Si tienes un smartwatch, cuidado, podrían espiarte

Una investigación reciente muestra que los relojes inteligentes recopilan señales silenciosas del acelerómetro y el giróscopo que, después de analizarlos, podrían convertirse en conjuntos de datos exclusivos del propietario.

Así como lo lees, ese lindo y sobre todo funcional reloj inteligente que portas todos los días podría ser usado en tu contra pues, según una nueva investigación, este tipo de dispositivos recopilan señales del acelerómetro y el giróscopo que, después de ser analizadas, se convierten en conjuntos de datos que, si se usan incorrectamente, permiten el registro de tus actividades, incluso la información confidencial.

Esos son los hallazgos del nuevo estudio de Kaspersky Lab —compañía internacional dedicada a la seguridad informática— sobre el impacto que la proliferación de la Internet de las Cosas (IoT por sus siglas en inglés) puede tener en la vida cotidiana de los usuarios y en la seguridad de su información.

En los últimos años, la industria de la seguridad cibernética ha demostrado que los datos privados de los usuarios se están convirtiendo en una mercancía muy valiosa, debido a la posibilidad de usarlos con fines criminales casi ilimitados, desde la creación de perfiles digitales avanzados de las víctimas de los ciberdelincuentes, hasta predicciones de mercadeo sobre el comportamiento del usuario.

Pero si bien la paranoia de los consumidores por el uso indebido de la información personal está creciendo, y muchos dirigen su atención a las plataformas en línea y los métodos de recopilación de datos, otras fuentes menos visibles de amenazas permanecen desprotegidas.

Por ejemplo, para ayudar a mantener un estilo de vida saludable, infinidad de personas usan monitores de actividad física para mantener el registro del ejercicio y las actividades deportivas. Pero esto podría tener consecuencias peligrosas.

Los dispositivos portátiles inteligentes, incluidos los relojes inteligentes y los monitores de actividad física, se utilizan comúnmente en actividades deportivas para supervisar rutinas saludables, recibir notificaciones, etc.

¿Qué datos se pueden obtener de estos aparatos?

Para llevar a cabo sus funciones principales, la mayoría de estos dispositivos están equipados con sensores de aceleración integrados (acelerómetros), que a menudo se combinan con sensores de rotación (giroscopios) para contar pasos e identificar la posición actual del usuario. Los expertos de Kaspersky Lab decidieron examinar qué información del usuario podrían proporcionar estos sensores a terceros no autorizados y estudiaron más de cerca varios relojes inteligentes de diversos proveedores.

Para examinar la cuestión, los expertos desarrollaron una aplicación de reloj inteligente bastante simple que registraba las señales de los acelerómetros y giroscopios incorporados. Los datos grabados se guardaron en la memoria del dispositivo portátil o se cargaron en el teléfono móvil mediante conexión Bluetooth.

Empleando algoritmos matemáticos disponibles para la capacidad de cómputo del dispositivo inteligente portátil, fue posible identificar patrones de comportamiento, periodos de tiempo, cuándo y por dónde se desplazaban los usuarios, y durante cuánto tiempo lo estaban haciendo.

Sobre todo, fue posible identificar actividades confidenciales de los usuarios, incluso el ingreso de una contraseña en la computadora (con una precisión de hasta 96 por ciento), ingresar un código PIN en un cajero automático (aproximadamente 87 por ciento) y desbloquear un teléfono móvil (aproximadamente 64 por ciento).

El conjunto de datos de señales es en sí un patrón de comportamiento único del propietario del dispositivo. Al usarlo, un tercero podría ir más allá y tratar de identificar la identidad de un usuario, ya sea a través de una dirección de correo electrónico solicitada en la etapa de registro en la aplicación o mediante la activación del acceso a las credenciales de la cuenta de Android.

Después de eso, es solo cuestión de tiempo hasta que se identifique la información detallada de la víctima, incluidas sus rutinas diarias y los momentos en que ingresan datos importantes. Y considerando que el precio por los datos privados de los usuarios continúa aumentando, rápidamente podríamos encontrarnos en un mundo en el que terceros moneticen este vector.

Aun cuando este exploit no se capitalice y, en cambio, sea utilizado por los ciberdelincuentes con fines maliciosos propios, las posibles consecuencias solo se limitan a lo que determine su imaginación y nivel de conocimiento técnico. Por ejemplo, podrían descifrar las señales recibidas utilizando redes neuronales, atacar a víctimas o instalar skimmers en sus cajeros automáticos favoritos.

Se sabe que los delincuentes pueden lograr 80 por ciento de precisión cuando intentan descifrar las señales del acelerómetro e identificar la contraseña o el PIN utilizando solo los datos obtenidos de los sensores del reloj inteligente. 

“Los dispositivos vestibles inteligentes (wearables) no son solo gadgets en miniatura, son sistemas ciberfísicos que pueden registrar, almacenar y procesar parámetros físicos. Nuestra investigación muestra que incluso algoritmos muy simples, que se ejecutan en el propio reloj inteligente, son capaces de capturar las señales únicas del acelerómetro y giroscopio del perfil del usuario. Estos perfiles se pueden usar para eliminar el anonimato del usuario y realizar un seguimiento de sus actividades, incluidos los momentos en los que ingresa información confidencial. Y esto se puede hacer a través de aplicaciones legítimas de relojes inteligentes que envían datos de señales a terceros de forma encubierta”, dijo Sergey Lurye, entusiasta de la seguridad y coautor de la investigación en Kaspersky Lab.

Recomendaciones

Los investigadores de Kaspersky Lab aconsejan a los usuarios que presten atención a las siguientes peculiaridades cuando utilicen dispositivos inteligentes:

Desconfía: Si la aplicación envía una solicitud para recuperar la información de la cuenta del usuario, esto es motivo para alarmarse, ya que los delincuentes podrían construir fácilmente una “huella digital” de su propietario.

Ten cuidado: Si la aplicación también solicita permiso para enviar datos de geolocalización, entonces debe preocuparse. No otorgues permisos adicionales ni proporciones tu dirección de correo electrónico corporativo como inicio de sesión a aplicaciones para el monitoreo de actividad física que descargues en tu reloj inteligente.

Atención: El rápido consumo de la batería del dispositivo también puede ser motivo grave de preocupación. Si tu dispositivo se agota en pocas horas, en lugar de un día, deberías verificar qué está haciendo realmente el dispositivo. Podría estar escribiendo registros de señales o, lo que es peor, enviándolos a otro lugar.

¿Utilizas este tipo de gadgets?