研究人員展示了黑客如何刪除／安裝受害者 Alexa 帳戶上的 skill（內(nèi)置功能）、訪問(wèn)語(yǔ)音歷史記錄和個(gè)人信息

近日，全球領(lǐng)先網(wǎng)絡(luò)安全解決方案提供商 CheckPoint軟件技術(shù)有限公司（納斯達(dá)克股票代碼：CHKP）的威脅情報(bào)部門 Check Point Research 近日在 Amazon／Alexa 特定子域中發(fā)現(xiàn)了安全漏洞，黑客可利用這些漏洞刪除／安裝目標(biāo)受害者 Alexa 帳戶上的 skill，并訪問(wèn)其語(yǔ)音歷史記錄和個(gè)人數(shù)據(jù)。用戶點(diǎn)擊一下黑客特制的惡意鏈接并進(jìn)行語(yǔ)音交互，便會(huì)遭到入侵。

Alexa 能夠進(jìn)行語(yǔ)音交互、設(shè)置警報(bào)、播放音樂(lè)并控制家庭自動(dòng)化系統(tǒng)中的智能設(shè)備，全球銷量超過(guò) 2 億臺(tái)。用戶可以通過(guò)安裝語(yǔ)音驅(qū)動(dòng)應(yīng)用 skill 來(lái)擴(kuò)展 Alexa 的功能。但用戶 Alexa 帳戶中存儲(chǔ)的大量個(gè)人信息及其家庭自動(dòng)化控制作用使其成為黑客的誘人目標(biāo)。

Check Point 研究人員展示了黑客如何利用他們?cè)?Amazon／Alexa 特定子域中發(fā)現(xiàn)的漏洞，通過(guò)向目標(biāo)用戶發(fā)送偽造的來(lái)自 Amazon 的惡意鏈接來(lái)發(fā)起攻擊。如果用戶點(diǎn)擊鏈接，攻擊者就可以：

訪問(wèn)受害者的個(gè)人信息，例如銀行數(shù)據(jù)歷史數(shù)據(jù)、用戶名、電話號(hào)碼和家庭住址

使用 Alexa 提取受害者的語(yǔ)音歷史記錄

在用戶的 Alexa 帳戶上靜默安裝 skill（內(nèi)置功能）

查看 Alexa 用戶帳戶的整個(gè) skill 列表

靜默刪除已安裝的 skill

Check Point 產(chǎn)品漏洞研究主管 Oded Vanunu 表示：“智能揚(yáng)聲器和虛擬助手的應(yīng)用非常普遍，我們很容易忽視它們所擁有的個(gè)人數(shù)據(jù)，以及它們?cè)诳刂破渌�家庭智能設(shè)備方面的作用。這給了黑客可乘之機(jī)，讓他們有機(jī)會(huì)在用戶不知情的情況下訪問(wèn)數(shù)據(jù)、竊聽對(duì)話或執(zhí)行其他惡意操作。我們開展這項(xiàng)研究是為了強(qiáng)調(diào)這些設(shè)備的安全性對(duì)于保護(hù)用戶隱私有多么重要。慶幸的是，Amazon 對(duì)我們的披露迅速做出了響應(yīng)，修復(fù)了 Amazon／Alexa 特定子域上的漏洞。我們希望類似設(shè)備制造商能夠以此為鑒，檢查其產(chǎn)品中是否存在可能危及用戶隱私的漏洞。我們之前還對(duì) Tiktok、WhatsApp 和 Fortnite 進(jìn)行了研究�？紤]到 Alexa 的普遍性及其與物聯(lián)網(wǎng)設(shè)備的關(guān)聯(lián)，我們關(guān)注了它很久。往往是那些越受歡迎的數(shù)字平臺(tái)對(duì)我們?cè)斐傻膿p失越大。因此，保障它們的安全性至關(guān)重要。”

Amazon 在收到報(bào)告后及時(shí)修復(fù)了此問(wèn)題。

關(guān)于 Check Point Research

Check Point Research 能夠?yàn)?Check Point Software 客戶以及整個(gè)情報(bào)界提供領(lǐng)先的網(wǎng)絡(luò)威脅情報(bào)。Check Point 研究團(tuán)隊(duì)負(fù)責(zé)收集和分析 ThreatCloud 存儲(chǔ)的全球網(wǎng)絡(luò)攻擊數(shù)據(jù)，以便在防范黑客的同時(shí)，確保所有 Check Point 產(chǎn)品都享有最新保護(hù)措施。此外，該團(tuán)隊(duì)由 100 多名分析師和研究人員組成，能夠與其他安全廠商、執(zhí)法機(jī)關(guān)及各個(gè)計(jì)算機(jī)安全應(yīng)急響應(yīng)組展開合作。

關(guān)于 Check Point 軟件技術(shù)有限公司

Check Point 軟件技術(shù)有限公司是一家面向全球企業(yè)用戶業(yè)內(nèi)領(lǐng)先的信息安全解決方案提供商。Check Point 解決方案對(duì)惡意軟件、勒索軟件和高級(jí)目標(biāo)威脅的防范率處于業(yè)界領(lǐng)先水準(zhǔn)，可有效保護(hù)客戶免受第五代網(wǎng)絡(luò)攻擊。Check Point 為業(yè)界提供前瞻性多級(jí)安全架構(gòu) Infinity Total Protection，這一組合產(chǎn)品架構(gòu)具備第五代高級(jí)威脅防御能力，可全面保護(hù)企業(yè)的云、網(wǎng)絡(luò)，移動(dòng)，工業(yè)互聯(lián)網(wǎng)和IOT系統(tǒng)。