콘텐츠
Google과 Amazon은 음성 인식 Echo 및 Home 스마트 스피커를 통해 사용자의 말을 듣습니다. 그러나 보안 연구원 그룹은 이제 타사 앱이 사용자와 암호와 같은 음성 피싱에 민감한 정보를 쉽게 도청하는 방법을 시연했습니다.
독일 SRLabs의 연구원들은 Amazon Alexa와 Google Home / Nest 기기 모두에 대해 두 가지 해킹 시나리오 (도청 및 피싱)를 발견했습니다. 그들은이 스마트 스피커를 스마트 스파이로 만드는 해킹을 시연하기 위해 8 개의 음성 앱 (Alexa의 스킬 및 Google Home의 액션)을 만들었습니다. SRLabs가 만든 악의적 인 음성 앱은 Amazon 및 Google의 개별 심사 프로세스를 쉽게 통과했습니다.
Amazon Alexa 및 Google Home 사용자를 도청하고 정보를 피싱하기 위해 다양한 접근 방식이 사용되었습니다. 연구원들은 Amazon과 Google이 앱을 승인 한 후 해킹을 위해 만든 기술과 행동의 기능을 변경할 수있었습니다. 상기 변경이 이루어진 후에는 2 차 리뷰가 없었다.
Amazon Echo 및 Google Home 스피커의 음성 피싱 비밀번호
아래 비디오에서 사용자가 Alexa에게 My Lucky Horoscope라는 기술을 시작하도록 요청하는 방법을 볼 수 있습니다. 이것은 SRLabs가 암호를 피싱하기 위해 생성하고 수정 한 악의적 인 Alexa 기술입니다.
앱은 환영을주지 않고 대신 "이 기술은 현재 귀하의 국가에서 사용할 수 없습니다."라고 대답합니다.이 시점에서 사용자는 앱의 수신이 중지 된 것으로 가정하지만 실제로는 그렇지 않습니다. 대신, Alexa가 발음 할 수없는 문자 시퀀스를 말하기 위해 기술이 해킹되었으므로, 스피커가 실제로 일시 정지되고 듣고있을 때 스피커는 침묵을 유지합니다.
그런 다음이 기술은 피싱을 재생합니다. "Alexa 장치에 새로운 업데이트가 제공됩니다. 시작과 비밀번호를 말하십시오.”아마존은 이런 식으로 비밀번호를 요구하지 않지만, 모르는 사용자는 경계 할 수 있습니다.
Google Home Mini 스피커의 음성 피싱 비밀번호에도 비슷한 방법이 사용되었습니다.
Amazon Echo 및 Google Home 스피커를 통해 사용자에게 도청
도청을 위해 연구원들은 아마존의 스마트 스피커에 동일한 별자리 앱을 사용했습니다. 앱은 사용자가 백그라운드에서 자동으로 듣는 동안 중지되었다고 믿도록 속입니다.
Google Home의 경우 해킹이 훨씬 쉬워졌으며 도청하기 위해 트리거 단어를 지정할 필요가 없었습니다. 연구원들은이 경우에 사용자는 "장치가 지속적으로 해커의 서버로 음성 입력을 보내면서도 사이에 짧은 침묵을 출력합니다."
SRLabs는 위에 표시된 비디오에서 데모 된 모든 앱을 중단했습니다. 연구원들은 또한 아마존과 구글에 그 결과를보고했다.
에 따라 아르 테크니카두 회사는 승인 프로세스를 변경하고 향후 이러한 해킹을 피하기 위해 추가 메커니즘을 채택하고 있다고 응답했습니다.
그러나 이러한 문제가 해결 될시기를 알려주는 Amazon 또는 Google의 업데이트는 없습니다. 또한 과거에 어떤 기술이나 행동이 허점을 잘못 사용했는지 알 방법도 없습니다.
