Espionaje por ultrasonidos en tu móvil.

Hacking por ultrasonidos, Algo no tan nuevo

Aunque esto del uso de los ultrasonidos para fines de localización parezca una nueva técnica, en realidad es solo un antiguo método ya publicado por el año 1992  (Ver referencia 1)

Los ultrasonidos son sencillamente ondas mecánicas que no logran ser escuchadas por el ser humano (18mil-20mil Hz).  Aunque si, por las mascotas y tal vez algunos adolescentes. (Presbiacusia)

El uso de ultrasonidos es útil en aplicaciones cotidianas en tratamientos de salud, en aplicaciones industriales como detección de fugas, limpieza profunda de objetos y muchos usos más. (Ver referencia 2)

uXDT

Originalmente este método se lo realizó como una investigación que solucionaba problemas de posicionamiento y localización robots y resolvía otras aplicaciones en automatización.

En estos estudios  meramente científicos se logró crear fórmulas y métodos de medición en los que usando ultrasonidos se lograba calcular la posición estimada de un aparato específico con una precisión del 95% con un margen de error de apenas 20cm.

El método actualmente es conocido como "Ultrasound cross-device tracking" o en su forma corta "uXDT", y técnicamente hablando, el equipamiento necesario nada más que un micrófono común como receptor y un parlante común como emisor, tal como el de cualquier equipo celular, TV, laptop, etc.  (Ver referencia 3)

A pesar de que los Ultrasonidos suponen ser una tecnología positiva en casi todos sus usos, no tardaron en darle una utilidad no tan positiva.

En el año 2015, una empresa llamada "Silverpush" ofrecía un sistema de publicidad en el que usaban apps de celular con su SDK que mantenía el micrófono a la espera de escuchar un código específico  de estos ultrasonidos.

Luego introducían frecuencias de ultrasonido, con el código esperado, en una canción o cualquier audio que podía sonar en TV, radio, o banner web desde su laptop.

El celular al recibir esta señal de ultrasonido, interpreta el código enviado y usando internet enviaba un dato de seguimiento a la empresa publicitaria.

Una vez que el SDK estaba instalado en el teléfono, varias empresas podían hacer uso de este método para obtener datos usando el smartphone, cada empresa con su distintivo código específico de ultrasonidos.

Al cerrar el 2015 al menos 39 apps ya usaban uXDT para recopilar datos de consumidores.

¿Qué cosas podría saber alguien que rastrea mis hábitos por ultrasonido?

Contrastando miles de datos, puede determinar qué comerciales vio el cliente, cuánto tiempo escuchó el comercial antes de cambiar de canal o saber si la pestaña publicitaria con sonido en el navegador fue cerrada, geolocalizar al usuario según su región y emisión de la publicidad, conocer los hábitos de consumo de las personas, por ejemplo saber qué canales mira en TV por las noches, incluso qué programas o páginas visita, solo con simplemente contrastar la información en grandes bases de datos que recopilan los hábitos de consumo de las personas.  (Ver referencia 4) 

La era del BIG DATA, la recopilación masiva de datos.

Ahora en el año 2017, investigadores Alemanes de la "Technische Universitat Braunschweig" recientemente presentaron un estudio en los que se demostraba cómo se están usando "uXDT" para hacer seguimiento e identificación de los consumidores. (Ver referencia 5)

En un análisis de 1.3 millones de apps al menos 234 apps de Android usan código que mantiene el micrófono activo en espera de tonos en ultrasonido.al parecer esta técnica podría presentar crecimiento a futuro.

4 de 35 tiendas en la Unión Europea, usan emisores de ultrasonidos ubicados estratégicamente en lugares públicos, para estudiar el hábito de los consumidores que mejoran la estrategia para ofrecer atención extremadamente personalizada con productos al gusto del cliente, según sus hábitos.

Un ejemplo clarísimo es la app de McDonalds, instalada en millones de smartphones. 

Afortunadamente (Por ahora), no se encontraron apps a la escucha de ultrasonidos en SmartTVs. 

Las empresas que actualmente ofrecen este invasivo método publicitaro son Shopkick, Lisnr y SilverPush, que proveen SDK a desarrolladores de apps y soluciones que emiten ultrasonidos en anuncios cotidianos.

El uso de canales acústicos con fines publicitarios, no es nuevo y parece ser de gran interés para grandes empresas que tienen los recursos como para implementar "uXDT", colectar y analizar la gran cantidad de información que este método genera.

Como dato interesante, antes, también se ha usado este método teóricamente para tratar de descubrir a usuarios anónimos de la red TOR.

¿Cómo evitar esta invasión ultrasónica?

-Remover las apps o los permisos en las apps que soliciten GRABAR SONIDO o ACCESO A MICRÓFONO si no lo considera necesario.

-Mantener su red o su equipo segura con un buen bloqueador de publicidad, y usar DNS que eliminen Ads. (OpenDNS / Google DNS)

-Mantener los parlantes apagados, o el volumen en silencio si no se está usando o usar audífonos siempre que sea posible.

- Usar la extensión SilverDog en su PC, para evitar que la publicidad auditiva de las páginas activen la escucha y el tracking en el celular.  Link

-Poner en silencio a la TV mientras pasa propaganda.

-------------------------------------------

[Referencia 1]

"Optimal estimation of position and heading for mobile robots usingultrasonic beacons and dead-reckoning"  - Kleeman, L. Robotics and Automation, 1992. Proceedings.  / Link: PDF 

[Referencia 2]

"Ultrasonidos: Aplicaciones y Procesos" Link: WEB

[Referencia 3]

"Ultrasonic beacon-based Local Positioning System using Loosely Synchronous codes" - Department of Electronics, University of Alcala, Alcala de Henares, Spain and Department of Electronics & Electromechanical Engineering, University of Extremadura, Caceres, Spain. / Link: PDF

"Positioning with Independent Ultrasonic Beacons" - Department of Computer Science, University of Bristol, U.K / Link: PDF

[Referencia 4]

"Beware of ads that use inaudible sound to link your phone, TV, tablet, and PC" / Link: WEB

[Referencia 5]

"Privacy Threats through Ultrasonic Side Channels on Mobile Devices"
Technische Universitat Braunschweig - Brunswick, Germany / Link: PDF

-------------------------------------------

Fuentes:

https://www.bleepingcomputer.com/news/security/234-android-applications-are-currently-using-ultrasonic-beacons-to-track-users/

https://www.bleepingcomputer.com/news/security/ultrasound-tracking-could-be-used-to-deanonymize-tor-users/

http://hackaday.com/2017/05/04/ultrasonic-tracking-beacons/

https://siliconangle.com/blog/2017/05/05/hundreds-android-apps-found-tracking-users-ultrasonic-beacons/

Imágenes:

www.hackaday.com ( https://hackadaycom.files.wordpress.com/2017/05/800.png )
www.convict.lu ( http://www.convict.lu/pictures/gif/three_towers_.gif )
Pexel / Pixabay / Wikimedia commons / Flickr Commons