Smartphonesensoren kunnen door hackers worden gecontroleerd om wachtwoorden te stelen

Hackers kunnen uw smartphone controleren en gevoelige gegevens stelen als wachtwoorden!

Kent u de verschillende soorten sensoren die in uw smartphone aanwezig zijn? Hoe zit het met de gegevens die door deze sensoren worden verzameld over uw digitale en fysieke activiteiten? De waarheid is dat de huidige oogst van mobiele telefoons allemaal een scala aan sensoren bevat, waaronder de versnellingsmeter, naderingssensor, magnetometer, stappenteller, gyroscoop, microfoon, camera en NFC. Maar nu, wetenschappers van Universiteit van Newcastle zijn de verrassende onthulling tegengekomen dat dezelfde sensoren door hackers kunnen worden gebruikt om wachtwoorden en pincodes met verrassende nauwkeurigheid te raden. Hoe is dit mogelijk? Volgens het onderzoeksteam verzamelen de hackers tijdens het typen gegevens van de sensoren, zoals de beweging en hoek van je mobiele telefoon.

Het probleem is acuter dan u denkt, omdat er tal van kwaadaardige applicaties en websites zijn die toegang hebben tot verschillende interne sensoren in uw smartphone zonder enige vorm van toestemming. Dus zelfs wanneer u een beveiligde site opent via HTTPS om uw wachtwoord in te voeren, maakt het geen verschil.

Verwant: Hoe u smartphones kunt bespioneren met deze app

Geen manier om te voorkomen dat apps toegang krijgen tot de gegevens van uw telefoonsensor

Meestal zullen smartphonetoepassingen uw toestemming vragen voor toegang tot de sensoren zoals microfoon, camera en gps. In de afgelopen jaren heeft de hausse in fitness- en gaming-apps er echter toe geleid dat mobiele besturingssystemen geïnstalleerde apps toelaten om gegevens te verzamelen van de verschillende bewegingssensoren, waaronder de naderingssensor, de gyroscoop, de versnellingsmeter en de NFC. Dit betekent echter dat elke gevaarlijke toepassing de gegevens voor zijn eigen negatieve doeleinden kan gebruiken. Hetzelfde geldt voor kwaadaardige websites.

Deze groeiende trend onder mobiele websites en apps om zonder uw uitdrukkelijke toestemming stiekem naar uw sensordata te “luisteren” kan ernstige gevolgen hebben. Het kan worden gebruikt voor het ontdekken van een enorm scala aan gevoelige informatie, zoals fysieke activiteiten, duur van telefoongesprekken en zelfs aanraakactiviteiten, zoals wachtwoorden en pincodes.

Hoe een aanval plaatsvindt

De Britse wetenschappers hebben een aantal tests uitgevoerd en video opgenomen van een aanval waarbij gegevens werden verzameld van bijna 25 sensoren in de smartphone. De video toont duidelijk het kwaadwillende script dat sensorgegevens verzamelt van een Apple-apparaat.

De wetenschappers hebben een kwaadaardig JavaScript-bestand gemaakt dat toegang kan krijgen tot de sensoren en de gebruiksgegevens kan volgen. Dit kwaadaardige script kan gemakkelijk op een website worden geladen of in een website worden ingesloten zonder medeweten van de gebruikers. Zodra de gebruiker een bezoek brengt aan de malafide site of een kwaadaardige app installeert, kan de aanvaller in actie komen. Ze beginnen met opnemen wat het slachtoffer op hun apparaat typt, terwijl de kwaadaardige website of het schadelijke script op de achtergrond van de telefoon wordt uitgevoerd. Het kwaadwillende script stopt niet met het verzamelen van gegevens van de verschillende sensoren totdat het de informatie heeft die nodig is om de wachtwoorden en pincode te raden. Zodra de juiste informatie is geïdentificeerd, wordt deze naar de server van de aanvaller gestuurd.

Wachtwoorden en pincodes met grote nauwkeurigheid identificeren

Met behulp van de gegevens die zijn verzameld uit de oriëntatie en bewegingssensoren in 50 verschillende apparaten, kon het onderzoeksteam de viercijferige pincodes bij hun eerste poging correct identificeren. Hoewel hun nauwkeurigheid op dat moment 74 procent was, nam deze bij de vijfde poging toe tot 100 procent. De verzamelde gegevens lieten de wetenschappers ook zien of gebruikers scrolden of tikte, op welk deel van de pagina ze klikten en wat er op de mobiele webpagina werd getypt.

Verwant: Hack op afstand smartphones

Volgens de onderzoekers was dit project niets meer dan een demonstratie om het bewustzijn te vergroten over de aanwezigheid van sensoren in de smartphones waartoe apps vaak zonder jouw toestemming toegang hebben. Er zijn nog steeds veel leveranciers die hiervoor geen beperkingen hebben opgenomen in het reguliere ingebouwde machtigingensysteem.

Ondanks de risico's hadden respondenten bij de vraag naar de sensoren die hen het meest bezighielden meer last van hun gps en camera dan de andere stille sensoren. Het team heeft de resultaten van hun bevindingen doorgestuurd naar de grote browserproviders zoals Apple en Google. De reacties waren tot dusverre vrij positief en sommige browsers, zoals Safari en Mozilla, hebben al maatregelen genomen om het probleem aan te pakken, althans gedeeltelijk zodat gebruikers beter worden beschermd. Het team is echter nog steeds hard aan het werk en werkt samen met de toppers binnen de branche om een effectievere oplossing te creëren.