Το ανθρώπινο αυτί έχει όρια. Τα μικρόφωνα των κινητών δεν έχουν τα ίδια. Σε αυτό το κενό χτίστηκε μια τεχνική παρακολούθησης που οι περισσότεροι δεν γνωρίζουν. Η ακαδημαϊκή τεκμηρίωση είναι κυρίως του 2016–2018. Δεν υπάρχει νεότερη ανεξάρτητη μέτρηση για το πόσο διαδεδομένη είναι σήμερα.
Τι είναι
Πρόκειται για ήχους περίπου 18 έως 20 kHz. Οι περισσότεροι ενήλικες δεν τους ακούν, αλλά τα μικρόφωνα των κινητών τους ανιχνεύουν. Μπορούν να παίζουν από ηχείο καταστήματος, από διαφήμιση στην τηλεόραση ή στον υπολογιστή, ακόμη και από ιστοσελίδα. Το σήμα κουβαλάει έναν κωδικό. Μια εφαρμογή που έχει πρόσβαση στο μικρόφωνο τον αναγνωρίζει.
Η χρήση τους λέγεται υπερηχητική παρακολούθηση μεταξύ συσκευών (ultrasonic cross-device tracking). Συνδέει κινητό, tablet και υπολογιστή του ίδιου ανθρώπου, ώστε ο διαφημιστής να ξέρει ότι όποιος είδε μια διαφήμιση στην τηλεόραση είναι ο ίδιος με το κινητό που την «άκουσε».
Μία από τις εταιρείες που το ανέπτυξαν ήταν η SilverPush, ιδρυμένη το 2012 και γνωστή από το 2014. Τον Μάρτιο του 2016 η αμερικανική FTC παρενέβη, και η εταιρεία δήλωσε ότι δεν είχε ενεργές συνεργασίες στις ΗΠΑ.
Τι έδειξαν οι έρευνες
Το 2016 ο Vasilios Mavroudis, με βασική ένταξη στο UCL και παράλληλη αναφορά στο UC Santa Barbara, παρουσίασε στο Black Hat Europe τρόπους επίθεσης και άμυνας. Στην ίδια γραμμή ανήκουν ένα patch για το Android και μια επέκταση για το Chrome, που δίνουν στον χρήστη περισσότερο έλεγχο στην εκπομπή και τη λήψη τέτοιων ήχων. Η δουλειά δημοσιεύτηκε το 2017 στο PETS, με τίτλο για το απόρρητο και την ασφάλεια του υπερηχητικού οικοσυστήματος.
Το 2017 οι Daniel Arp, Erwin Quiring, Christian Wressnegger και Konrad Rieck στο Τεχνικό Πανεπιστήμιο του Μπράουνσβαϊγκ βρήκαν 234 εφαρμογές Android που άκουγαν στο παρασκήνιο για τέτοια σήματα, πολλές με τον κώδικα της SilverPush. Στα επώνυμα παραδείγματα του paper είναι εφαρμογές των McDonald’s και Krispy Kreme. Δημοσιεύματα της εποχής αναφέρουν και εφαρμογές εστιατορίων στις Φιλιππίνες. Οι ερευνητές σημείωσαν ότι η λειτουργία δεν αναφερόταν στις πολιτικές απορρήτου. Η Google επιβεβαίωσε την ύπαρξη των εφαρμογών και είπε ότι είτε ανεστάλησαν είτε ενημερώθηκαν ώστε να συμμορφώνονται με την πολιτική της.
Την ίδια χρονιά, η μελέτη του UCL έδειξε και αδυναμίες ασφαλείας: τα σήματα σχεδιάζονταν με την υπόθεση ότι κανείς τρίτος δεν θα τα αντέγραφε ή θα τα επαναλάμβανε.
Το 2018 οι Nikolay Matyunin, Jakub Szefer και Stefan Katzenbeisser, από το TU Darmstadt και το Yale, έδειξαν ότι η λήψη μπορεί να γίνει και χωρίς άδεια μικροφώνου. Το γυροσκόπιο τύπου MEMS αντιδρά σε συγκεκριμένες υπερηχητικές συχνότητες, και η πρόσβαση σε αυτό δεν ζητά άδεια.
Τι δεν ξέρουμε
Δεν είναι σαφές πόσο χρησιμοποιείται σήμερα. Η βιβλιογραφία αφορά κυρίως το 2014–2018, και μέρος των προϊόντων αποσύρθηκε μετά τις αντιδράσεις για το απόρρητο. Αναφορές όπως της NordVPN, το 2023, είναι έρευνα γνώμης: άνθρωποι είπαν ότι είδαν διαφήμιση για κάτι που είχαν δει στην τηλεόραση ή είχαν αναφέρει. Αυτό εξηγείται και με cookies, pixels και device fingerprinting. Δεν είναι μέτρηση ότι τα beacons συνεχίζουν να εκπέμπονται, και προέρχεται από εταιρεία που πουλάει προϊόντα ιδιωτικότητας.
Δεν υπάρχει επίσης απόδειξη ότι το κινητό ηχογραφεί τις συζητήσεις σας. Τα beacons μεταφέρουν κωδικούς, όχι ομιλία. Είναι διαφορετικό θέμα από την ηχογράφηση συνομιλιών.
Τι μπορεί να κάνει ο χρήστης
Το πρακτικό μέτρο για την κλασική εκδοχή είναι οι άδειες. Αν μια εφαρμογή δεν χρειάζεται μικρόφωνο, δεν υπάρχει λόγος να το έχει. Στο iOS η ρύθμιση είναι στις Ρυθμίσεις > Απόρρητο και ασφάλεια > Μικρόφωνο, και στο Android στις άδειες κάθε εφαρμογής. Αυτό δεν καλύπτει την επίθεση μέσω γυροσκοπίου. Την εκπομπή των beacons από ξένο ηχείο δεν μπορείς να τη σταματήσεις. Μπορείς μόνο να μειώσεις την πιθανότητα να τα πιάνει το δικό σου κινητό.
Πηγές: Mavroudis et al., PETS 2017 (UCL), και παρουσίαση στο Black Hat Europe 2016· Arp et al., TU Braunschweig, 2017· Matyunin, Szefer και Katzenbeisser, IEEE HOST 2018.