De acuerdo con unos documentos presentado durante el juicio de Epic Games vs. Apple, en 2015 ejecutivos de Apple intercambiaron correos sobre la mejor manera de informar a los usuarios de iPhone sobre un código malicioso en las aplicaciones de la App Store que permitía robar información sensible de los dispositivos.

Esto pone en tela de juicio los métodos de la empresa con respecto a su tienda de aplicaciones y su reputación al momento de prometer seguridad por descargar software directamente de esta, pues ha fallado en darle a conocer a los usuarios este tipo de ataques; esto nos hace preguntarnos ¿Cuántas veces más Apple habría decidido no informarnos sobre vulnerabilidades o filtración de datos de sus usuarios?

¿Qué pasó en Apple en 2015?

En 2015, ejecutivos de Apple mencionan a través de correos electrónicos que encontraron 40 aplicaciones en la App Store, que después de las investigaciones subieron a 4.000, con código malicioso. Estas afectaban por igual a iPhone y iPad y robaban información sensible de los usuarios.

Las aplicaciones fueron descargadas en total 203 millones de veces por 128 millones de usuarios. Datos de ArsTechina señalan que 18 millones son estadounidenses; hasta el momento no existen cifras de usuarios afectados en otros países.

Estas aplicaciones usaban una copia de XCode, una herramienta para los desarrolladores de Apple. De este modo, XCodeGhost insertaba código malicioso entre las funciones normales de las aplicaciones. Inicialmente en los intercambios de correos, los ejecutivos de Apple mencionan las dificultades de notificar a los usuarios y la necesidad de traducir el mensaje a diferentes idiomas más explicarle exactamente cuáles aplicaciones en su teléfono eran afectadas.

Pero las notificaciones no llegaron nunca a los usuarios. En su lugar, de acuerdo con una fuente anónima de ArsTechnica, Apple publicó un anuncio –que ya no existe– sobre el hackeo de los iPhone y escogió las 25 aplicaciones más descargadas, dejando por fuera miles más y, a la vez, le fallaron a los usuarios que no leyeron su anuncio. En ENTER.CO reportamos esta noticia y puedes verla aquí.

Mientras que en el juicio, este es un golpe para Apple, su reputación fuera de la sala sufrirá mucho más. Habrá que ver las consecuencias de que esta información se haga pública y las medidas que se tomarán por no notificar de manera adecuada a los usuarios sobre estos hackeos.

Imagen: Montaje ENTER.CO.

]]> https://www.enter.co/empresas/seguridad/los-huecos-de-seguridad-en-moviles-mas-tenebrosos-de-la-historia/ https://www.enter.co/empresas/seguridad/los-huecos-de-seguridad-en-moviles-mas-tenebrosos-de-la-historia/#comments Wed, 21 Oct 2015 14:30:40 +0000 http://www.enter.co/?p=225127

Desde que los celulares son la pantalla principal en las vidas de todos nosotros, los creadores de malware se pusieron en la tarea de buscar por dónde atacarlos. Y como ningún software es perfecto e invulnerable, se han encontrado muchos ‘huecos’ que permitirían hacer estragos con la información que se almacena en los dispositivos móviles. Entre todos ellos, escogimos tres de los más notorios y mediáticos, bien sea por su alcance, nivel de sofisticación técnica o impacto en la confianza que los consumidores tienen en sus aparatos. Estos son:

Stagefright

Es la tormenta perfecta. Un ataque que podía infectar a todos los Android (que son más de 1.000 millones de dispositivos) y que no requería que el usuario hiciera nada. Simplemente, con recibir un mensaje multimedia, el equipo quedaba a merced del atacante.

La vulnerabilidad atacaba una debilidad en el código fuente de Android, específicamente en la parte que se encarga de procesar algunos contenidos multimedia. Fue descubierta en agosto de 2015 por Zimperium, una empresa de seguridad, y luego fue confirmada por Google. El arreglo ya está en el código de Marshmallow, la versión más reciente de Android, pero eso no garantiza nada por la lentitud con la que suelen llegar los sistemas operativos móviles.

Al menos esta vez la vulnerabilidad se conoce –incluso una segunda versión– y, hasta donde se sabe, no ha sido explotada. Al menos, Google implementó un programa de actualizaciones mensuales para poder reaccionar mejor ante semejantes amenazas. Algo es algo, pero mientras los fabricantes y operadores sigan siendo el cuello de botella que son, el problema seguirá ahí.

XCodeGhost

Las peleas entre iOS y Android podrían reducirse a un debate entre apertura y seguridad. El robot verde da más poder a los usuarios y les permite hacer más cosas, pero a cambio ofrece un entorno más inseguro, en el que las implementaciones de baja calidad y las vulnerabilidades pueden aparecer. El ecosistema de Apple es restrictivo, a veces al punto de ser asfixiante, pero tenía un record de seguridad por el que sacar pecho.

‘Tenía’, decimos, porque los atacantes encontraron un método para pasar por encima de lad encumbradas vallas de la manzana y publicar malware en la App Store. Pusieron en el aire una versión ‘pirata’ de XCode –el compilador de código que sirve para crear apps para iPhone–; tras lo cual varios desarrolladores la usaron y publicaron sus aplicaciones sin problema. El resultado es que los datos personales de los usuarios, que están tranquilos y confiados porque descargan sus apps de la tienda oficial, terminan en un servidor oscuro, listos para ser vendidos en el mercado negro. La vulnerabilidad fue llamada XCodeGhost.

Apple tuvo que sacar decenas aplicaciones de la tienda, y hoy la amenaza parece un tema del pasado. Pero esta historia muestra que nadie es invulnerable.

Ataque de las huellas digitales

Se supone que los lectores de huellas digitales son la última frontera en seguridad de celulares. Son lo suficientemente confiables como para basar en ellos la seguridad de los pagos móviles, y para ser considerados como una medida definitiva contra el robo de celulares. Pero algunos fabricantes, como Samsung o HTC, habían diseñado la tecnología tremendamente mal.

Como cuenta Popular Science, los fabricantes pusieron los datos biométricos en una carpeta que estaba al alcance de cualquier usuario. Allí podían, por ejemplo, ser vistos por una aplicación malintencionada, que lograría fácilmente copiarlos y usarlos para acceder al equipo en otro momento. Eso equivaldría a poner la clave de la caja fuerte al lado de la nevera, o del mostrador de los dulces.

Por fortuna, los investigadores de seguridad se dieron cuenta de la situación y los fabricantes pudieron solucionarla en los equipos con Lollipop.

Imagen: Reservoir Dots (vía Shutterstock), Zimperium, terren in Virginia (vía Flickr), ENTER.CO.