Hackers usam falha na Cortana para operar um computador bloqueado com senha

Uma dupla de pesquisadores independentes está causando polêmica na internet ao mostrar que um recurso da Cortana, a assistente pessoal presente no Windows 10, pode ser usado de forma maliciosa por terceiros para tomar controle de um computador protegido com senha. O que acontece é que, por padrão, a Cortana pode receber comandos mesmo com o PC bloqueado, e a Microsoft parece não ter se ligado de que isso é algo perigoso.

Os hackers resumiram bem o problema em um vídeo de apenas 23 segundos. No clipe, o especialista ativa a assistente e pede, via comandos de voz e com o computador bloqueado, que ela acesse o site oficial do jornal CNN. Em seguida, ele desbloqueia a máquina informando sua senha e podemos ver que a página requerida já estava aberta em segundo plano. Ou seja: a Cortana cumpriu o pedido mesmo antes do desbloqueio.

Parece uma falha boba e inocente, não é mesmo? Mas não é assim que a banda toca. Imagine, por exemplo, que graças a esse truque, alguém que tenha acesso físico ao seu computador seja capaz de pedir à inteligência artificial que ela acesse um site malicioso, que contém um script de cryptojacking ou inicia o download de um malware em segundo plano. Esse é apenas um exemplo do que pode ser feito graças a esse “bug”.

Aprenda a prevenir

Por sorte, não estamos falando de uma vulnerabilidade propriamente dita, mas sim de uma função que foi intencionalmente desenvolvida pela Microsoft (e cujo perigo ninguém havia percebido até então). Sendo assim, para prevenir dores de cabeça, tudo o que você precisa fazer é acessar a janela de configurações da Cortana e desabilitar a opção “Use Cortana even when my device is locked” (ou “Usar a Cortana mesmo quando meu dispositivo estiver bloqueado”).

Outra dica é alterar a frase-padrão pela qual a assistente responde (“Hey, Cortana”), adicionando uma frase personalizada que a sua imaginação permitir criar. Dessa forma, ninguém saberá como convocar a inteligência artificial sem a sua permissão.

Fonte: The Next Web