Pour ceux qui utilisent Amazon Alexa, envisagez peut-être de sécuriser vos comptes

20160817_chkp_graphic

Note de l'éditeur: Si vous utilisez Amazon Alexa, Check Point Software a signalé qu'il existe des vulnérabilités dans certains sous-domaines Amazon Alexa. Vous voudrez peut-être vérifier votre compte. Comme d'habitude, ne cliquez jamais sur les liens malveillants qui vous sont envoyés, même si cela semble légitime à partir d'un contact apparemment connu (car les contacts pourraient être piratés). Le communiqué de presse du fournisseur est ci-dessous.


Désactiver Alexa: Check Point Research trouve des vulnérabilités dans certains sous-domaines Amazon Alexa

Les chercheurs démontrent comment les pirates peuvent supprimer / installer des compétences sur le compte Alexa d'une victime, accéder aux historiques vocaux et aux informations personnelles

SINGAPOUR, @mcgallen #microwireinfo, 14 août 2020 - Check Point Research, la branche Threat Intelligence de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), l'un des principaux fournisseurs de solutions de cybersécurité au niveau mondial, a récemment identifié des vulnérabilités de sécurité dans certains sous-domaines Amazon / Alexa qui auraient permis à un pirate informatique de supprimer / installer des compétences sur le compte Alexa de la victime ciblée, d'accéder à son historique vocal et à ses données personnelles. . L'attaque a nécessité un simple clic de l'utilisateur sur un lien malveillant créé par le pirate informatique et une interaction vocale de la victime. Avec plus de 200 millions vendus dans le monde, Alexa est capable d'interagir avec la voix, de définir des alertes, de lire de la musique et de contrôler des appareils intelligents dans un système domotique. Les utilisateurs peuvent étendre les capacités d'Alexa en installant des «compétences». qui sont des applications à commande vocale. Cependant, les informations personnelles stockées dans les comptes Alexa des utilisateurs et l'utilisation de l'appareil comme contrôleur domotique en font une cible attrayante pour les pirates.

Les chercheurs de Check Point ont démontré comment les vulnérabilités trouvées dans certains sous-domaines Amazon / Alexa pouvaient être exploitées par un pirate informatique qui créait et envoyait un lien malveillant à un utilisateur cible, qui semble provenir d'Amazon. Si l'utilisateur clique sur le lien, l'attaquant peut alors:

  • Accéder aux informations personnelles d'une victime, telles que l'historique des données bancaires, les noms d'utilisateur, les numéros de téléphone et l'adresse du domicile
  • Extraire l'historique vocal d'une victime avec son Alexa
  • Installer silencieusement des compétences (applications) sur le compte Alexa d'un utilisateur
  • Afficher la liste complète des compétences du compte d'un utilisateur Alexa
  • Supprimer silencieusement une compétence installée

«Les haut-parleurs intelligents et les assistants virtuels sont si courants qu'il est facile d'oublier la quantité de données personnelles qu'ils détiennent et leur rôle dans le contrôle d'autres appareils intelligents dans nos maisons. Mais les pirates les voient comme des points d'entrée dans la vie des gens, leur donnant la possibilité d'accéder aux données, d'écouter des conversations ou de mener d'autres actions malveillantes sans que le propriétaire en soit conscient », a déclaré Oded Vanunu, responsable de la recherche sur les vulnérabilités des produits chez Check Point. «Nous avons mené cette recherche pour mettre en évidence à quel point la sécurisation de ces appareils est essentielle au maintien de la confidentialité des utilisateurs. Heureusement, Amazon a répondu rapidement à notre divulgation pour fermer ces vulnérabilités sur certains sous-domaines Amazon / Alexa. Nous espérons que les fabricants d'appareils similaires suivront l'exemple d'Amazon et vérifieront leurs produits pour les vulnérabilités qui pourraient compromettre la confidentialité des utilisateurs. Auparavant, nous avons mené des recherches sur Tiktok, WhatsApp et Fortnite. Alexa nous préoccupe depuis un certain temps maintenant, compte tenu de son omniprésence et de sa connexion aux appareils IoT. Ce sont ces méga plateformes numériques qui peuvent nous nuire le plus. Par conséquent, leurs niveaux de sécurité sont d'une importance cruciale. »

Amazon a résolu ce problème peu de temps après son signalement.

Pour plus de détails sur les vulnérabilités et une vidéo montrant comment elles auraient pu être exploitées, visitez https://research.checkpoint.com

À propos de Check Point Research
Check Point Research fournit des renseignements de pointe sur les cybermenaces aux clients de Check Point Software et à l'ensemble de la communauté du renseignement. L'équipe de recherche recueille et analyse les données mondiales de cyber-attaque stockées sur ThreatCloud pour tenir les pirates à distance, tout en s'assurant que tous les produits Check Point sont mis à jour avec les dernières protections. L'équipe de recherche se compose de plus de 100 analystes et chercheurs qui coopèrent avec d'autres fournisseurs de sécurité, les forces de l'ordre et divers CERT.

Suivez Check Point Research via:

À propos de Check Point Software Technologies Ltd.
Check Point Software Technologies Ltd. (www.checkpoint.com) est l'un des principaux fournisseurs de solutions de cybersécurité aux gouvernements et aux entreprises du monde entier. Les solutions de Check Point protègent les clients contre les cyber-attaques de 5e génération avec un taux de capture de logiciels malveillants, de ransomwares et de menaces ciblées avancées. Check Point propose une architecture de sécurité à plusieurs niveaux, «Infinity Total Protection with Gen V Advanced Threat Prevention», cette architecture de produit combinée défend le cloud, le réseau et les appareils mobiles d'une entreprise. Check Point fournit le système de gestion de la sécurité à un point de contrôle le plus complet et le plus intuitif. Check Point protège plus de 100,000 XNUMX organisations de toutes tailles.

###