SurfingAttack, como el ultrasonido puede violar a Siri y al Asistente de Google

¿Es posible activar los comandos de voz de asistentes virtuales, como Google Assistant y Siri, sin usar la voz humana? Sí, se llama SurfingAttack y usa ultrasonido. Esta es la conclusión de un grupo de investigación de la Universidad de Washington en St. Louis que ha demostrado cómo la propagación de ondas ultrasónicas a través de superficies como la mesa puede activar los sistemas de reconocimiento de voz y darles algunos comandos.

Un escenario que abre una profunda vulnerabilidad que los atacantes pueden aprovechar para acceder al contenido de los teléfonos inteligentes sin el conocimiento de los propietarios. “Los ultrasonidos -dice- no emiten ningún sonido, pero aún pueden activar a Siri y hacerle hacer llamadas, tomar fotografías o leer el contenido de un mensaje recibido”. Las ondas ultrasónicas no son perceptibles para el oído humano, pero sí para el micrófono de un teléfono móvil.. "Si sabes cómo jugar con las señales, puedes manipularlas de tal manera que cuando el teléfono reciba ondas de sonido, pensará que estás dando una orden", explica Ning Zhang, profesor asistente de ciencias de la computación e ingeniería en la escuela McKelvey. de Ingeniería.

Para realizar el experimento, los investigadores colocaron un micrófono y un transductor piezoeléctrico (PZT), que convierte la electricidad en ondas ultrasónicas, y un generador de formas de onda para enviar las señales correctas debajo de una mesa. Al administrar todo a través del software instalado en una PC, fue suficiente enviar comandos codificados al teléfono inteligente colocado en la mesa para obtener la acción deseada del asistente virtual.

Inmediatamente se le pidió al asistente que bajara el volumen. De esta forma, el usuario no puede escuchar las respuestas en un entorno con un nivel moderado de ruido. Posteriormente, se dio la orden de leer el mensaje recibido que contenía el código de autenticación de dos factores para un servicio bancario. La respuesta se escuchó por el micrófono debajo de la mesa, pero no de la víctima.

Por supuesto, para que el ataque tenga éxito, el usuario ni siquiera tiene que notar que la pantalla de su dispositivo está encendida. El equipo probó 17 modelos diferentes de teléfonos inteligentes de varias marcas. (Google, Motorola, Samsung, Xiaomi, Huawei y Apple). Todos menos el Huawei Mate 9 y el Galaxy Note 10+ resultaron vulnerables a los ataques. Según los investigadores, la razón podría ser el diseño curvo adoptado por los dispositivos y los materiales utilizados que afectan las señales.

La prueba también trabajó en superficies de diferentes materiales, como metal, vidrio y madera, y colocando los dispositivos en diferentes posiciones. En cualquier caso, el ataque tuvo éxito con algunas dificultades más solo con el plástico. Entonces, ¿cómo puede protegerse de estos posibles ataques?

La respuesta de los investigadores se dirige hacia el software. La idea sería desarrollar un software capaz de diferenciar las ondas ultrasónicas de las voces humanas. O bien, se podría intervenir en el diseño y el diseño asumiendo, por ejemplo, una posición diferente del micrófono para amortiguar las ondas ultrasónicas. Mientras tanto, el usuario podría usar una tela suave, como un mantel, sobre la que colocar su teléfono inteligente.

Galaxy Note 10+ está disponible para su compra en Amazon con uno descuento del EUR 250 en comparación con el precio de lista.