Cyberthreat.id – Check Point, perusahaan keamanan siber asal Israel, menemukan serangkaian kerentanan pada Alexa, asisten virtual Amazon.

Kerentanan tersebut menurut peneliti berpotensi membuka “berbagai serangan siber yang menargetkan Alexa.”

Menurut peneliti, seperti dikutip dari SecurityWeek, diakses Minggu (16 Agustus 2020), kerentanan karena kesalahan konfigurasi Cross-Origin Resource Sharing (CORS) dan Cross Site Scripting (XSS). Peneliti menemukannya di subdomain Amazon dan Alexa.

Jika peretas berhasil mengeksploitasi kerentanan itu, menurut peneliti, mereka dapat mengambil informasi pribadi pengguna Alexa, serta riwayat suara. Tak hanya itu, peretas juga dapat menginstal aplikasi atas nama pengguna, membuat daftar keterampilan yang diinstal, atau menghapusnya.

“Eksploitasi yang berhasil hanya membutuhkan satu klik pada tautan Amazon yang dibuat secara khusus oleh penyerang,” jelas peneliti Check Point.

Untuk melakukan serangan, peretas perlu membuat tautan berbahaya yang mengarahkan pengguna ke amazon.com, mengirimkannya ke korban, dan mengelabui mereka agar mengkliknya. Penyerang akan membutuhkan kemampuan injeksi kode di halaman tujuan.

Selanjutnya, penyerang mengirimkan permintaan Asynchronous Javascript and XML (Ajax) dengan cookie pengguna ke amazon.com/app/secure/your-skills-page, yang memungkinkan penyerang untuk mengambil daftar aplikasi yang diinstal pada akun Alexa korban.

Para peneliti keamanan mencatat bahwa, meskipun Amazon tidak mencatat kredensial masuk perbankan, penyerang dapat mengakses interaksi pengguna dengan aplikasi perbankan dan mengambil riwayat data mereka. Selain itu, nama pengguna dan nomor telepon juga dapat diambil, berdasarkan aplikasi yang dipasang.

Amazon diberi tahu tentang kerentanan yang ditemukan pada Juni 2020 dan telah memperbaikinya.

"Keamanan perangkat kami adalah prioritas utama, dan kami menghargai kerja peneliti independen seperti Check Point yang membawa masalah potensial kepada kami. Kami memperbaiki masalah ini segera setelah kami memperhatikannya, dan kami terus memperkuat sistem kami lebih jauh Kami tidak mengetahui adanya kasus kerentanan ini yang digunakan terhadap pelanggan kami atau informasi pelanggan apa pun yang terungkap, "kata juru bicara Amazon.[]

Redaktur: Andi Nugroho