As assistentes virtuais e colunas inteligentes controladas através da voz humana ganham fama por responder a perguntas em segundos, ensinar as crianças a dizer “por favor” e “obrigada”, fazer chamadas, gerir outros aparelhos electrónicos e tocar música. Cada vez mais empresas tecnológicas oferecem uma. Mas se há um microfone na sala, a privacidade nunca é garantida: até esta semana, a Alexa, da Amazon, também era capaz de ouvir e transcrever tudo o que o dono dizia quando estava por perto da coluna inteligente Echo.

O erro, que a Amazon já corrigiu, foi descoberto pela empresa de segurança Checkmarx. “Este tipo de dispositivos estão sempre à escuta para ouvir quando os donos dizem as palavras que os despertam (por exemplo, ‘Hey Alexa’) e darem logo a resposta necessária”, explica Arden Rubens, da Checkmarx, na apresentação do relatório sobre as descobertas.

Com isso em mente, dois investigadores da empresa experimentaram transformar a coluna Amazon Echo num gravador, ao obrigar o microfone a ouvir e transcrever tudo o que as pessoas diziam depois de “Alexa” (o normal seria parar depois da assistente dar uma resposta). Conseguiram e dizem que foi fácil.

Bastou criar uma “Amazon skill”. Trata-se de uma funcionalidade adicional para a Alexa possível de descarregar da loja online da empresa que inclui aplicações para ensinar a assistente a cronometrar flexões ou dinamizar jogos de perguntas e respostas. Tudo isto é legal, mas, contrariamente a outras competências, em que o microfone parava de gravar depois de ajudar alguém, a da Checkmarx apenas parava se ouvisse as palavras “should end session” (inglês para “terminar sessão”) e os utilizadores não eram informados. 

Num comunicado enviado à imprensa, a Amazon diz que foi avisada no dia 10 de Abril e já “desenvolveu ferramentas para identificar o comportamento e rejeitar ou suprimi-lo.” Uma das tácticas é impedir sessões anormalmente longas. 

A Checkmarx alerta que utilizou uma técnica comum para espiar através de smartphones: enganar os utilizadores a instalar aplicações maliciosas que usam os microfones dos aparelhos para gravar tudo, por vezes com “autorização” das pessoas que concordam com termos de privacidade sem os ler. É o motivo do novo Regulamento Geral para a Protecção de Dados (RGPD), que entra em vigor na Europa em Maio, obrigar as empresas a esclarecer a informação que guardam das pessoas.

Cada vez mais empresas oferecem assistentes virtuais e dispositivos para falar com elas: a Microsoft tem a Cortana, a Samsung tem a Bixby (por enquanto, apenas no smartphone), e a Google tem a Google Assistant e a coluna Home. Embora estes dispositivos ainda não estejam disponíveis para venda em Portugal, já é possível encomendar algumas colunas do Reino Unido. 

A Checkmarx diz que o objectivo não é convencer as pessoas a deixarem de utilizar colunas inteligentes, mas mostrar que estas podem ser utilizadas para “espiar em conversas que não deviam” e que é preciso estar atento. Com a Alexa, a única coisa que alertava para algo errado era uma luz azul que se liga quando o aparelho está a ouvir. Para reparar, é preciso saber para onde olhar.