Hackers podem decifrar senhas a partir da maneira como você inclina o celular

Especialistas em informática britânicos lançaram um alerta sobre a forma como sites e aplicativos maliciosos podem usar sensores embutidos nos nossos celulares e tablets para acessar informações confidenciais.

Analisando os movimentos do aparelho à medida que digitamos a informação, os pesquisadores da Newcastle University, em Newcastle Upon Tyne, nordeste da Inglaterra, demonstraram que é possível decifrar senhas de quatro dígitos com precisão de 70% na primeira tentativa e 100% na quinta. Isso é feito com base apenas em dados coletados pelos vários sensores contidos nos aparelhos.

O estudo foi publicado recentemente na revista de segurança em informação International Journal of Information Security.

Ao todo, a equipe identificou 25 sensores diferentes instalados na maioria dos aparelhos e usados para coletar informações variadas sobre o dispositivo e seu usuário. Um pequeno número deles – como a câmera e o GPS – pede permissão ao usuário para acesso aos dados coletados pelos sensores.

“A maioria dos smartphones, tablets e wearables (aparelhos que você usa no seu corpo, como smartwatches) está agora equipada com vários sensores, dos conhecidos GPS, câmera e microfone, a instrumentos como o giroscópio (que calcula direção), sensores de proximidade, NFC (transmissor de dados sem fio), sensores de rotação e acelerômetro”, disse Maryam Mehrnezhad, pesquisadora da Escola de Ciência da Computação da da Newcastle University e principal autora do estudo.

“Mas como apps e websites não precisam pedir permissão para acessar a maioria (desses sensores), programas maliciosos podem “ouvir” secretamente os dados colhidos pelos sensores e usá-los para descobrir uma ampla gama de informações confidenciais sobre você, como horários de ligações telefônicas, atividade física e até todas as teclas que você pressionou, senhas e códigos.”

A equipe descobriu algo que considera ainda mais preocupante.

Em alguns navegadores, se o usuário acessa uma página no seu telefone que contém um desses códigos maliciosos e depois abre, por exemplo, sua conta bancária sem fechar a aba anterior, os programas malignos podem espiar todos as informações que a pessoa digita.

“E pior: em alguns casos, ao menos que você os feche (os navegadores) completamente, eles podem espionar seus dados mesmo quando seu aparelho está bloqueado”, acrescentou a especialista.

Espionando o usuário

Apesar dos riscos envolvidos, o estudo mostra que o público não sabe dos perigos e a maioria de nós tem pouquíssima ideia do que fazem grande parte desses sensores.

As grandes empresas de informática estão conscientes do problema, mas até agora ninguém foi capaz de encontrar uma solução. Segundo Mehrnezhad, isso acontece porque as companhias têm de equilibrar as vantagens que os sensores trazem e seus riscos.

“É uma batalha entre utilidade e segurança”, diz.

“Todo mundo quer o telefone de última linha, que tem os dispositivos mais recentes e que oferece uma melhor experiência para o usuário, mas não há uma forma padronizada de utilização dos sensores pela indústria e eles representam uma ameaça à nossa segurança pessoal.”

Uma alternativa, ela sugere, seria negar o acesso do navegador aos sensores. “Mas não queremos perder todos os benefícios associados aos sensores de movimento embutidos”, ela diz.

Quebra-cabeças

O estudo concluiu que cada toque do usuário – clicar, descer a página, segurar ou dar toques rápidos – produz um traço único de orientação e de movimento. Assim, na página de um site, a equipe foi capaz de determinar em que parte da página o usuário estava clicando e o que estava digitando.

“É como fazer um quebra-cabeças. Quanto mais peças você junta, mais fácil fica de ver a imagem”, explicou Siamak Shahandashti, pesquisadora da Escola de Ciência da Computação e coautora do estudo.

“Dependendo da forma como digitamos – se você segura o telefone em uma mão e usa seu polegar, se segura com uma mão e digita com a outra, se toca ou desliza – o aparelho vai ser inclinado em uma certa direção e é muito fácil identificar padrões associados com ‘assinaturas de toque’ que usamos regularmente.”

“Então, cada sensor interno oferece uma parte diferente do quebra-cabeças.”

Nesse momento, a equipe britânica se dedica a investigar riscos adicionais gerados por monitores de saúde inseridos nos aparelhos e vinculados ao perfil pessoal do usuário.

Esses sensores podem, potencialmente, ser usados para interpretar movimentos sutis no punho de um indivíduo, assim como movimentos mais amplos – sentar, caminhar ou correr, entre outros.

Proteja-se

Como resultado do estudo britânico, os responsáveis por navegadores como Mozilla, Firefox e Apple Safari resolveram parcialmente o problema. A equipe de Newcastle, no entanto, continua trabalhando com a indústria em busca de uma solução definitiva.

Nesse ínterim, os especialistas fazem algumas recomendações simples para a proteção dos usuários:

– Mude regularmente suas senhas para que os programas maléficos não tenham tempo de decifrá-las.

– Feche aplicativos de fundo quando não estão sendo usados e retire aplicativos de que não precisa mais.

– Mantenha seu sistema operacional e aplicativos atualizados

– Instale apenas aplicativos aprovados pela indústria

– Avalie que tipo de permissões os aplicativos no seu telefone já possuem

– Leia cuidadosamente os pedidos de permissões feitos pelos aplicativos antes de instalá-los e, se necessário, escolha alternativas que requerem permissões mais sensatas