Una inteligencia artificial experimental puede captar pines y contraseñas con sólo oírnos teclear en el móvil

Llamamos 'keylogger' al software -normalmente malicioso- usado para espiar qué teclas pulsamos en nuestro ordenador o dispositivo móvil. Si bien el código del primer keylogger conocido se publicó en un grupo de noticias de la Usenet en 1983, ese mismo año se supo que los soviéticos ya llevaban un tiempo espiando máquinas de escribir mediante complejos mecanismos electromagnéticos.

Ahora, el concepto de keylogger ha dado un nuevo giro gracias a la inteligencia artificial: investigadores de la Universidad de Cambridge han publicado esta semana un paper en el que describen un nuevo tipo de ciberataque consistente en espiar las teclas pulsadas en un smartphone (sí, uno de los normales con teclado virtual)... gracias al sonido generado por la pulsación de nuestros dedos.

El sonido de nuestros dedos nos delata

Los investigadores se dieron cuenta de que el micrófono del dispositivo puede captar estas ondas y 'escuchar' el toque del dedo, así como de que era posible relacionar determinadas distorsiones de dichas ondas con determinadas ubicaciones de nuestros toques sobre la pantalla.

"Por lo tanto, mediante la grabación de audio a través del micrófono incorporado, una aplicación maliciosa puede inferir qué texto está introduciendo usuario en sus dispositivos".

Esta clase de ciberataques basado en el sonido de los teclados no son algo nuevo en lo que respecta los teclados físicos, pero parecía un reto mucho más notable aplicarlo a un campo como los teclados virtuales, donde la superficie es siempre la misma y no existe la opción de detectar, por ejemplo, particularidades físicas de cada tecla.

Los investigadores desarrollaron una app que gracias al machine learning, es capaz de correlacionar una pulsación con el uso de un tecla concreta. Para entrenar a la IA recurrieron a grabar las señales de dos móviles con micrófono doble: el Nexus de LG 5 y Nexus de Samsung 9; un 70% de los mismos se reservó para el entrenamiento, y el resto para la prueba.

Ésta se llevó a cabo con 45 sujetos de prueba en entornos con ruido ambiental, que tuvieron que realizar diversas pruebas de pulsación de letras y palabras (en algún caso, al azar). Al modelo le bastan tres intentos para predecir correctamente más del 80% de los dígitos tecleados.

Y "con dos micrófonos, podemos recuperar 91 de cada 150 pines en tan sólo 20 intentos, sin disponer de información sobre el tiempo transcurrido entre cada pulsación".

Para los investigadores, esto muestra la necesidad de adoptar enfoques más realistas sobre las amenazas que afectan al actual hardware, enfoque que tengan en cuenta "la complejidad de las modernas plataformas".

Plantean, además, varios modos de evitar o mitigar la vulnerabilidad que ellos mismos han detectado: desde conmutadores físicos que permitan desconectar los micrófonos, capas adicionales en la pantalla capaces de absorver el sonido de los dedos, etc.

Vía | Arxiv.org

Imagen | Judit Klein