LOGIN
Al fatto che i computer siano ormai "terreno di conquista" di virus, trojan, ransomware e ogni altro tipo di malware ci abbiamo fatto l'abitudine. E, pian piano, ci si sta abituando anche al fatto che la stessa sorte sia toccata agli smartphone: quelli Android, in particolare, sono bersaglio di migliaia di attacchi al giorno da parte di hacker interessati a mettere le mani sui dati contenuti al loro interno. C'è un dispositivo, però, apparentemente immune a questa tendenza e che, invece, potrebbe ben presto diventare oggetto di attacchi informatici di tutti i generi.
Lo smartwatch, infatti, potrebbe diventare uno strumento utilissimo per malware, virus e attacchi hacker malevoli di vario tipo. In particolare, i sensori del fitness tracker ormai integrato in ogni orologio intelligente potrebbero rivelare ai cybercriminali le password che usiamo tutti i giorni per sbloccare il PC o lo smartphone. Ma anche il nostro codice bancomat o il codice di sicurezza della carta di credito. Lo ha scoperto Kaspersky, società che produce il noto antivirus, che si è chiesta se e come uno smartwatch possa diventare pericoloso per la nostra privacy, la nostra sicurezza informatica e il nostro conto in banca.
L'esperimento Kaspersky con gli smartwatch
L'idea alla base dell'esperimento di Kaspersky è questa: l'accelerometro integrato nell'orologio intelligente che portiamo al polso è in grado di registrare continuamente il movimento della nostra mano, mentre il GPS sa la nostra posizione in tempo reale. Accorpando ed elaborando questo flusso di dati è possibile capire, ad esempio, se il proprietario dello smartwatch sta andando al lavoro, quando arriva, se ha cambiato percorso per andarci. Ma anche quando si è seduto alla scrivania, ha acceso il computer e sta digitando qualcosa. E qual è la prima cosa che digitiamo quando ci sediamo al PC? Ovviamente la password.
Processando i dati con una rete neurale è teoricamente possibile interpretare il movimento del polso e capire quando l'utente sta digitando e cosa sta digitando. Quindi in teoria è possibile, usando i sensori integrati in uno smartwatch, rubare una password. Ma la cosa non è facile e serve una potenza di calcolo ben superiore rispetto a quella offerta dai chip che governano gli orologi smart (almeno quelli oggi in commercio). Però si potrebbe usare la connessione Wi-Fi o mobile integrata nello smartwatch per inviare i dati a un server e farli elaborare ad un computer molto più potente.
Attacco hacker al nostro polso
È proprio ciò che ha fatto Kaspersky, che ha realizzato una piccola app che simula il comportamento di un ipotetico malware progettato per captare i movimenti del polso e inviare i dati ad un server esterno. Dopo diverse rilevazioni del movimento del polso il software è riuscito a imparare il modo in cui l'utente muove il polso mentre digita e a trarne informazioni molto utili. Come spiega la società: "Durante il nostro esperimento siamo riusciti a ottenere la password di un computer con una percentuale di precisione del 96% e, nel caso di un codice PIN di un bancomat, la percentuale è scesa all'87%".
La cosa è possibile, quindi, ma non è così semplice perché tracciare e inviare i dati del movimento del polso consuma molta energia e porta (come è emerso dal test) a scaricare l'intera batteria dell'orologio in poche ore: circa 6, in media. Questa attività di spionaggio, inoltre, consuma molto traffico dati. Il proprietario dello smartwatch, quindi, in uno scenario del genere ben presto si accorgerebbe che qualcosa non va. Kaspersky, però, fa anche notare che questi due problemi sono facilmente aggirabili programmando il software in modo che raccolga i dati e li invii al server solo in determinati momenti: ad esempio quando l'utente arriva al lavoro, si siede davanti al PC ed è sicuramente sotto copertura Wi-Fi. In questo modo il consumo di dati e di energia sarebbe ridotto al minimo.
Come difendersi dagli attacchi allo smartwatch
Dobbiamo realmente preoccuparci? Questo scenario, che in un film di spionaggio sarebbe l'ossatura perfetta per una scena indimenticabile, nella vita reale è credibile? Kaspersky pensa di no, perché anche ottenendo la password del nostro PC o il codice PIN del nostro bancomat, i cybercriminali dovrebbero comunque entrare fisicamente in possesso del computer o della carta bancomat per approfittare dei codici rubati. Inoltre, hacker e colleghi di solito preferiscono obiettivi più facili da violare e metodiche più difficili da scoprire. Tuttavia, Kaspersky preferisce darci qualche suggerimento utile per limitare lo stesso i rischi:
- Verificate se il vostro smartwatch consuma dati e/o batteria in modo anomalo
- Non concedete autorizzazioni a troppe app e, in particolare, a nessuna app che non sia assolutamente affidabile o che chieda l'accesso ai dati del nostro account e della nostra geolocalizzazione
- Installate un buon antivirus per individuare gli spyware prima che possano mettersi all'opera
L'esperimento di Kaspersky è molto interessante e ci dice due cose. La prima è che se non siamo esperti di sicurezza online, ci sono infiniti pericoli che neanche riusciamo a immaginare. La seconda è che oggi gli smartwatch non sono abbastanza potenti per rappresentare un vero pericolo, ma in futuro potrebbero diventarlo.
12 febbraio 2019
