Pesquisadores da Universidade de Washington em St. Louis batizaram esse tipo de ataque como SurfingAtaque. O ataque envolve o envio de frequências ultrassônicas através das quais assistentes virtuais como Siri ou Google Assistente podem ser ativados no telefone de uma vítima e solicitar ações como: realizar ligações, solicitar a captura de selfies e até mesmo ler mensagens SMS em voz alta ou qualquer outra atividade que permita a execução do assistente.

Frequências ultrassônicas estão fora do alcance auditivo do ouvido humano, mas não dos microfones de um telefone, já que os dispositivos podem registrá-las. Isso foi demonstrado por pesquisadores chineses e norte-americanos, que realizaram um experimento com a intenção de provar que é possível manipular esses sinais para que o telefone possa interpretá-los como um comando. Para fazer isso, os pesquisadores colocaram um microfone com um transdutor piezoelétrico (dispositivos transmissores que são incrivelmente baratos e acessíveis, até mesmo no comércio brasileiro) e um gerador de formas de frequências para gerar os sinais apropriados.

Os especialistas realizaram dois testes de forma oculta debaixo de uma mesa de madeira, um para recuperar o código de acesso enviado por uma mensagem de texto (SMS) e outro para fazer uma ligação. Para o primeiro teste, os pesquisadores tentaram aproveitar a opção “ler as mensagens” oferecida pelos assistentes virtuais como o Google Assistente, para enviar o código correspondente ao fator de dupla autenticação que um serviço pode enviar na hora de verificar a identidade de um usuário.

Durante o primeiro momento dos testes, os pesquisadores solicitaram que o assistente baixasse o volume do telefone para o nível 3. Desta forma, a vítima não poderia perceber que as respostas fornecidas pelo telefone estavam em um ambiente em que havia um ruído moderado. Então, ao chegar ao telefone uma mensagem que parecia ser de um banco, um atacante poderia ativar o comando "ler as mensagens" e a resposta seria ouvida pelo microfone localizado na mesa, mas não pelo ouvido da vítima.

O segundo teste consistia em enviar a mensagem "ligar para Sam com o alto-falante", e, usando o microfone, do lado do atacante, era possível falar com "Sam" por telefone.

No vídeo a seguir, você pode ver os testes realizados pelos pesquisadores:

 

Como o pesquisadores explicaram, a equipe testou 17 modelos de dispositivos móveis diferentes (iPhone, Samsung e Motorola) e todos foram suscetíveis a ataques de ultrassom, exceto dois: o Huawei Mate 9 e o Samsung Galaxy Note 10.

Eles também exploraram diferentes superfícies sólidas através das quais poderiam transmitir essas frequências ultrassônicas, como madeira, metal e vidro.

É importante observar que esse tipo de ataque é difícil de ser realizado na prática, pois, caso o assistente reconheça a voz do proprietário, ele deve ser simulado por meio de um ultrassom e se o telefone estiver bloqueado, as possíveis ações para o assistente se tornam bem mais limitadas. Além disso, sem o microfone perto da vítima que grava a voz do assistente, o ataque se torna inútil.

Não é a primeira vez que se demonstra que é possível usar um sinal acústico para interagir com o microfone e o alto-falante de um dispositivo móvel. Em 2018, publicamos a descoberta que mostrava que, por meio de um sinal acústico, era possível roubar o padrão de desbloqueio de um telefone.

Embora o SurfingAttack seja um tipo muito improvável de ataque, essas descobertas não deixam de ser relevantes, pois muitas vezes o vínculo entre o físico e o cibernético é pouco explorado do ponto de vista da segurança, explica o professor Ning Zhang.

Por outro lado, essas descobertas podem ser úteis para evitar um novo tipo de ameaça em um estágio inicial.