Per indovinare il PIN dello smartphone basta ascoltare il suono delle dita quando toccano lo schermo

Un gruppo di ricercatori ha messo a punto un malware capace di "ascoltare" le onde sonore prodotte dalle dita quando digitano il PIN dello smartphone. Tramite l'apprendimento automatico poi hanno elaborato le informazioni e indovinato il codice di sicurezza con una buona percentuale di successo.

Non farsi osservare quando si digita il PIN è un buon inizio per tutelare la propria sicurezza. Ma se un hacker intuisse la password origliando il rumore che fanno le vostre dita quando lo digitano? È una prospettiva preoccupante, messa in luce da un gruppo di ricercatori dell’Università di Cambridge in Inghilterra e dell’Università di Linköping in Svezia. Nel documento pubblicato su ArXiv descrivono una tecnica basata sull’apprendimento automatico, che non è infallibile, ma nei test è stata in grado di indovinare con precisione più della metà dei PIN a quattro cifre utilizzati su tablet Android.

Per intercettare il rumore prodotto dalle dita sono stati impiegati i microfoni presenti nella maggior parte dei dispositivi portatili. Quello che pochi sanno è che quando le persone toccano gli schermi di smartphone e tablet generano onde sonore. Requisito fondamentale affinché il “trucco” funzioni è l’installazione sul dispositivo di un malware che attivi i microfoni e rilevi i rumori. Usando i microfoni per rilevare le onde sonore, il malware traccia quale microfono ha captato per primo il suono (con una differenza di frazioni di secondo) e quindi elabora una serie di ipotesi plausibili sulla parte dello schermo in cui è stato generato il suono, quindi quale gruppo di tasti della tastiera virtuale. Grazie all’apprendimento automatico l’analisi viene affinata e il risultato ottimizzato.

I ricercatori Ilia Shumailov, Laurent Simon, Jeff Yan e Ross Anderson hanno spiegato che “l’attacco può recuperare con successo codici PIN, ma anche singole lettere e parole intere“. In un test con 10 tentativi il sistema è stato in grado di indovinare correttamente il PIN di quattro cifre nel 73% dei casi. In un altro test ha identificato il 30% delle password di lunghezza compresa tra sette e 13 caratteri dopo 20 tentativi.

La buona notizia è che la maggior parte dei sistemi operativi moderni preclude alle applicazioni l’accesso al microfono, a meno che non sia l’utente ad autorizzarlo.