Ciberseguridad
Investigadores de seguridad de Miggo Security, una empresa especializada en ciberseguridad, como han informado en una publicación con fecha de 19 de enero, han revelado detalles de este fallo de seguridad que aprovecha la inyección indirecta de mensajes dirigidos a Google Gemini. Esto ha permitido saltarse los controles de privacidad del Calendario de Google y ocultar una carga maliciosa.
Usan Gemini para robar datos personales
Según explica Liad Eliyahu, jefe de investigación de Miggo Security, han podido utilizar una simple invitación de calendario estándar, para lograr eludir los controles de privacidad del Calendario de Google y ocultar así la carga maliciosa. Esto permitió el acceso no autorizado a datos de reuniones privadas y crear eventos engañosos.
Algo a destacar, es que todo esto lo podían lograr sin la interacción directa por parte de la víctima. Esto hace que sea más peligroso, según indican en el informe presentado por parte de Miggo Security.
Todo empieza con un nuevo evento de calendario creado por el atacante y enviado a la víctima objetivo. En la descripción de esa invitación, aparece un mensaje que utiliza un lenguaje natural, sin levantar sospechas. Esto resulta en la inyección de mensajes.
A partir de ahí, el ataque se activa cuando la víctima hace una pregunta a Gemini sobre su agenda, como puede ser preguntar si tiene alguna reunión en un día determinado. Esto hace que el chatbot analice la pregunta especialmente diseñada en la descripción de ese evento malicioso, para resumir todas las reuniones de un día en concreto. Esto permite añadir esos datos a un nuevo evento del Calendario de Google y devolver una respuesta inofensiva al usuario.
Gemini, por su parte, crea un evento de calendario y escribe un resumen completo de las reuniones privadas de ese usuario. En muchas configuraciones, ese nuevo evento era visible para el atacante. Por tanto, podría leer los datos privados sin que la víctima sea consciente de ello y sin que tenga que hacer nada.
La Inteligencia Artificial tiene riesgos
Este problema con Gemini ya ha sido solucionado, una vez divulgaron estos hallazgos. Aunque no hay comunicado oficial por parte de Google, sí se han hecho eco de ello medios especializados como The Hacker News. Sin embargo, nos demuestra, una vez más, el riesgo que tiene para la privacidad el uso de la Inteligencia Artificial. Pueden acceder a mucha información personal, la cual puede quedar expuesta para terceros.
Para evitar, o al menos reducir el riesgo, problemas de este tipo, es fundamental revisar muy bien todo lo que compartes en Internet. Cuidado con eventos que puedan llegarte por correo, así como archivos que puedan contener malware. Asegúrate de revisar todo muy bien y no dar facilidades a los piratas informáticos.
Te recomendamos tener todo correctamente actualizado, ya que esto es clave para reducir riesgos y evitar que puedan explotar esos fallos para robar datos, contraseñas o tomar el control del equipo. Asegúrate siempre de tener las últimas versiones instaladas.
