Phishing via bagdørsfinte: Uvedkommende kan lytte med på dine samtaler med Alexa og Google Assistant

Udspekulerede app-producenter kan udnytte backend-muligheder i stemmeassistenterne Alexa og Google Home til at spionere på brugere og snyde dem til at udlevere sensitiv information.

Med få kodeændringer kan en lusket app producere lange perioder af stilhed, hvor appen fortsat lytter med til brugerens samtaler. Det skriver Zdnet.com.

I nogle tilfælde kan en app under denne stilhed, hvor appen via stemmeassistenten fortsat lytter med, foregive, at appen er brudt sammen og ophørt med at virke.

Få minutter efter appen er 'gået i stå', vil appen præsentere en falsk opdateringsnotifikation fra Google eller Amazon, hvori den beder brugeren om at indtale sin adgangskode.

Ideelt set, fra den luskede producents perspektiv, vil brugeren ikke opdage, at appen efter at være 'gået i stå' faktisk fortsat er aktiv, hvorefter vedkommende udleverer sin adgangskode i forbindelse med den falske opdatering, alt imens appen fortsat optager brugerens interaktion med stemmeassistenten.

Derved er der mulighed for, at brugerens adgangskode falder i de forkerte hænder. To forskere fra Security Research Labs, der også står bag opdagelsen af denne teknik, kritiserer Amazon og Google for ikke at være i stand til at identificere og forbyde omstændigheder som de lange pauser.

Amazon har ikke kommenteret sagen endnu. Google fortæller til Zdnet.com, at man arbejder på sagen, og at Google-enheder aldrig vil efterspørge brugerens adgangskoder.