Seguramente hagas este gesto con frecuencia cuando te diriges a sacar dinero a un cajero: mientras tecleas tu número secreto con una mano pones la otra encima para que nadie vea qué estás tecleando.
Este simple mecanismo de protección se ha generalizado mucho y también tiene como fin evitar las posibles cámaras que los amigos de lo ajeno hayan instalado en el cajero para grabar imágenes y conocer el PIN. Sin embargo, tenemos malas noticias para ti: no es infalible.
Investigadores de la Universidad de Padua, en Italia, han encontrado cómo entrenar a un algoritmo de deep learning para que adivine el número secreto de cuatro dígitos de las tarjetas de crédito, incluso aunque se haya puesto la mano encima para taparlo.
La tasa de éxito por ahora no es demasiado elevada (41%), pero es suficiente para dar algún que otro susto a los clientes de las entidades bancarias.
La cámara, el elemento fundamental
Desde la firma de seguridad Panda Security cuentan cómo para efectuar este ataque sería necesario la creación de una réplica del cajero automático objetivo, por lo que no es una amenaza que resulte muy sencilla de ejecutar. Hecho esto, toca entrenar al algoritmo. Esto se puede llevar a cabo trabajando con las dimensiones específicas, en concreto el espaciado de las teclas de los diferentes teclados PIN.
Posteriormente "el modelo de aprendizaje automático se entrena a sí mismo con la información recibida para reconocer las pulsaciones del teclado y asignar probabilidades específicas de que un movimiento corresponda a una tecla determinada, todo ello a partir de los vídeos de personas que introducen sus PIN en el teclado del cajero automático", señalan desde el blog de Panda.
El algoritmo es capaz de deducir los dígitos pulsados teniendo en cuenta los movimientos de la mano y calculando la distancia entre dos teclas. Dicho análisis es relativamente sencillo si se coloca una cámara estenopeica en la parte superior del cajero.
El experimento llevado a cabo por los investigadores italianos implicó la recopilación de 5.800 vídeos de 58 personas distintas pertenecientes a distintos grupos demográficos, las cuales introdujeron PIN de cuatro y cinco dígitos.
Los expertos lograron reconstruir la secuencia completa para los PIN de cinco dígitos en un 30% de las ocasiones y en un 41% para el de cuatro. Además, los investigadores señalan que si la cámara que se instala tiene capacidad para registrar también audio también se podría usar el sonido de la pulsación para hacer al algoritmo mucho más certero, ya que cada tecla o dígito tiene una ligeramente distinta.