Cómo se puede usar el control de voz para hackear un iPhone

Chema Alonso, ingeniero informático y especialista en cibereseguridad, mostró, en el marco de la conferencia Ekoparty, que se puede manipular un celular al que se tuvo acceso temporal para lograr extraer información. Fue un proyecto educativo que hizo para explicar los riesgos que supone expandir la superficie de exposición en cualquier dispositivo

El control de voz del iPhone es una herramienta que permite interactuar con el teléfono por medio de la voz. Así, se puede navegar por el móvil, deslizar la pantalla, escribir y mucho más empleando simplemente la voz.

Es una herramienta que puede ser de utilidad para cualquier usuario y en especial para quienes, por ejemplo, tienen dificultades motrices o de visión. Pero también puede ser una puerta de entrada para que algún hacker explote esta opción de una forma maliciosa. Así lo demostró el ingeniero informático Chema Alonso, especialista en ciberseguridad y actual Chief Digital Consumer Officer de Telefónica, durante una charla que brindó en la conferencia Ekoparty.

El título de la conferencia fue “Klingonizando el iPhone de Mi Hacker”. Lo que hizo fue demostrar cómo, con un poco de pericia y conocimiento, se puede configurar un iPhone al que se tuvo acceso temporal con comandos para lograr extraer información.Chema Alonso, especialista en ciberseguridad, durante la charla en Ekoparty.

Así logró, por ejemplo, que con un comando de voz el teléfono enviara fotos, charlas de WhatsApp o el segundo factor de autenticación recibido por SMS a una dirección de correo electrónica determinada. Esto bien podría ser utilizado por un atacante para extraer todo tipo de información.

Los comandos fueron configurados en idioma Klingon (una lengua que forma parte del universo de Star Trek), aunque bien se podría haber empleado cualquier otra lengua. Y “mi hacker” es como Alonso llama a su hija mayor de 12 años que llegó a “hackear” su mundo. Cuando su hija activó el control de voz en su iPhone, Alonso decidió probar de qué forma se podía utilizar esta herramienta para controlar de alguna manera el celular. Según explicó, fue un trabajo educativo para explicar la superficie de exposición a su hija.

En primer lugar, tiene que estar activado el control por voz, que se enciende desde Ajustes/Accesibilidad y luego se selecciona qué acciones puede realizar. O, como se hizo en este caso se recurrió a Personalizar comandos.

A su vez, Alonso hizo uso de la app Atajos, que permite realizar varias tareas con las apps con tan solo un toque o pidiéndoselo a Siri. Algunos atajos están preconfigurados y también se puede optar por personalizarlos.“El punto es que cuando se abre una nueva forma de interactuar con un móvil también se expanden las posibilidades de ataque”, advierte Chema.

Como explica Alonso no se trata de una vulnerabilidad sino de una técnica para utilizar como arma (weaponizar) una característica propia del sistema, en este caso el control de voz. “El punto es que cuando se abre una nueva forma de interactuar con un móvil también se expanden las posibilidades de ataque”, advierte Chema.

Si bien en la actualidad se van mejorando las medidas de cuidado en los diferentes dispositivos, lo cierto es que todas las tecnologías tienen sus limitaciones y como tal pueden ser, de algún modo u otro, atacadas.

Como usuarios sólo se puede minimizar las chances de que eso ocurra y para eso hay que mantener actualizados los sistemas operativos así como evitar dejar los dispositivos, como el celular, al alcance de cualquier usuario que bien podría utilizar una distracción para manipular el equipo, para robar datos. Es fundamental minimizar las “ventanas” que se abren, a un posible atacante.

Y por último, es fundamental utilizar, siempre que sea posible, un segundo factor de autenticación y tener back up de la información para no lamentarse (demasiado) si se pierde acceso a una cuenta donde hay documentos importantes.