スマートスピーカーでもフィッシングに要注意、研究者がデモ - sophos naked security

技術の向上は生活を便利にするが、パケットのキャプチャはもちろん、スキミングに果ては漏洩電磁波まで流れ出るものを捕捉する技術が悪用されると安寧が脅かされる。スマートスピーカーも利便性の向上が見込まれるものだが、注意点は無いのだろうか。セキュリティベンダーSophosのオウンドメディアでLisa Vaas氏がレポートしている。

Lisa Vaas氏によるとユーザーがスマートスピーカーをオフにしたつもりでもまだ会話を聞き続けている脆弱性に対応するため、AmazonとGoogleがスパイアプリ、フィッシングアプリを遮断。これらのアプリは"アップデートがある"などと事実とは異なることを述べて、ユーザーに悪意あるアプリのインストールを促し、パスワードを話すように求めるそうだ。このような音声によるフィッシングの問題は大きくなっていると同氏は警鐘を鳴らしている。結論として、スマートスピーカーアプリがパスワードを言うように求めた場合は信じるべきではない。通常のアプリで、パスワードの読み上げを求めるものはないからだと述べている。

独のベルリンベースのセキュリティラボSecurity Research Labs(SRL)が示す"Smart Spies"を紹介。外部開発者がAmazon AlexaやGoogle Homeの機能拡張ができるため、スマートボイスアプリSkills on Alexa、そしてActions on Google Homeを経由してスパイウェアに入り込むことができ、ユーザーを盗聴したりパスワードを聞き出すのに悪用されることから、プライバシー問題につながる可能性を指摘。その手法を紹介している。

機密データの取得
1.AmazonまたはGoogleアプリのレビュープロセスで一見無害に見えるアプリケーションを作成。
2.レビューの後にアプリを改変し、ウェルカムメッセージが"このスキルは現在あなたの国では利用できません"といったエラーに見えるようにする。 3.ウェルカムメッセージの後に、アプリが長く停止するようにすることでアプリが終了したと思わせる。(スピーカーに発音不可能な文字列を"言わせる"ことで実現する）
4."重要なセキュリティ更新があります。"スタート"と話してアップデートを開始し、その後パスワードを話してください"など、アプリにデバイスそのものからと思わせるメッセージを言わせる。
5.ユーザーが話したパスワードを"slot value"(ユーザー入力)として取得して、その情報を攻撃者に送る。

盗聴
1.AmazonまたはGoogleアプリのレビュープロセスで一見無害に見えるアプリケーションを作成。
2."ストップ"と言う言葉がトリガになる関数、よくある言語やあるいは攻撃者の関心をそそるような言葉がトリガになる関数をアプリに入れる。2つの関数はトリガされるとすぐに話された言葉を取得する。
3.アプリがレビューを受けた後、"ストップ"でトリガされた関数が、長い休止時間の後に"グッバイ"に反応するように変更する。これによりユーザーはアプリが終了したと思い込む。
4.レビューのあと、2つ目の関数を変更してトリガに反応しないようにする。ユーザーがアプリが終了する前に会話の中で無害なトリガワードを偶然口にした場合、内容に関係なく攻撃者に送るようにする。

なお、BBC(ニュース)によると、SRLがAmazonとGoogleに脆弱性について警告したところ、GoogleはSRLのActionsを削除し、「このような問題が将来発生しないようにするため、追加のメカニズムを導入した」と回答。Amazonも削除し、このような悪用が将来起こらないように遮断しているとのことだ。

長い停止/沈黙でアプリが終了させたと思わせながら情報を詐取しているところがポイントだ。視覚で入るデバイスでは、アプリの終了を把握できる場合が多いがスマートスピーカーではこれが困難になる。AIの進化など解析技術が進み、テキストも音声もデジタルデータとしては何ら変わらない時代になりつつある。Lisa Vaas氏が指摘するようにパスワードなど重要なデータが求められる場合は、どんなアウトプットであろうと注意を払う必要がある。