亚马逊Echo被黑客攻破，智能音箱瞬间沦为窃听威胁

你家那个每天都说话的音箱设备, 可能正在背着你做录音这个动作。腾讯安全团队用了26秒的时间就成功入侵了亚马逊Echo这台智能音箱设备, 并且把它改造成为了一台可以进行远程窃听的工具, 这件事情很值得每一个使用智能音箱的人认真对待和观察一下。

26秒攻破echo的来龙去脉

进入2024年以后, 腾讯安全Blade团队向外界发布了一项安全测试的成果。在这次测试中, 攻击者仅仅花费了26秒的时间, 就实现了对亚马逊Echo智能音箱的全面攻击。

一旦该设备被成功攻破, 使用者便能够对其进行远程操控。被控的设备会执行自动录音的操作, 并将录制生成的音频文件, 通过外部网络传输到由攻击者所掌管的服务器端。这使得这台设备彻底变成了一款隐藏在合法外壳之中的窃听器。

这个测试并不是凭空进行的。Blade团队在局域网的内部环境里面进行了模拟真实攻击场景的操作, 其目的是为了去验证智能音箱在默认的设置状态之下是否存在可能被利用的漏洞。最后的结果得到了证明, Echo在特定的条件确确实实能够被完全控制, 至于攻击所需要的门槛, 它并没有想象中的那么高。

恶意设备绑定是关键手法

攻击的核心在于, 亚马逊的系统机制允许在同一个账户下面连接多个设备实现互联。Blade团队将一台安装了恶意程序的设备和受害者的Echo绑定到相同的Amazon账号里面, 通过这个操作, 恶意设备就能向Echo发送各种控制指令, 这些指令包含了录音和上传内容。

一旦那个绑定操作变得成功以后, 攻击者就能够在局域网的内部去实施远程的操作行为, 进而控制Echo设备使得它进入一种所谓的静默模式状态, 然后迫使设备进行录音作业, 接着将那些录制下来的音频文件进行打包处理, 最后输送到由攻击者自己所掌控的远程服务器上面去, 在整个过程之中Echo设备上面的指示灯始终是不会发亮的, 也就是说不闪烁也不发光, 从而让用户处于一种完全的无感知状态当中, 这意味着用户根本就不会知道自己所说的话语正在被悄悄地进行录音和窃取。

无声窃听比想象更可怕

最让人感到不安的一点是, 那个被攻破的Echo在进行窃听行为的时候, LED灯并不会闪烁。同时它也不会发出任何提示音。而且, 它也不需要使用者说出唤醒词。它就仿佛是一台处于永远在线状态的录音笔。这种设备会把卧室和客厅里人们的对话内容一个字都不错地全部录下来。接着它会把这些数据悄悄发送出去。

请你设身处地想象一下这样一个场景, 那就是在晚上休息的时候, 你和家里人私下谈论一些隐秘的事情，又或者在和朋友通电话时商谈关于生意上的重要问题, 然而这些对话的内容却被录音设备完整地截取下来, 并且流到了不相关的人手中去, 这时候的智能手机或者智能音箱的功能就不再是简单地只负责帮你测量室内的温度变化这么简单了, 而是变成了好像有一个人在你家墙壁的另一侧偷偷监听你的一举一动, 这种功能性质的转变所蕴含的危险程度是非常高的, 而更加糟糕的情况是, 普通的用户是完全无法察觉到这一危险的存在。

亚马逊已紧急修补漏洞

Blade团队在攻击完成后，把完整的漏洞技术细节报告给了亚马逊安全团队。亚马逊随即在近期推送了固件更新，修复了所有已知的相关漏洞。目前Echo设备已不存在此次测试中用到的那条攻击路径。

但是, 漏洞的具体细节已经在技术社区里流传开了, 所以我们没办法保证没有其他的安全团队会开发出类似的手法。

从另一方面看情况来讲，尽管你的这款Echo产品已经打上了相应的补丁代码, 可是当前整个智能音箱生态系统整体的安全防护水平仍然处于被各方不断试探的状态之中, 大家一定要保持高度的警惕之心而不能有任何松懈的情绪。

用智能音箱别犯这几个错

Blade这个团队所给出的那些建议, 内容是相当具体的, 他们的意思就是说大家在去购买音箱的时候, 只能够去选择那些正规的大品牌, 千万不要因为贪小便宜而去购买那些没有名气的杂牌产品, 另外就是这些设备在刚刚到达用户手头之后的第一时间, 必须要把设备的固件版本进行更新, 绝对不要嫌弃这事情比较麻烦, 一定要拖上好几个月才去做, 还有一件事情就是要尽可能地把自己的智能音箱摆放在客厅这种属于开放性质的区域里面, 千万不要把它安置到卧室、书房以及卫生间这些对于隐私保护要求非常高的地方去, 那样是不合适的。

此外, 你需要经常到亚马逊App里面去查看一下那些已经绑定好的设备都有谁。一旦发现有不认识的设备存在, 就应该马上把它解绑。如果你家里的智能设备数量比较多, 而且这些设备还在共用同一个账号的话，那么就应该减少那些没有必要的互联绑定操作。这样做可以从源头上降低这些设备被坏人恶意利用的可能性。

智能设备隐私防护指南

这次发生的事件并不是一个单一的例子。从智能摄像头到智能门锁, 所有那些能够连接网络、能够进行音频录制、能够进行屏幕录像的设备, 都存在被技术手段突破防护的可能性。

在日常使用的过程中, 建议大家采取以下措施: 对于暂时不使用的设备, 应当关闭其无线网路的连接功能；需要在路由器中独立划分出一个属于物联网设备的专用网络空间；对于那些涉及到隐私的重要内容对话, 最好避免在智能设备的信号覆盖范围之内进行交流。

一定要养成这么个习惯, 那就是每过半年时间就去翻查一遍自己设备上关于隐私权限的设置情况。这个时候要去仔细看看有哪些应用程序能够调用到你的麦克风以及摄像头设备。

对于那些你认为是没有必要的权限选项, 就应该直接把它们关掉。在多安装一道保险措施这样的做法之下, 总比等到事故发生之后再感到后悔和惋惜要强得多。

请询问家里面的用户是否拥有智能音箱这种设备, 并且指明该智能音箱目前被放置在了哪一个房间之内。欢迎在评论区内进行交流和讨论。如果觉得这些内容有用处, 那么请点赞, 并且将这些内容转发给家人看看。