I cyber attacchi ai danni degli smartphone sono una piaga nota. In passato i ricercatori hanno eseguito test con le onde ultrasoniche, appurando che si possono usare per inviare un singolo comando. Ora la ricerca si espande grazie al lavoro della Washington University di St. Louis.

Gli scienziati hanno scoperto che questo tipo di onde si può propagare attraverso molte superfici solide, come metallo, vetro e legno. Che cosa si può fare con le onde ultrasoniche? Si possono attivare i sistemi di riconoscimento vocale di uno smartphone appoggiato su una di queste superfici. In più, usando microfoni di fascia economica, è possibile controllare lo smartphone a distanza.

Lo studio è stato condotto da Ning Zhang, assistente Professore di Informatica e Ingegneria presso la McKelvey School of Engineering e dai suoi collaboratori. Hanno inviato comandi "vocali" agli smartphone appoggiati su un tavolo, accanto al proprietario. Con l'aggiunta di un microfono nascosto, sono stati in grado di comunicare con il telefono, comandandolo da lontano. È quello che hanno definito "Surfing Attack".
Ning Zhang, assistente Professore di Informatica e Ingegneria presso la McKelvey School of Engineering

I test della Washington University

Le onde ultrasoniche sono onde sonore con una frequenza superiore a quella udibile dagli esseri umani. I microfoni per cellulare, tuttavia, possono registrare queste frequenze. Secondo Zhang, "se sai come giocare con i segnali, puoi fare che il telefono interpreti le onde sonore in arrivo come comandi".

Per testare la capacità delle onde ultrasoniche di trasmettere comandi attraverso superfici solide, il gruppo ha organizzato esperimenti con telefoni appoggiati su tavoli di diversi materiali. Sul fondo del tavolo sono stati installati un microfono e un trasduttore piezoelettrico – un oggetto che converte l'elettricità in onde ultrasoniche. Dall'altra parte del tavolo rispetto al telefono, nascosto al proprietario dello smartphone, è stato disposto un generatore di forme d'onda. Aveva il compito di generare i segnali corretti.

I ricercatori hanno condotto due test, legati fra di loro. In uno hanno recuperato un SMS di testo. È stato usato il comando vocale molto comune "leggi i miei messaggi", legato all'autenticazione a due fattori. Il messaggio includeva il codice inviato da una banca, per verificare l'identità dell'utente.

L'altro test è consistito in una chiamata. I ricercatori hanno detto all'assistente virtuale di abbassare il volume al livello 3. Così facendo, la vittima non ha notato la chiamata in corso dato che l'ambiente era rumoroso. Hanno simulato una chiamata in ingresso da una banca, confermando la propria identità con il codice SMS rubato al passaggio precedente. La conversazione era udibile tramite il microfono sotto al tavolo, ma non dalla vittima.
Il Surfing Attack sfrutta l'onda ultrasonica generata da un trasduttore ultrasonico nascosto sotto al tavoloIn un altro test, il dispositivo di attacco ha inviato il messaggio "chiama Sam con il vivavoce". Usando il microfono sotto al tavolo, l'attaccante ha portato avanti tranquillamente una conversazione con "Sam".

Le onde ultrasoniche hanno attraversato metallo, vetro e legno. Hanno funzionato anche sulle superfici in plastica, ma in modo non affidabile. Le custodie per smartphone hanno influenzato solo marginalmente le percentuali di successo degli attacchi. A nulla a è servito posizionare acqua sul tavolo, che potenzialmente assorbe le onde. È stato inoltre appurato che un'ondata di attacchi potrebbe colpire più telefoni contemporaneamente.

Le prove hanno coinvolto 17 diversi modelli di smartphone, tra cui iPhone, Galaxy e Moto. Tutti, tranne due, sono risultati vulnerabili agli attacchi tramite onde ultrasoniche. Zhang ha aggiunto di avere provato a cambiare la posizione dei telefoni, modificando l'orientamento del microfono, senza penalizzare i test. Le prove sono andate a buon fine a distanze fino a 9 metri.

Come proteggersi

I ricercatori hanno suggerito alcuni meccanismi di difesa che potrebbero proteggere da un Surfing Attack analogo a quello simulato. La soluzione più efficace sarebbe sviluppare un software che analizzi i segnali vocali ricevuti e distingua le onde ultrasoniche dalle voci umane autentiche. Un'altra idea è modificare il layout degli smartphone, posizionando il microfono in una zona che smorzi o sopprima le onde a ultrasuoni.
La valutazione della direzionalitàPerò c'è un modo ancora più semplice e banale: appoggiare sempre il telefono su una tovaglia. Dai test, infatti, risulta che un tessuto morbido aumenta la "mancata corrispondenza dell'impedenza".