Cada vez son más frecuentes las noticias que hablan sobre incidentes de seguridad en dispositivos móviles, algo normal viendo la utilización masiva que hacen los usuarios de estos dispositivos y los datos que en ellos se almacenan. Durante esta semana hemos conocido varios casos que afectan a algunas de las empresas con mayor cuota de mercado, casos que pasamos a analizar a continuación:
Find my Mobile de Samsung permite a un atacante bloquear el dispositivo
Hace unos días conocíamos una vulnerabilidad en la herramienta “Find my mobile” que Samsung integra en muchos de sus dispositivos para tratar de recuperarlos en caso de pérdida o robo. Este fallo de seguridad presentado por el investigador Mohamed A. Baset permitiría a un atacante aprovecharse de una vulnerabilidad en esta característica y activarla remotamente.
Esto permitiría, por ejemplo, bloquear remotamente el dispositivo de un usuario con un código elegido por el atacante, de forma que el usuario no podría acceder a su smartphone y forzándolo a realizar una recuperación del código de seguridad mediante su cuenta de Google. Esto es posible porque los dispositivos Samsung no comprueban la fuente del código de bloqueo a través de la red.
El investigador ha publicado dos vídeos en los que se observa cómo se explota esta vulnerabilidad.
Spyware Baidu envía información privada a China en móviles Sony Xperia
Otro de los fabricantes de móviles que ha sido protagonista durante esta semana por temas relacionados con la seguridad y la privacidad de los datos de sus usuarios ha sido Sony, concretamente la gama de móviles Sony Xperia, (modelos Z2 y Z3), aunque no se descarta que también esté presente en otros modelos, e incluso algunos usuarios afirman haber visto la misma aplicación en modelos de otras marcas como HTC.
Al parecer, varios usuarios han informado de la existencia de una aplicación espía de nombre Baidu que viene instalada por defecto en varios modelos de Sony Xperia. La carpeta donde se guarda esta aplicación se crea de forma automática sin solicitar permisos de ningún tipo a los usuarios y parece que no se deja borrar usando los medios habituales.
Al analizar las conexiones que realiza esta aplicación, algunos usuarios han informado que su teléfono mantiene una conexión constante con una IP de Pekín. Hay quien afirma que, gracias a esta aplicación se podría incluso tomar fotografías o vídeos de forma remota y ya han aparecido las primeras voces que acusan al gobierno chino de estar detrás de este spyware aunque no hay ninguna prueba que lo demuestre.
Fuga de datos privados en móviles Xiaomi
Por último, el fabricante chino Xiaomi también se ha visto envuelto en la polémica al conocerse la noticia de la cancelación de una charla en uno de los congresos de seguridad más importantes de Asia que iba a celebrarse en Noviembre. En esta charla, un investigador Taiwanés iba a demostrar como los móviles de Xiaomi envían información personal de los usuarios a servidores en China gracias a la explotación de una vulnerabilidad 0day en estos servidores.
Fue precisamente la explotación de esta vulnerabilidad la causante de que los organizadores de este congreso hayan cancelado la charla debido al uso no ético que el investigador ha realizado de la misma para acceder a los servidores de Xiaomi, algo que también podría desembocar en una pérdida masiva de información privada de los usuarios.
No es la primera vez que esta empresa se ha visto envuelta en un problema de seguridad o privacidad de los datos de sus usuarios. Hace unos meses fue acusada de robar secretamente datos de sus usuarios que incluían mensajes SMS y fotografías para enviarlos a uno de sus servidores en Pekín, a pesar de no tener activada la opción de copias de seguridad.
Conclusión
Casos como los que acabamos de comentar demuestran que la información que los usuarios almacenan en sus dispositivos es muy valiosa no solo para los delincuentes. También las empresas e incluso algún gobierno invierten muchos esfuerzos en conseguir estos datos para sus propios fines. Es importante que conozcamos este tipo de incidentes para que podamos proteger mejor nuestra información y evitar que sea observada por miradas indiscretas.