низу столешницы). Кроме того, ультразвуковые волны находятся вне диапазона человеческого слуха.
Хакеры могли делать фотографии, считывать текстовые сообщения и совершать звонки на любой телефонный номер – злоумышленник мог использовать это для считывания двухфакторных кодов аутентификации или для звонков на платные номера.
Жертва может и не подозревать, что ее телефон работает сам по себе, если не посмотрит на экран. Хакер может использовать микрофон в вашем телефоне, чтобы записать ваш разговор на расстоянии. Для этого он посылает команду Google Assistant – включить микрофон и начать запись. Затем аудиозапись пересылается по email или размещается в облачном хранилище.
SurfingAttack работает практически на всех устройствах с включенным голосовым помощником. Команда протестировала телефоны от Apple, Google, Samsung, Motorola, Xiaomi и Huawei – всего 17 моделей, 15 из которых были уязвимы. Лучший способ защитить себя от таких ультразвуковых атак – выключить свой телефон или отключить голосовой помощник.
