Investigadores han creado una aplicación para teléfonos inteligentes que combate el «shoulder surfing», es decir, cuando alguien mira por encima del hombro mientras introduces la contraseña de tu teléfono u otros datos privados, e incluso podría obtener información financiera o personal vital.
Cualquier usuario de un cajero automático o de un teléfono inteligente conoce la incomodidad de tener a un desconocido lo bastante cerca como para observar una transacción financiera y, posiblemente, anotar un PIN o un número de cuenta.
Nasir Memon, profesor de informática e ingeniería en la Escuela de Ingeniería Tandon de la Universidad de Nueva York, explica que la tecnología, llamada «IllusionPIN», utiliza un teclado de imagen híbrida que se ve de una manera para el usuario que está cerca y de otra para quien lo observa desde una distancia de un metro o más.
La tecnología subyacente combina la imagen de una configuración de teclado con alta frecuencia espacial con otra imagen, completamente distinta, de una configuración de teclado con baja frecuencia espacial. La visibilidad de cada imagen depende de la distancia desde la que se observa.
«La configuración tradicional de los números en un teclado es tan conocida que un observador puede descifrar un PIN o un código de acceso tras ver varias veces un video de vigilancia», afirma Memon.
«Nuestro objetivo era aumentar la resistencia de la autenticación mediante PIN sin sobrecargar el dispositivo ni perjudicar la experiencia del usuario».
«En un dispositivo que ejecuta IllusionPIN, el usuario —que es quien está más cerca del dispositivo— ve una configuración de números, pero alguien que observa desde lejos ve un teclado completamente distinto». IllusionPIN vuelve a configurar el teclado en cada intento de autenticación o inicio de sesión.
El equipo de investigación simuló una serie de ataques de «shoulder surfing» contra teléfonos inteligentes para comprobar la eficacia de IllusionPIN a distintas distancias.
En total, realizaron 84 intentos de ataque mediante «shoulder surfing» contra 21 participantes, y ninguno tuvo éxito. A modo de comparación, también llevaron a cabo 21 ataques de «shoulder surfing» contra teléfonos sin protección, usando los mismos parámetros de distancia; los 21 ataques tuvieron éxito.
El equipo también determinó que IllusionPIN hace casi imposible robar PIN u otros datos de autenticación mediante imágenes de vigilancia.
La conciencia sobre la amenaza potencial que representa el «shoulder surfing» ha aumentado significativamente durante la última década, desde la aparición de los primeros teléfonos inteligentes.
Aunque no hay estadísticas fiables sobre la prevalencia de los ataques de «shoulder surfing», un estudio de 2016 realizado por Memon y Nguyen reveló que el 73 por ciento de los usuarios de dispositivos móviles encuestados afirmó haber visto el PIN de otra persona (aunque no necesariamente con intención maliciosa). Un estudio de 2017 sobre la conciencia del «shoulder surfing», presentado en la Conferencia ACM sobre Factores Humanos en Sistemas Informáticos, informó que el 97 por ciento de las personas encuestadas afirmó conocer algún incidente de «shoulder surfing» en la vida cotidiana y que, en la mayoría de los casos, las víctimas no sabían que estaban siendo observadas.
«La autenticación mediante PIN es popular por buenas razones: es fácil de usar y de recordar», afirma Memon. «Nuestro objetivo era aumentar la resistencia de la autenticación mediante PIN sin sobrecargar el dispositivo ni perjudicar la experiencia del usuario».
El equipo de investigación planea seguir perfeccionando IllusionPIN con el objetivo de comercializar la tecnología.
Un artículo sobre esta tecnología se publica en la revista IEEE Transactions on Information Forensics & Security.
