Check Point Research 發(fā)現(xiàn) Alexa 特定子域存在漏洞
研究人員展示了黑客如何刪除/安裝受害者 Alexa 帳戶上的 skill(內(nèi)置功能)、訪問(wèn)語(yǔ)音歷史記錄和個(gè)人信息
近日,全球領(lǐng)先網(wǎng)絡(luò)安全解決方案提供商 CheckPoint軟件技術(shù)有限公司(納斯達(dá)克股票代碼:CHKP)的威脅情報(bào)部門 Check Point Research 近日在 Amazon/Alexa 特定子域中發(fā)現(xiàn)了安全漏洞,黑客可利用這些漏洞刪除/安裝目標(biāo)受害者 Alexa 帳戶上的 skill,并訪問(wèn)其語(yǔ)音歷史記錄和個(gè)人數(shù)據(jù)。用戶點(diǎn)擊一下黑客特制的惡意鏈接并進(jìn)行語(yǔ)音交互,便會(huì)遭到入侵。
Alexa 能夠進(jìn)行語(yǔ)音交互、設(shè)置警報(bào)、播放音樂(lè)并控制家庭自動(dòng)化系統(tǒng)中的智能設(shè)備,全球銷量超過(guò) 2 億臺(tái)。用戶可以通過(guò)安裝語(yǔ)音驅(qū)動(dòng)應(yīng)用 skill 來(lái)擴(kuò)展 Alexa 的功能。但用戶 Alexa 帳戶中存儲(chǔ)的大量個(gè)人信息及其家庭自動(dòng)化控制作用使其成為黑客的誘人目標(biāo)。
Check Point 研究人員展示了黑客如何利用他們?cè)?Amazon/Alexa 特定子域中發(fā)現(xiàn)的漏洞,通過(guò)向目標(biāo)用戶發(fā)送偽造的來(lái)自 Amazon 的惡意鏈接來(lái)發(fā)起攻擊。如果用戶點(diǎn)擊鏈接,攻擊者就可以:
訪問(wèn)受害者的個(gè)人信息,例如銀行數(shù)據(jù)歷史數(shù)據(jù)、用戶名、電話號(hào)碼和家庭住址
使用 Alexa 提取受害者的語(yǔ)音歷史記錄
在用戶的 Alexa 帳戶上靜默安裝 skill(內(nèi)置功能)
查看 Alexa 用戶帳戶的整個(gè) skill 列表
靜默刪除已安裝的 skill
Check Point 產(chǎn)品漏洞研究主管 Oded Vanunu 表示:“智能揚(yáng)聲器和虛擬助手的應(yīng)用非常普遍,我們很容易忽視它們所擁有的個(gè)人數(shù)據(jù),以及它們?cè)诳刂破渌彝ブ悄茉O(shè)備方面的作用。這給了黑客可乘之機(jī),讓他們有機(jī)會(huì)在用戶不知情的情況下訪問(wèn)數(shù)據(jù)、竊聽對(duì)話或執(zhí)行其他惡意操作。我們開展這項(xiàng)研究是為了強(qiáng)調(diào)這些設(shè)備的安全性對(duì)于保護(hù)用戶隱私有多么重要。慶幸的是,Amazon 對(duì)我們的披露迅速做出了響應(yīng),修復(fù)了 Amazon/Alexa 特定子域上的漏洞。我們希望類似設(shè)備制造商能夠以此為鑒,檢查其產(chǎn)品中是否存在可能危及用戶隱私的漏洞。我們之前還對(duì) Tiktok、WhatsApp 和 Fortnite 進(jìn)行了研究?紤]到 Alexa 的普遍性及其與物聯(lián)網(wǎng)設(shè)備的關(guān)聯(lián),我們關(guān)注了它很久。往往是那些越受歡迎的數(shù)字平臺(tái)對(duì)我們?cè)斐傻膿p失越大。因此,保障它們的安全性至關(guān)重要。”
Amazon 在收到報(bào)告后及時(shí)修復(fù)了此問(wèn)題。
關(guān)于 Check Point Research
Check Point Research 能夠?yàn)?Check Point Software 客戶以及整個(gè)情報(bào)界提供領(lǐng)先的網(wǎng)絡(luò)威脅情報(bào)。Check Point 研究團(tuán)隊(duì)負(fù)責(zé)收集和分析 ThreatCloud 存儲(chǔ)的全球網(wǎng)絡(luò)攻擊數(shù)據(jù),以便在防范黑客的同時(shí),確保所有 Check Point 產(chǎn)品都享有最新保護(hù)措施。此外,該團(tuán)隊(duì)由 100 多名分析師和研究人員組成,能夠與其他安全廠商、執(zhí)法機(jī)關(guān)及各個(gè)計(jì)算機(jī)安全應(yīng)急響應(yīng)組展開合作。
關(guān)于 Check Point 軟件技術(shù)有限公司
Check Point 軟件技術(shù)有限公司是一家面向全球企業(yè)用戶業(yè)內(nèi)領(lǐng)先的信息安全解決方案提供商。Check Point 解決方案對(duì)惡意軟件、勒索軟件和高級(jí)目標(biāo)威脅的防范率處于業(yè)界領(lǐng)先水準(zhǔn),可有效保護(hù)客戶免受第五代網(wǎng)絡(luò)攻擊。Check Point 為業(yè)界提供前瞻性多級(jí)安全架構(gòu) Infinity Total Protection,這一組合產(chǎn)品架構(gòu)具備第五代高級(jí)威脅防御能力,可全面保護(hù)企業(yè)的云、網(wǎng)絡(luò),移動(dòng),工業(yè)互聯(lián)網(wǎng)和IOT系統(tǒng)。
發(fā)表評(píng)論
請(qǐng)輸入評(píng)論內(nèi)容...
請(qǐng)輸入評(píng)論/評(píng)論長(zhǎng)度6~500個(gè)字
圖片新聞
最新活動(dòng)更多
-
12月19日立即報(bào)名>> 【線下會(huì)議】OFweek 2024(第九屆)物聯(lián)網(wǎng)產(chǎn)業(yè)大會(huì)
-
精彩回顧立即查看>> 2024中國(guó)國(guó)際工業(yè)博覽會(huì)維科網(wǎng)·激光VIP企業(yè)展臺(tái)直播
-
精彩回顧立即查看>> 【產(chǎn)品試用】RSE30/60在線紅外熱像儀免費(fèi)試用
-
精彩回顧立即查看>> 2024(第五屆)全球數(shù)字經(jīng)濟(jì)產(chǎn)業(yè)大會(huì)暨展覽會(huì)
-
精彩回顧立即查看>> 【線下會(huì)議】全數(shù)會(huì)2024電子元器件展覽會(huì)
-
精彩回顧立即查看>> 三菱電機(jī)紅外傳感器的特性以及相關(guān)應(yīng)用領(lǐng)域
編輯推薦
- 高級(jí)軟件工程師 廣東省/深圳市
- 自動(dòng)化高級(jí)工程師 廣東省/深圳市
- 光器件研發(fā)工程師 福建省/福州市
- 銷售總監(jiān)(光器件) 北京市/海淀區(qū)
- 激光器高級(jí)銷售經(jīng)理 上海市/虹口區(qū)
- 光器件物理工程師 北京市/海淀區(qū)
- 激光研發(fā)工程師 北京市/昌平區(qū)
- 技術(shù)專家 廣東省/江門市
- 封裝工程師 北京市/海淀區(qū)
- 結(jié)構(gòu)工程師 廣東省/深圳市