Az elmúlt években a kiberbiztonsági szektor számos alkalommal hívta fel a figyelmet arra, hogy a személyes adatok nagyon értékes árucikkekké váltak a szinte korlátlan számú visszaélési lehetőségnek köszönhetően – az áldozatok kifinomult profilozásától kezdve a felhasználói viselkedés előrejelzéséig. A fogyasztói paranoia ellenére a személyes adatokkal való visszaélések száma egyre csak nő, ugyanis sokan fordítják figyelmüket az online platformok és az adatgyűjtési módszerek felé.

Az egészséges életmód is egyre elterjedtebb és sokan használnak okos eszközöket és/vagy alkalmazásokat azért, hogy fenntartsák, és segítsék ezt az életvitelt. De ez sajnos veszélyes következményekkel járhat. Ezeket az okos készülékeket, például az okosórákat, vagy a fitnesz karkötőket gyakran használják a sporttevékenységek során. Sok készüléknek van olyan beépített szenzora, amely képes a gyorsulást is mérni és sokszor kapcsolódik valamilyen forgó érzékelőhőz, pl. giroszkóphoz azért, hogy pontosabb legyen a lépésszámláló, valamint a felhasználó aktuális pozíciójának azonosítása. A Kaspersky Lab szakértői úgy döntöttek, alaposabban is megvizsgálják ezeket a készülékeket és azt, hogy milyen információkhoz képesek hozzájutni az illetéktelenek.

Kép: Kaspersky blog

A probléma megvizsgálása érdekében a szakértők egy meglehetősen egyszerű alkalmazást fejlesztettek, amely beépített gyorsulásmérőkből és giroszkópból származó jeleket rögzített. A rögzített adatokat ezután egy hordozható eszköz memóriájába vagy egy Bluetooth-szal párosított mobiltelefonra töltötték fel.

Matematikai algoritmusok és az alkalmazásból kinyert adatok segítségével azonosítani lehetett a viselkedési mintákat, valamint a tevékenységek időtartamát, kezdetét és végét. A legfontosabb azonban, hogy olyan érzékeny felhasználói tevékenységeket is képesek voltak azonosítani, mint például a jelszó beírása a számítógépbe (96%-os pontossággal), a PIN-kód megadása az ATM készülékeken (87%-os eredményesség) és a mobiltelefonok feloldása (64%-a bizonyult eredményesnek).

Maga a jel-, és az adatkészlet az adott eszköz tulajdonosára jellemző egyedi viselkedés minta. Ezekkel az adatokkal egy harmadik fél megpróbálhatja beazonosítani a felhasználót – akár egy regisztrációs szakaszban lévő email cím segítségével, akár pedig az Android-fiók hitelesítő adataihoz való hozzáféréssel. Ezután már csupán idő kérdése, hogy egy felhasználót részletesen azonosítani lehessen, beleértve a napi rutint és azt, hogy pontosan mikor oszt meg értékes adatot. Mivel a felhasználói adatok értéke gyorsan nő, nem lesz meglepő, ha ezeket az adatokat gyorsan tudják értékesíteni a kiberbűnözők.

Nem kell feltétlenül exploittól tartani mindig, a kiberbűnözők határa mindössze a képzeletük és technikai tudásuk, mert a felhasználói adatokkal könnyedén lehet – legyen bármilyen jellegű, vagy témájú – kereskedni, visszaélni, kihasználni stb. Például a kapott jeleket dekódolhatják neurális hálózatok segítségével, vagy lehallgató készüléket helyezhetnek el az áldozat leggyakrabban látogatott ATM-készülékénél. Már láthattunk példát arra, hogy a kiberbűnözők 80%-os eredményességgel próbálnak gyorsulásmérő jelek dekódolásával jelszavakat, valamint az okosórán tárolt adatok segítségével PIN-kódot kinyerni.

„Az okos eszközök nem csupán mini kütyük, hanem olyan számítástechnikai készülékek, amelyek rögzíthetik, tárolhatják és feldolgozhatják a paramétereket. A kutatásaink azt mutatják, hogy még az olyan nagyon egyszerű algoritmusok is, amelyek az okosórákon futnak, képesek rögzíteni a gyorsulásmérő és a giroszkóp jeleit. Ezekkel az adatokkal beazonosítható, és nyomon követhető lesz a felhasználó beleértve az érzékeny információk bevitelének pillanatát is. Ezeket a tevékenységeket mind olyan legális alkalmazásokon keresztül lehet véghez vinni, amelyek titkos jeleket küldenek harmadik feleknek.” – magyarázta Sergey Lurye, a Kaspersky Lab biztonsági kutatója.