خطأ أليكسا يكشف معلومات المستخدمين

قال باحثون في مجال الأمن السيبراني إن عيبًا في أجهزة Alexa المنزلية الذكية من أمازون كان من الممكن أن يسمح للقراصنة بالوصول إلى المعلومات الشخصية وسجل المحادثات، ويمكن للمهاجمين تثبيت التطبيقات أو إزالتها على الجهاز دون علم المالك، بحسب تقرير Check Point Research، حيث أخبرت أمازون عن الخلل الذي تم إصلاحه الآن.

وقالت أمازون:” إن أمان أجهزتنا يمثل أولوية قصوى، ونحن نقدر عمل المستقلين باحثون مثل Check Point الذين يجلبون لنا مشكلات محتملة”، وأضافت أنها لا تعرف بأي حالة استخدم فيها أحد الممثلين السيئين الثغرة الأمنية لاستهداف عملائها.

في يناير، قالت أمازون إن هناك” مئات الملايين “من أجهزة Alexa وقال موقع Check Point إن الاختراق يتطلب إنشاء رابط أمازون ضار، الذي سيتم إرساله إلى مستخدم غير متشكك.

بمجرد النقر على الرابط، يمكن للمهاجم الحصول على قائمة بجميع ملفات Alexa المثبتة، كما يمكنهم سرقة رمز مميز يسمح لهم بإضافة الميزات أو إزالتها، وتتمثل إحدى طرق استخدام الخلل في إزالة ميزة ثم تثبيت و ميزة ضارة تستخدم نفس” عبارة الاستدعاء “- سلسلة الكلمات المنطوقة المستخدمة لتشغيله.

كان من الممكن أن يتم ذلك دون علم المستخدم، وفي المرة التالية التي حاول فيها المستخدم تنشيط تلك الميزة، كان من الممكن أن يقوم بتشغيل تطبيق المهاجم بدلاً من ذلك.

حيث كان المهاجمون قادرين على رؤية سجل صوت Alexa – وهو سجل للمحادثات بين المستخدم والجهاز، وقال Check Point إن هذا قد يخلق مشاكل كبيرة، مشيراً إلى الميزات المصرفية التي تتيح للمستخدم التحقق من رصيد حسابه، وقالوا “قد يؤدي ذلك إلى الكشف عن المعلومات الشخصية، مثل سجل البيانات المصرفية” رغم أنها لا تحفظ تفاصيل تسجيل الدخول المصرفي.

اعترضت أمازون على هذا الاقتراح، قائلة إن المعلومات المصرفية مثل الأرصدة تم تنقيحها في سجل ردود أليكسا، لذلك لم يكن من الممكن الوصول إليها، كما سيسمح الهجوم أيضًا بالوصول إلى المعلومات الشخصية في ملف تعريف أمازون، مثل عنوان المنزل، كما قالت شركة أمازون إنها تعتقد أن استخدام مهارة خبيثة سرية أقل احتمالا مما أشار إليه باحثو Check Point.

وقالت إن هناك أنظمة في مكانها لمنع الميزات الضارة من الوصول إلى متجر مهارات أليكسا وأن المراجعات الأمنية كانت جزءًا من عمليتها، كما تم أيضًا إلغاء تنشيط التطبيقات التي تتصرف بشكل سيء بشكل روتيني.

حيث قال البروفيسور آلان وودوارد، خبير الأمن السيبراني في جامعة ساري، “إنهم بارعون جدًا في ذلك ويعرفون أن سمعتهم معرضة للخطر”.

الشيء الغريب في هذا الاختراق هو أنه كان بسبب ثغرة معروفة، لذلك من المدهش رؤيته في ملكية أمازون، حيث “قال إن الوصول إلى السجلات الصوتية كان مصدر قلق كبير، لكنه لم يكن متأكدًا مما إذا كان المتسللون الآخرون قد علموا بنقاط الضعف في نطاقات فرعية محددة استخدمت لشن الهجوم.

المصدر : bbc news