Anzeige

Amazon-Alexa

Quelle: James W Copeland - Shutterstock.com

Sicherheitsforscher aus Kalifornien haben im Sprachassistenzsystem Alexa von Amazon und den dazugehörigen vernetzten Lautsprechern mehrere gravierende Sicherheitslücken entdeckt, die Hacker-Angriffe ermöglicht hätten.

«Mit nur einem falschen Klick drohte den Anwendern der Verlust zahlreicher persönlicher Daten oder sogar der Historie sämtlicher Sprachaufzeichnungen, also des persönlichen Stimmen-Profils», teilte am Donnerstag das israelische Sicherheitsunternehmen Check Point mit, das die Schwachstellen in seinem Labor in San Carlos entdeckt hatte. Außerdem hätten die Anwender über Alexa ausspioniert werden können.

Ein Amazon-Sprecher bestätigte die Angaben von Check Point und betonte, dass die Fehler inzwischen behoben seien. «Wir schätzen die Arbeit unabhängiger Forscher wie Check Point, die uns auf potenzielle Probleme aufmerksam machen. Wir haben die Schwachstelle umgehend behoben, nachdem wir davon erfahren haben – und werden unsere Systeme weiterhin stärken.» Amazon seien keine Fälle bekannt, «in denen diese Schwachstelle zuungunsten unserer Kunden ausgenutzt wurde oder Kundeninformationen offengelegt wurden».

Die Schwachstellen befanden sich nach den Angaben nicht auf den Lautsprechern selbst, sondern in der Online-Infrastruktur von Amazon. So habe man bestimmte Internet-Domains von Amazon und Alexa mit sogenannten Cross Site Scripting angreifen können. Die Forscher waren außerdem in der Lage, den Autorisierungsschlüssel («CSRF-Token») abzufangen und damit Aktionen im Namen des Opfers auszuführen.

Mit diesen Methoden hätte ein Angreifer unter anderem auf dem Alexa-Konto eines Opfers Programme («Skills») entfernen oder neu installieren können. Möglich sei auch gewesen, auf den Stimmverlauf des Amazon-Kunden zuzugreifen und persönliche Informationen über die Interaktionen des Benutzers mit einzelnen Programmen zu stehlen. «Ein Angriff hätte nur einen einzigen Klick auf einen vermeintlichen Amazon-Link erfordert, der vom Angreifer erstellt wurde, um erfolgreich zu sein.»

Amazon habe schnell auf die Offenlegung reagiert, um diese Schwachstellen auf bestimmten Amazon- und Alexa-Subdomains zu schließen, erklärte Check Point. «Wir hoffen, dass die Hersteller ähnlicher Geräte dem Beispiel von Amazon folgen werden und ihre Produkte auf Schwachstellen überprüfen, welche die Privatsphäre der Benutzer gefährden könnten.» Ähnlich Sicherheitsforschung habe Check Point bereits bezüglich Tiktok, WhatsApp und Fortnite durchgeführt und «alarmierende Ergebnisse» erhalten. Das Unternehmen wollte aber nicht sagen, welche Schwachstellen dies genau waren.

dpa


Weitere Artikel

Digital X 2021 im Herzen von Köln

Die Telekom geht neue Wege und angesichts der aktuell rückläufigen Pandemie-Entwicklung ganz bewusst „mitten rein ins echte Leben“: Die Digital X trifft sich am 7. und 8. September 2021 im Herzen der Stadt Köln.
Netflix

Netflix will in Games-Markt einsteigen

Streaming-Gigant Netflix will in den boomenden Markt für Videospiele einsteigen.
Fussball

Fußball-EM: Bot-Attacken auf Sportwetten- und Glücksspielseiten um 96 % gestiegen

Imperva, ein Unternehmen im Bereich Cybersecurity, mit dem Ziel, Daten und alle Zugriffswege auf diese zu schützen, verzeichnete in ganz Europa vor und während der Fußball-Europameisterschaft 2020 einen signifikanten Anstieg des Bot-Traffics auf Sportwetten-…
Streaming

Sportsendungen: Streaming schlägt Pay-TV

Sportsendungen im Pay-TV verlieren an Zuschauern. Die Streaming-Dienste boomen dagegen, wie die Umfrage "Sports Video Trends 2021" im Auftrag des Londoner Videoproduzenten Grabyo zeigt.
Cell Broadcast

Bitkom zur Debatte um Cell-Broadcast

Nach der Hochwasser-Katastrophe in Rheinland-Pfalz und Nordrhein-Westfalen wird in Deutschland die Einführung von Cell-Broadcast für den Versand von Warnnachrichten diskutiert.
Online-Shopping

Olympische Spiele – ein E-Commerce-Killer?

Wenn am Freitag der Fackellauf das Stadion in Tokio erreicht, ist es so weit: Die 32. Olympischen Sommerspiele der Neuzeit sind eröffnet und das Motto lautet erneut: „Dabei sein ist alles.“

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.