あるセキュリティ研究者が、「罠を仕込んだ」電子書籍によって、普通のKindleがユーザーのAmazonアカウントへの入口に変わり、支払い情報へのアクセスやワンクリック購入まで可能になることを実証した。バレンティーノ・リコッタは悪意ある書籍を作成し、そのようなファイルが端末に読み込まれると、紐づいたAmazonアカウントを完全に制御できることを示した。
リコッタは語ったところによると、Kindleは常時インターネットに接続され、長いバッテリー寿命を保ち、Amazonのセッションも有効なままであるにもかかわらず、見た目が驚くほど「家庭的」で目立たない点に衝撃を受けたという。その結果、侵害に成功すれば、攻撃者は個人データや保存されたカード情報にアクセスできるだけでなく、Kindleを足がかりに家庭内ネットワークや、同じAmazonアカウントに登録された他の端末へ侵入することも可能になり得る。
脆弱性は、オーディオブックからデータをスキャンして抽出する役割を担うKindleのソフトウェアコンポーネントで見つかった。このコードは、リーダー自体が音声ファイルを再生できないにもかかわらず端末内に存在している。リコッタは画面上のキーボードにも欠陥を発見した。これらの弱点を連鎖させることで、Kindleに悪意あるコードを読み込ませ、セッションCookie（事実上アカウントへのアクセス権を与えるトークン）を盗み出すことに成功した。
研究者によれば、最も差し迫ったリスクがあるのは、Amazonストア経由ではなく、サードパーティのウェブサイトからKindleに書籍をサイドロードするユーザーで、しばしばUSB経由でまとめて転送しているという。リコッタは、転送時点で端末がオフラインであっても被害は起こり得ると強調し、重要なのはファイルとその入手元に暗黙の信頼を置いてしまう点だと述べた。
リコッタはこの発見をAmazonに報告した。両方の問題は「重大（critical）」に分類され、その後修正された。彼は2万ドルのバグ報奨金を受け取り、雇用主であるタレス（Thales）がそれを慈善団体に寄付した。Amazonは、Kindle端末およびAudible機能に影響していた脆弱性は解消され、影響を受けたすべてのリーダーに自動アップデートが配信されたと確認した。
専門家は、この攻撃は技術的に複雑ではあるものの、よく知られた教訓を鮮明に示していると指摘する。すなわち、システムには多くの侵入口があり、その一つひとつを保護しなければならないということだ。サリー大学のアラン・ウッドワード教授は、玄関の鍵をかけても窓を開けっぱなしにしているようなものだと例え、端末が二次的なものと見なされるためにこうした弱点が見過ごされがちだと付け加えた。グリニッジ大学のジョージ・ルーカス教授も、Kindleの脆弱性は以前にも表面化していると振り返りつつ、今回の攻撃は特にオーディオブック処理を悪用して異例の精度で実行された点を強調した。音声コンテンツの人気と、Amazonアカウントへのアクセスが持つ高い価値によって、この懸念はいっそう深刻になっている。
