Unas horas después de que Apple anunció la fecha para el lanzamiento de sus nuevos iPhone, el equipo de privacidad de Google informó que había descubierto una vulnerabilidad de dos años en el software del fabricante del teléfono.
De acuerdo con publicaciones en el blog de Google Zero, este error estuvo dirigido a un pequeño número de sitios web. Con solo visitar estas páginas, los usuarios de iPhone podrían haber quedado susceptibles a esta violación y probablemente afectó a miles de usuarios por semana.
De acuerdo con Google, visitar los sitios permitió a los hackers obtener acceso a una gran cantidad de información, incluyendo la habilidad de rastrear movimientos a través del GPS del móvil, obtener contraseñas y tener acceso a conversaciones sensibles a través de iMessage y WhatsApp.
A principios de agosto, el ingeniero principal de seguridad de Apple indicó que la empresa comenzaría a distribuir los iPhone especiales a investigadores para que ayudaran a descubrir fallas antes de que hackers maliciosos lo hicieran.
Los cazadores de fallas de Google reportaron el problema a Apple el 1 de febrero y, menos de una semana después, Apple actualizó sus sistemas operativos. Apple no contestó una solicitud de comentarios.
El Proyecto Zero de Google es una unidad de élite de Alphabet de Google compuesta por ciberdelincuentes que buscan vulnerabilidades de ‘día cero’, defectos de diseño no intencionados y que pueden ser explotados por hackers para entrar en sistemas informáticos.
“Todo lo que los usuarios pueden hacer es ser conscientes del hecho de que la explotación masiva todavía existe y comportarse en consecuencia”, escribió Ian Beer, investigador del Proyecto Zero, en una publicación de blog. “(Deben) tratar sus dispositivos como parte integral de sus vidas modernas, pero también como dispositivos que, cuando están comprometidos, pueden subir todas sus acciones en una base de datos para ser potencialmente utilizadas en su contra”.
Beer indicó que los atacantes se aprovecharon de 14 diferentes fallas de software diferentes, incluidas siete que apuntaron a Safari, el navegador web incorporado a los productos de Apple. Mediante el desarrollo de cinco puntos de entrada distintos, los ciberdelincuentes podían acceder a varias funciones del teléfono, incluidas aquellas que normalmente están fuera del límite para los usuarios.
Esto significó que los piratas informáticos podían instalar silenciosamente malware en el dispositivo sin que el propietario lo supiera.
El lado positivo es que el error no es persistente. Con solo reiniciar el dispositivo se borrará, a menos que vuelva a estar en riesgo. Sin embargo, Beer señaló que los hackers podrían seguir teniendo acceso a cuentas de las que tenían contraseñas incluso después de que perdieron la capacidad de obtener nueva información del teléfono.
