Une cyberattaque par IA pourrait déterminer votre mot de passe à partir de l’acoustique du clavier

Oui, les sons de votre clavier pourraient révéler votre mot de passe.

Le piratage des mots de passe en enregistrant le son de vos frappes n’est pas nouveau, mais les chercheurs utilisant l’IA ont pu le faire avec beaucoup plus de précision.

Des informaticiens de l’Université de Durham, de l’Université de Surrey et de l’Université Royal Holloway de Londres ont simulé une cyberattaque où un modèle d’apprentissage en profondeur a classé les frappes au clavier à l’aide d’enregistrements audio de Zoom et d’un microphone de smartphone. Lorsqu’ils ont été formés aux frappes au clavier à l’aide de Zoom, les chercheurs ont atteint une précision de 93 % et, à l’aide d’un smartphone, ils ont atteint une précision de 95 %. À l’aide d’équipements et de logiciels prêts à l’emploi, ils ont pu montrer comment ce type d’attaque est possible.

Ce type de cyberattaque, appelé attaque par canal latéral acoustique (ASCA), a été étudié au début des années 2000, mais n’a pas beaucoup retenu l’attention ces derniers temps. Cependant, maintenant en raison de l’essor de la vidéoconférence, des personnes travaillant à distance dans les cafés et les lieux publics et des progrès récents des réseaux de neurones, les chercheurs ont souligné comment cette menace pourrait devenir plus répandue. L’étude, qui a été présentée et acceptée dans le cadre de l’atelier 2023 du Symposium européen de l’IEEE sur la sécurité et la confidentialité, a été menée afin de prouver sa viabilité et d’attirer l’attention sur les ASCA, maintenant que les outils d’apprentissage en profondeur sont beaucoup plus accessibles.

Alors, comment les gens peuvent-ils se protéger contre les attaques acoustiques par canal latéral ? La réponse la plus simple est de ne pas taper votre mot de passe près des microphones ou sur Zoom. Mais ce n’est pas toujours faisable. Les chercheurs ont proposé de s’assurer que votre mot de passe est sécurisé avec une authentification à deux facteurs, en utilisant une connexion biométrique dans la mesure du possible et en utilisant des mots de passe aléatoires avec des caractères majuscules et minuscules, car il est difficile de reconnaître la libération de la touche Shift.