AlexaとGoogle Homeをスマートスパイに変化させる脆弱性。盗聴やパスワード盗難に応用可能
Amazon Alexa やGoogle Homeといった音声で指示を与えるインターフェースを持つスマートスピーカーは米国を中心に普及の兆しを見せている。ベルリンのセキュリティ研究機関、SRLabs(Security Research Labs)は、スマートスピーカーを、スマートスパイへと変化させる脆弱性が存在すると報告した。
AlexaやGoogle Homeには、"Skills for Alexa" や "Actions on Google Home"といった、サードパーティ独自のアプリを提供することが可能だ。これによって、スマートスピーカの機能を拡張することが出来る。SRLabsは、スマートスパイという盗聴行為等を可能にするアプリを実際に開発し、AmazonとGoogleの承認プロセスを回避し、Amazon Echo やGoogle Homeで実際に動作可能であることを証明した。
■サードパーティーがユーザーの音声入力を利用可能な点に注目
Alexaのスキルや、Google Home アクションはどちらも、アプリケーション提供者が設定したアプリ名を呼び出すことで起動する。例えば、「アレクサ、"星占い" を実行して」といったように、ユーザーは、特定のフレーズをスマートスピーカに話しかけることでアプリケーションを起動可能だ。そして、「"今日の"星占いを教えてください。」のように、簡単なオプションも指定することが可能だ。
こういった標準的な音声UIを利用して、SRLabsの研究者らはスマートスパイアプリを開発し、2つの方法でユーザーのプライバシーを侵害可能で有ることを実証した。
スマートスパイアプリで実行可能な2つのシナリオ
・パスワードを含む個人データの要求および収集する
・スマートスピーカーが停止したと、錯覚したユーザーの会話を盗聴する
■スマートスパイの3つの構成要素
SRLabsが開発した「スマートスパイ」アプリは、3つの構成要素を組み合わせたものだ。
a.「Fallback Intents」。これを利用して、ユーザの指示を特定のアプリに紐付けることが出来なかった時の動作を指定する。
例「すみません、それは理解できませんでした。もう一度言っていただけますか。」
b.ユーザーが「Stop」と言った時に反応する「Stop Intents」。そして、アプリケーションがプラットフォームのレビュープロセスを通過した後で、目的の機能を変更できるという脆弱性の活用。
c.AlexaとGoogleのText-to-Speechエンジンの癖。長いポーズを音声出力に挿入できるようにした。
■パスワードを不正に聞き出すデモ
SRLabsは、スマートスパイアプリで、ユーザのパスワードを不正に要求するデモ動画を公開している。
・Alexaを利用した、パスワードを聞き出すフィッシングのデモ動画
・Google Homeを利用した、パスワードを聞き出すフィッシングのデモ動画
この動画では、"Start My Lucky Holoscope"という指示で、一見すると星占いアプリを起動するような指示で、スマートスパイを起動している。女性が、アプリを起動すると、Alexaは、"このスキルは現在、あなたの国では利用できません。"と返す。勿論これは、上述の脆弱性を利用した「嘘の返答」である。
しかし、この「嘘の返答」によって、ユーザは「アプリが起動しなかった」と錯覚する。そして、Alexaはスキルは起動しているが「無音」状態を維持した後で、「デバイスの重要なセキュリティ更新プログラムがあります。更新を開始してからパスワードを入力してください。」と問いかけてくる。ここで、返答したパスワードが、攻撃者へ送信される。
■ユーザの会話を盗聴するデモ
次の動画は、スマートスピーカを利用した盗聴のデモ動画だ。
・Alexaを利用した、盗聴のデモ
・Google Homeを利用した、盗聴のデモ
この動画では、"Start Today's Lucky HoloScope"という指示で、星占いアプリを起動し、今日の運勢をAlexaが話し出すが、女性が途中で"Alexa Stop"と指示を出し、星占いアプリが"Good Bye"と応え、アプリが停止したように"思わせる"。しかし、アプリは起動したままで有り、その後、女性が「I Will vote Democrats」と呟いたフレーズが盗聴され、攻撃者へ送信される。
■メーカー側のチェックプロセス改善が必要
今回のSRLabsの発表の重要な点は、彼らの開発環境でのデモというわけではなく、AmazonとGoogleのアプリ登録審査をパスしているという点だ。また、審査後のアプリケーションの動作変更について再審査が不要で有るという審査プロセスの不備を突いている点だ。
SRLabsは既に両メーカに対して、本事象を報告済みのため、何らかの改善がされることを期待したい。
また、スマートスピーカーを利用しているユーザは、こういったリスクが有ることを理解して、利用しなければならないだろう。特に今回の"盗聴"については、スマートスピーカー登場時から度々指摘されてきた点であり、メーカ標準機能としては当然搭載されていないが、今回のようにサードパーティ製のアプリを装ってサイバー攻撃者が盗聴機能を組み込んでくる可能性は否定出来ない。
スマートスピーカーは便利なツールでは有るが、プライバシーと密接に関わる機器でも有るため、これまでとは毛色の異なるサイバー攻撃が発生する可能性がある。例えばプライベートな会話を盗聴し、盗聴データとの交換のために仮想通貨を要求する等だ。利用には十分注意することを推奨したい。
