Pesquisa demonstra roubo de senhas por vídeo de óculos inteligentes Meta Ray-Ban a até 1,8 m de distância
Um novo ataque de inferência visual usa a câmera dos óculos inteligentes Meta Ray-Ban para observar a digitação de senhas em teclados de smartphone e reconstruir a senha combinando análise de movimento de dedo com estatística de 2,19 bilhões de senhas vazadas. Em testes com usuários, senhas de até 16 caracteres escolhidas por humanos foram quebradas em horas a dias, e senhas de gerenciador de senhas de até 13 caracteres em menos de uma hora com GPU comum.
O ataque ataca um elo que a maioria das defesas de autenticação ignora: a digitação física da senha em público. Diferente de ataques anteriores restritos a PINs numéricos, padrões de desbloqueio ou tablets com condições artificiais, este é o primeiro pipeline generalizado para senhas alfanuméricas completas em teclados QWERTY de smartphone, funcionando nos quatro layouts de teclado comuns e sem exigir acesso prévio ao dispositivo ou identidade da vítima.
Tecnicamente, o sistema rastreia a posição do celular e da ponta dos dedos em resolução sub-pixel a partir do vídeo gravado pelos óculos, estima dinamicamente qual layout de teclado está na tela (já que o usuário-alvo é desconhecido a priori) e usa um ensemble de redes neurais auto-supervisionadas para gerar uma distribuição de probabilidade por tecla a cada toque — em vez de tentar prever a tecla exata, o que seria menos robusto a erro de rastreamento. Essas probabilidades são então combinadas com um modelo estatístico de senhas vazadas, permitindo estimar o ranking (e portanto o tempo de quebra) da senha real mesmo quando a leitura visual isolada é ambígua.
O resultado prático é uma redução de entropia de senha de até 60 bits comparado a abordagens anteriores, o suficiente para tornar viável ataque de força bruta mesmo contra políticas de senha corporativas típicas. O alcance de até 1,8 metro e a tolerância a diferentes ângulos e posturas tornam o ataque plausível em qualquer ambiente público comum — transporte, fila, cafeteria — sem que a vítima perceba estar sendo observada, já que óculos inteligentes de consumo não chamam atenção como uma câmera dedicada.
A implicação direta para fraude é o comprometimento de credenciais como porta de entrada para account takeover, inclusive de contas bancárias e financeiras acessadas por senha mestra ou de gerenciador. Como mitigação prática, o estudo reforça a importância de MFA resistente a phishing/observação (biometria local, chave de segurança), de teclados com ofuscação visual (números embaralhados, como já usam alguns apps bancários) e de simplesmente evitar digitar senhas sensíveis em público quando há linha de visão de terceiros com câmera.