Mientras experimentaba con su propio altavoz, el investigador descubrió “lo fácil que era agregar nuevos usuarios al dispositivo desde la aplicación Google Home”. “También noté que vincular tu cuenta al dispositivo te da una cantidad sorprendente de control sobre él”, señaló. Fue entonces, cuando “decidí investigar el proceso de vinculación y determinar qué tan fácil sería vincular una cuenta desde la perspectiva de un atacante”, agregó Kunze.

Primero, se debe estar en las proximidades inalámbricas del dispositivo y atento a las direcciones MAC con prefijos asociados a Google. Posteriormente, se puede desconectar el dispositivo de la red mediante un comando de desautorización y activar el modo de configuración. El paso final es solicitar información del dispositivo y usarla para vincular la cuenta. Al completar el proceso, se puede espiar a los propietarios de los altavoces a través de Internet.

Kunze descubrió los problemas en enero de 2021 y Google acabó por solucionarlo en abril del mismo año. La compañía creó un nuevo sistema basado en invitaciones para vincular cuentas, bloqueando cualquier cuenta que no se haya agregado en Home. “Muchos otros investigadores de seguridad ya habían echado un vistazo a Google Home antes que yo, pero parece que ninguno de ellos notó estos problemas en apariencia evidentes”, indicó el investigador, señalando que Google Home es un dispositivo “crítico para la seguridad, debido al hecho de que tiene control sobre otros dispositivos domésticos inteligentes y un micrófono”, reportó RT.

“Acabamos de enterarnos de que uno de estos revisores de idiomas ha violado nuestras políticas de seguridad de datos al filtrar datos confidenciales de audio holandeses. Nuestros equipos de respuesta de seguridad y privacidad se han activado en este tema, están investigando y tomaremos medidas”, comunicó la compañía. Según se explica a continuación en el texto, las muestras de audio en cuestión provienen de comandos de voz que imparten los usuarios al Asistente de Google presente en los parlantes inteligentes y en dispositivos móviles con Android. Los expertos de la empresa revisan alrededor de 0,2 % de estas grabaciones, pero —asegura el documento— ninguno de estos fragmentos de audio está asociado a ninguna cuenta de usuario, y su revisión se efectúa únicamente con el fin de mejorar la tecnología del asistente virtual.

Se alega asimismo que las grabaciones de audio se transcriben y se envían a Google solo si el dispositivo detecta que son voces dirigidas al Asistente. Por ejemplo, mediante el comando ‘Hey Google’ o por la activación a través del botón físico. En una buena parte de más de 1.000 audios filtrados por un empleado de Google se escucharon conversaciones no solamente privadas, sino íntimas.

La inesperada confesión salió a la luz después que el pasado miércoles un medio belga, ‘VRT NWS’, reportara que el gigante estadounidense tiene contratos con empresas en todo el mundo, cuyos empleados escuchan y revisan las grabaciones de audio del Asistente de Google. De hecho, fue el propio “revisor de idiomas” responsable de la filtración el que se puso en contacto con el medio.

VRT asegura que ha revisado “más de mil extractos grabados a través del Asistente de Google”, que recibió del subcontratista de la compañía, y que en dichos audios se pudieron “escuchar claramente” las direcciones físicas y otras informaciones confidenciales de los clientes.

Otras fuentes familiarizadas con el tema confirmaron que estos fragmentos no se vinculan a ninguna cuenta y que el nombre de usuario se reemplaza con un número de serie anónimo. No obstante —señala el medio—, no resulta difícil descubrir la identidad de una persona: “Simplemente tienes que escuchar con atención lo que dice”. Según admitieron las fuentes, los clientes a menudo mencionan una dirección, un nombre personal u otro dato que hace que sea sencillo encontrarlos en Facebook o en el propio Google.

Aunque para que se active la grabación de audio se necesita un comando especial, a veces esto puede ocurrir involuntariamente, por error, si una persona pronuncia algo parecido a ‘Hey Google’ o presiona algún botón incorrecto. En 153 de más de 1.000 de audios analizados, indica el medio belga, se escucharon conversaciones “que nunca deberían haberse grabado y durante las cuales claramente no se dio el comando ‘Ok Google'”; entre ellas, conversaciones íntimas en el dormitorio, o entre padres e hijos, e incluso algunas de trabajo en las que se mencionaron secretos profesionales.

Las grabaciones escuchadas demostraron, por ejemplo, que no solo hay muchos hombres que buscan pornografía, sino que muy a menudo lo hacen a través de los parlantes inteligentes.