Especialistas descobriram uma vulnerabilidade na assistente de voz Alexa, da Amazon, que colocaria em risco dados bancários, gravações de voz e outras informações dos usuários. Segundo a empresa de segurança Check Point, o problema permitira a hackers invadirem o software utilizando uma combinação de link malicioso com um comando de voz realizado pela própria vítima.
O TechTudo entrou em contato com a Amazon, que reconheceu a falha e afirmou que a mesma já foi corrigida, e que não teve conhecimento de casos envolvendo o uso da vulnerabilidade contra clientes e usuários de seus dispositivos.
Segundo a Check Point, a falha poderia dar ao hacker o acesso completo ao histórico de voz do usuário. Os dados se referem aos comandos ditos em voz alta a qualquer aparelho compatível com a Alexa, seja ou não fabricado pela Amazon. A assistente, afinal, está presente não apenas nos speakers Amazon Echo, mas também em caixas de som de outras marcas, além de smart TVs e em fones de ouvido.
O estudo aponta que alguns domínios relacionados à Amazon permitiriam aos hackers controlarem as ações da vítima no aplicativo. Dessa forma, os mesmos seriam capazes de instalar skills que, quando acessadas pelo usuário, revelariam suas informações.
Os pesquisadores não deixam claro se o vazamento incluiria também o áudio captado nas vezes em que o dispositivo entende o comando “Alexa” errado e se ativa sozinho. Nesse cenário, a Alexa pode guardar trechos de conversas pessoais gravados por acidente. Um estudo, vale lembrar, apontou que o a Echo Dot é um dos que mais liga fora de hora entre os mais populares do mercado.
Você já conhece a Alexa em português? Veja mais detalhes sobre a assistente:
Segundo a Check Point, a falha também daria acesso aos nomes de usuário, números de telefone e endereço residencial. Além disso, o invasor poderia visualizar instalar e remover skills da Alexa. Todas essas ações, alertam os especialistas, ocorreriam sem levantar quaisquer suspeitas.
O que disse a empresa
Ao TechTudo, a Amazon reforçou que prioriza a segurança dos usuários em seus dispositivos, já resolveu o problema e não teve conhecimento sobre problemas envolvendo a exposição de dados por conta da falha. A fabricante também agradeceu o trabalho de "pesquisadores independentes", caso da Check Point, por apontarem esse tipo de situação.
A empresa alegou ainda que as skills presentes no serviço passam por uma análise de certificação e são monitoradas com frequência. Segundo a marca, sempre que uma extensão do tipo se mostra suspeita ou ofensiva, é rapidamente bloqueada ou desativada.
Como se proteger
... iv>
Mesmo que a falha tenha sido solucionada, a Check Point recomenda adotar precauções contra possíveis novas vulnerabilidades. As providências envolvem ler atentamente a descrição de um aplicativo antes de baixar e não fazer download de apps desconhecidos. Além disso, é preciso evitar dizer informações sensíveis perto de aparelhos que entendem comandos de voz, como senhas, dados de cartões e credenciais bancárias.
