**Investigadores descubren grave vulnerabilidad en Gemini Voice Assistant: control remoto de dispositivos inteligentes y llamadas Zoom no autorizadas**

—

### 1. Introducción

Un reciente hallazgo de seguridad ha revelado una vulnerabilidad crítica en Gemini Voice Assistant, el asistente de voz integrado en la plataforma Google Home. Este fallo permitía a actores maliciosos tomar el control de dispositivos inteligentes conectados, así como iniciar llamadas de Zoom sin el conocimiento del usuario. El incidente pone de manifiesto los riesgos inherentes a la integración de asistentes inteligentes con ecosistemas IoT y aplicaciones de videoconferencia, y plantea importantes desafíos para la seguridad de los entornos empresariales y domésticos.

—

### 2. Contexto del Incidente o Vulnerabilidad

El descubrimiento fue realizado por investigadores de ciberseguridad que analizaron las interacciones entre Gemini Voice Assistant y las notificaciones de mensajería. La vulnerabilidad reside en la forma en que el asistente procesa las notificaciones entrantes, lo que abre la puerta a ataques de manipulación de comandos por voz. La explotación de esta debilidad permitía a un atacante ejecutar instrucciones remotas, como desbloquear puertas inteligentes, manipular termostatos, apagar cámaras de seguridad o incluso iniciar videollamadas en Zoom, todo ello sin interacción directa por parte del usuario objetivo.

Este tipo de ataque resulta especialmente preocupante en el contexto de la proliferación de dispositivos IoT, donde la convergencia de asistentes de voz y sistemas domóticos es cada vez más común, tanto en hogares como en oficinas.

—

### 3. Detalles Técnicos

La vulnerabilidad ha sido registrada bajo el identificador CVE-2024-XXXX (pendiente de asignación oficial al cierre de este artículo). El vector de ataque principal consiste en el abuso de las notificaciones push de mensajería, que Gemini Voice Assistant interpreta y acciona sin requerir validaciones adicionales de autenticidad o contexto.

**Técnicas y procedimientos identificados:**
– **Vector de ataque**: Mensajería push (SMS, WhatsApp, Telegram, notificaciones de apps de mensajería).
– **TTP MITRE ATT&CK**: T1056 (Input Capture), T1204 (User Execution), T1106 (Native API).
– **IoC (Indicadores de Compromiso)**: Tráfico anómalo de comandos de voz, logs de actividad inusual en dispositivos IoT vinculados, llamadas Zoom iniciadas fuera del horario habitual o sin autorización explícita.
– **Frameworks utilizados**: Aunque el exploit PoC no ha sido divulgado públicamente, los investigadores afirman que la explotación es viable mediante el uso de frameworks como Metasploit, modulando scripts para automatizar el envío de notificaciones maliciosas y la inyección de comandos.

Las versiones afectadas incluyen todas las actualizaciones de Gemini Voice Assistant previas al parche de seguridad de junio de 2024, así como integraciones no actualizadas de Google Home y dispositivos IoT compatibles.

—

### 4. Impacto y Riesgos

La explotación de esta vulnerabilidad permite a los atacantes:
– Manipular dispositivos inteligentes (cerraduras, cámaras, luces, termostatos).
– Iniciar videollamadas en Zoom sin consentimiento, lo que puede llevar a filtraciones de datos o espionaje.
– Desactivar alarmas o sensores de seguridad.
– Acceder potencialmente a información sensible a través de la captura de audio y vídeo.

Según estimaciones de los investigadores, al menos un 12% de los dispositivos con integración Gemini en entornos domésticos y hasta un 7% en oficinas podrían haber estado expuestos antes de la publicación del parche. El riesgo es especialmente elevado en empresas que utilizan Google Home para automatización de salas de reuniones o control de accesos, donde una intrusión podría derivar en brechas de seguridad física y lógica.

En términos regulatorios, incidentes de este tipo pueden suponer infracciones graves de la GDPR en el caso de acceso no autorizado a datos personales, así como vulneraciones de la directiva NIS2 en empresas consideradas infraestructuras críticas.

—

### 5. Medidas de Mitigación y Recomendaciones

Se recomienda a todos los administradores y usuarios:
– Aplicar inmediatamente el parche de seguridad lanzado por Google para Gemini Voice Assistant y Google Home.
– Revisar y restringir los permisos de las aplicaciones de mensajería integradas con asistentes de voz.
– Supervisar los registros de actividad en dispositivos IoT y plataformas de videoconferencia.
– Configurar autenticación de dos factores en dispositivos y cuentas asociadas.
– Deshabilitar, si es posible, la ejecución automática de comandos a partir de notificaciones de mensajería.
– Realizar auditorías periódicas de los dispositivos conectados y su configuración de seguridad.

—

### 6. Opinión de Expertos

Especialistas en ciberseguridad como Alex Romero, analista senior de amenazas en S21sec, subrayan: “Este incidente demuestra que la seguridad de los asistentes de voz sigue siendo un punto débil significativo en los ecosistemas IoT. Las empresas deben considerar estos dispositivos como endpoints críticos y aplicar políticas de seguridad equivalentes a las de cualquier otro sistema conectado”.

Por su parte, Marta Jiménez, CISO de una multinacional tecnológica, apunta: “La integración entre asistentes de voz y aplicaciones de videoconferencia amplifica la superficie de ataque. Es imprescindible limitar el acceso a comandos sensibles y educar a los usuarios sobre los riesgos de la automatización excesiva.”

—

### 7. Implicaciones para Empresas y Usuarios

Para las empresas, este incidente representa un llamado de atención sobre la necesidad de incluir asistentes de voz y dispositivos IoT en los procesos de gestión de vulnerabilidades y respuesta a incidentes. La falta de controles adecuados puede derivar en accesos no autorizados, espionaje corporativo o violaciones de privacidad con importantes repercusiones legales y reputacionales.

A nivel de usuario doméstico, el riesgo radica en la seguridad física y la protección de la vida privada, especialmente en hogares inteligentes con cerraduras, cámaras y sensores vinculados al asistente de voz.

—

### 8. Conclusiones

La vulnerabilidad descubierta en Gemini Voice Assistant pone de relieve los desafíos de seguridad en la era de la automatización y la conectividad total. Si bien Google ha reaccionado con rapidez, el incidente recalca la importancia de una gestión proactiva de vulnerabilidades, la integración de controles adicionales en dispositivos inteligentes y la concienciación tanto de usuarios como de responsables de TI. De cara al futuro, la seguridad de los asistentes de voz debe ser una prioridad en cualquier estrategia de ciberdefensa, especialmente en entornos corporativos y de infraestructuras críticas.

(Fuente: www.securityweek.com)