Tal Ater es un desarrollador que se encontraba probando plug ins para el reconocimiento de voz y en un momento dado se topó con la falla. Él demostró cómo es que el software permite que sitios ejecuten una ventana secundaria e imperceptible en la que se sigue “escuchando” lo que capta el micrófono e incluso se puede hacer una transcripción de las palabras a texto de manera automática.
La falla radica en la manera como Chrome permite utilizar el micrófono a través de la autorización que otorga el propio usuario a un sitio HTTPS para que se comiencen a grabar los sonidos del entorno; como el permiso cedido permite que todas las partes de un sitio ocupen el micrófono – incluyendo ventanas secundarias – se facilita el uso del accesorio integrado a la mayoría de las computadoras actuales.
En caso de que una página sea cerrada, ésta puede seguir utilizando el permiso de uso del micrófono puesto que el código se ejecuta en una nueva ventana, además, esto imposibilita el que aparezca algún icono que identifique que un sitio está usando el dispositivo de grabación.
Si bien Ater reportó el bug a Google, y esto lo tornó en un candidato al Chromium Reward (reconocimientos por encontrar fallas de seguridad en software), por alguna razón la actualización que sella este problema aún no ha sido enviada a los usuarios.
Por ahora la única solución práctica que se puede aplicar es revocar el acceso al micrófono a sitios que puedan parecer poco confiables, así como tener cuidado de las páginas que se visita y que suelen pedir autorización para emplear recursos como la webcam y otros accesorios.
Referencia: Tal Ater