Investigadores del equipo de seguridad externa de Google revelaron una operación de piratería de iPhone sin precedentes, que atacó a “miles de usuarios por semana” hasta que fue interrumpida en enero.
La operación, que duró dos años y medio, utilizó una pequeña colección de sitios web pirateados para enviar malware a los iPhones de los visitantes. Los usuarios se vieron comprometidos simplemente al visitar los sitios: no era necesaria ninguna interacción, y algunos de los métodos utilizados por los piratas informáticos afectaron incluso a los teléfonos totalmente actualizados.
Una vez pirateados, los secretos más profundos del usuario fueron expuestos a los atacantes. Su ubicación se cargaba cada minuto; se cargó el llavero de su dispositivo, que contenía todas sus contraseñas, al igual que sus historiales de chat en aplicaciones populares como WhatsApp, Telegram e iMessage, su libreta de direcciones y su base de datos de Gmail.
El único aspecto positivo es que el implante no fue persistente: cuando se reinició el teléfono, se borró de la memoria, a menos que el usuario volviera a visitar un sitio comprometido. Sin embargo, según Ian Beer, un investigador de seguridad de Google: “Dada la amplitud de la información robada, los atacantes pueden mantener un acceso persistente a varias cuentas y servicios utilizando los tokens de autenticación robados del llavero, incluso después de perder acceso al dispositivo“.
Beer es miembro de Project Zero, un equipo de hackers de sombrero blanco dentro de Google que trabajan para encontrar vulnerabilidades de seguridad en tecnología popular, sin importar quién lo produzca. El equipo se ha vuelto controvertido por su enfoque drástico para la divulgación de las vulnerabilidades: 90 días después de informar un error a la víctima, hará públicos los detalles, ya sea que el error se haya solucionado o no en ese momento.
Beer dijo que la mayoría de las fallas de seguridad se encontraron dentro de Safari, el navegador web predeterminado en los dispositivos Apple.
Los usuarios de iPhone deben verificar que su dispositivo esté ejecutando la versión más actualizada de iOS para asegurarse de que estén protegidos contra la falla.
En total, se explotaron 14 errores para el ataque de iOS en cinco “cadenas de explotación” diferentes: cadenas de fallas vinculadas entre sí de tal manera que un pirata informático puede saltar de error en error, aumentando la gravedad de su ataque cada vez.
Google dijo que había informado los problemas de seguridad a Apple el 1 de febrero. Apple lanzó una actualización del sistema operativo que solucionó los defectos el 7 de febrero.
La seguridad general de los dispositivos del gigante tecnológico también lo ha puesto en desacuerdo con los servicios de inteligencia en los Estados Unidos.
Apple estuvo involucrado en un enfrentamiento con el FBI en 2016 por el acceso al teléfono de un sospechoso de terrorismo en el tiroteo de San Bernardino en California.
El FBI le había pedido a Apple que creara una ‘puerta trasera’ de software para sortear la configuración de seguridad del teléfono y acceder a los datos en el iPhone del sospechoso, pero la empresa de tecnología se negó.
Apple argumentó que la privacidad general del usuario era primordial y que crear una puerta trasera para su software podría poner en riesgo a todos los usuarios de iPhone en caso de que la herramienta cayera en las manos equivocadas.
Con información de: The Guardian, Mirror y DailyMail.
Redacción Abogado Digital.
