
安全研究實驗室(SRL)的研究人員展示了應用程式(Amazon Alexa上的 Skills和Google Home上的 Actions)如何經由某些裝置功能來產生安全問題。
SRL的報告顯示可以利用下列方式來偷走帳號密碼或付款資訊等敏感資料:
- 製作一個正常的應用程式並通過Amazon或Google的審查
- 在審查通過後修改應用程式,將歡迎訊息偽裝成錯誤訊息(如「你所在的國家/地區目前不提供此功能」),並且加上長時間的暫停(如讓應用程式讀無法發音的字元)
- 透過在應用程式內設定訊息來欺騙使用者(像是「裝置有重要的安全更新可用。請先說開始更新,接著輸入密碼。」),這會讓使用者洩露敏感資料
- 將取得的資料作為槽值(slot value,使用者的語音輸入)傳送給攻擊者