Alexa hackt sich selbst - Sicherheitslücke in Amazons Sprachassistenten

Cybersecurity

Einer Gruppe Forschern ist es gelungen, Amazons Sprachassistentin Alexa zu kapern. Bei ihrem Verfahren gibt sich Alexa quasi selbst Befehle. Auf diese Weise konnten die Forschenden unerwünschte Artikel bestellen, Kalender manipulieren oder Leute belauschen. Amazon hat inzwischen reagiert.

(Source: Find Experts at Kilta.com / Unsplash.com)

Über eine Sicherheitslücke hat sich Amazons Sprachassistentin Alexa manipulieren lassen. Dies berichtet "T3N" unter Berufung auf eine Forschungsarbeit mit dem Titel "Alexa versus Alexa" (PDF).

Darin beschreiben die Forscher Sergio Esposito und Daniele Sgandurra von der Londoner Royal Holloway University sowie Giampaolo Bella von der Università degli Studi di Catania, wie sich mittels eines per Bluetooth verbundenen Geräts Sprachbefehle ausführen lassen. Erzeugt werden diese Befehle von einer synthetischen Stimme, wie Alexa selbst sie nutzt. Alexa könne folglich auch sich selbst Befehle erteilen, schreiben die Forscher.

Wie das Ganze funktioniert, zeigt Mitautor Sergio Esposito in einem Video:

Die Angreiferin oder der Angreifer muss für kurze Zeit nahe genug beim zu übernehmenden Lautsprecher stehen, um ihm den Sprachbefehl zum Koppeln (pairing) zu erteilen. Und auch danach sei es erforderlich, sich innerhalb des Bluetooth-Empfangsbereichs aufzuhalten, geht aus dem Papier hervor.

Waren diese Bedingungen erfüllt, konnten die Forscher Alexa etwa dazu bringen, Amazon-Artikel zu bestellen, Smarthome-Geräte fernzusteuern, die Kalender registrierter Benutzerinnen und Benutzer zu manipulieren oder auch Personen zu belauschen. Dies habe bei den Alexa-Geräten EchoDot der 3. und 4. Generation funktioniert.

Inzwischen hat Amazon auf die Ergebnisse der Forscher reagiert. "Wir haben das von den Forscherinnen und Forscher aufgezeigte Problem der Selbstaktivierung von Alexa Skills aus der Ferne behoben, das durch eine längere Stille aufgrund von 'Break Tags' verursacht wurde", zitiert "T3N" eine Stellungnahme des Unternehmens. "Ausserdem haben wir Systeme im Einsatz, um Live-Skills kontinuierlich auf potenziell böswilliges Verhalten zu überwachen, einschliesslich stiller Interaktionen. Alle Skills, die wir als anstössig identifizieren, werden während der Zertifizierung blockiert oder schnell deaktiviert, und wir verbessern diese Mechanismen ständig, um unsere Kundinnen und Kunden weiterhin zu schützen."

In der Schweiz ist Amazons Sprachassistentin Alexa offiziell seit knapp einem Jahr verfügbar. Sie versteht Deutsch, Französisch, Italienisch und Englisch, wie Sie hier lesen können.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den wöchentlichen Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.