Ứng dụng Google Home có thể bị hacker xâm nhập, chiếm quyền điều khiển các thiết bị trong hệ sinh thái và dùng để theo dơi người dùng ngay trong nhà của họ.
Chuyên gia bảo mật Matt Kunze là người phát hiện ra lỗ hổng nghiêm trọng này. Khi mày ṃ trên chiếc loa Nest Mini của ḿnh, ông nhận thấy có thể thêm vào một tài khoản giả mạo thông qua ứng dụng Google Home.
Sau đó, kẻ xấu sẽ có quyền điều khiển các thiết bị từ xa thông qua API trên nền tảng đám mây.
Để làm được điều đó, tin tặc chỉ cần có tên, chứng chỉ của thiết bị và "ID đám mây" từ API cục bộ. Với tất cả những thứ này trong tay, kẻ xấu có thể gửi yêu cầu liên kết cho thiết bị thông qua máy chủ của Google.
Khi thử nghiệm xâm nhập theo kịch bản của kẻ tấn công, Kunze đă làm sáng tỏ nhiều t́nh huống có thể xảy ra. Tin tặc có thể theo dơi người dùng, sử dụng micro và các tính năng khác của thiết bị, thực hiện các yêu cầu HTTP trên hệ thống mạng hoặc thậm chí đọc/ghi tệp trên thiết bị.
Đáng ngại hơn, tin tặc có thể kích hoạt lệnh gọi của loa thông minh từ xa, cho phép thiết bị của bạn gọi đến chúng vào bất kỳ thời điểm nào và nghe lén các cuộc tṛ chuyện diễn ra trong nhà.
Trong video tŕnh diễn của Kunze, bốn đèn trên Nest Mini phát sáng, báo hiệu rằng có một cuộc gọi đang diễn ra. Tuy nhiên, người dùng thông thường có thể không nhận thấy hoặc xem đó là vấn đề diễn ra ngẫu nhiên.
Ngoài ra, tin tặc có khả năng kiểm soát công tắc nhà thông minh, thực hiện các giao dịch trực tuyến, mở khóa cửa nhà và xe, thậm chí lấy được mă PIN mà bạn dùng cho khóa thông minh.
Google đă thưởng cho Matt Kunze 107.500 USD khi t́m ra lỗ hổng bảo mật nghiêm trọng này và báo cáo chi tiết vào tháng 1/2021. Vào tháng 4 năm đó, công ty phát hành bản vá khắc phục sự cố. Tất cả thiết bị thông minh của Google chạy firmware mới nhất đều không bị ảnh hưởng.
Ngoài ra, Google đă vô hiệu hóa khả năng kích hoạt lệnh gọi từ xa thông qua mă lệnh. Để tăng cường hơn nữa khả năng bảo mật, các thiết bị nhà thông minh của Google có màn h́nh, chẳng hạn như Nest Hub Max, được bảo vệ bằng mật khẩu WPA2 hiển thị qua mă QR trên màn h́nh.