Los permisos en las “apps”
Un gran avance en el campo de la seguridad se dio en Android, cuando antes de instalar una aplicación se nos muestra los permisos que estamos dando a esa aplicación para interactuar con el teléfono. Es muy útil saber qué va a hacer cada aplicación, hasta dónde se va a “inmiscuir” en nuestros datos.
Sin embargo, los usuarios solemos olvidarnos de repasar esa lista de permisos. Quizá la primera vez, por curiosidad, la miramos. Y la segunda…, pero la tercera, ya es más complicado que realmente nos fijemos y decidamos qué vamos a dejar hacer a esa aplicación.
Muchas veces, todos y cada uno de los permisos tienen su sentido. Pero otras veces…. ¿a qué viene que una aplicación tenga que hacer determinadas cosas? Veamos un ejemplo que a veces “asusta”. El famoso WhatsApp. A la hora de instalarlo, nos pide permiso para, entre otras cosas, “escribir datos de contacto y leer datos de contacto”. ¿Es peligroso? Pues en principio, no, pero… ¿para qué lo hace? Pues para algo tan sencillo como leer nuestra agenda y poder unir los mensajes que recibamos a nuestros contactos. Vale, aprobado.
Pero también nos pide, por ejemplo, acceder a nuestra ubicación detallada. Es decir, contactar con el GPS del teléfono para saber dónde estamos. ¿Es necesario? Únicamente para que podamos mandar un mensaje con nuestra ubicación. Más allá de teorías conspirativas, WhatsApp no va a estar cotilleando dónde estamos, en principio.
Sin embargo, en muchas otras aplicaciones se nos piden permisos que no tienen mucha lógica. Hace poco descargué una aplicación para confeccionar las estadísticas de un partido de baloncesto, y vi que necesitaba permisos para mandar SMS y acceder a mis contactos. ¿Para qué? ¿Qué necesidad tiene esa aplicación de hacer eso? Evidentemente, no la instalé, eso tenía mucha pinta de hacer spam vía SMS.
Antes de conceder alegremente permisos a las aplicaciones que descarguemos, revisémoslas detenidamente. Nos va a llevar un par de minutos nada más, y podremos ahorrarnos disgustos.
Fernando de la Cuadra
@ferdelacuadra
Mi nuevo móvil, seguramente seguro (II)
Tras mi publicación de hace un par de días, he recibido varios comentarios de personas sobre la posibilidad de que alguien tenga tanto interés como para robar la información de su móvil. Se quedaban sorprendidos al pensar que allí pudiera haber algo que le interesara a alguien.
Y lo más curioso, sobre la técnica de congelar el móvil para obtener información, es que dudaban que alguien pudiera llegar a conseguir temperaturas tan bajas. Aquí hay dos errores fundamentales. El primero, el desconocimiento de qué es un congelador. Yo en casa tengo uno, y no es que sea especialmente “friki”. Me gusta tener cubitos de hielo, y conservo comida en él. ¿Su temperatura? -18º C, menos de los -10ºC que emplearon para la prueba.
Y el segundo error, el despreciar la información personal que tenemos. Recientemente ha aparecido una noticia que dice que los “Me gusta” de Facebook pueden desvelar mucha información del usuario. No por obvio ha dejado de sorprender. Si digo “Me gusta” a un vídeo de AC/DC y no lo digo de un vídeo de Justin Bieber “puede” intuirse algo de mis gustos musicales.
En nuestro teléfono tenemos, de entrada, un estupendo registro de las llamadas. Se puede saber a quién hemos llamado y cuándo. Con las fotos podemos saber dónde hemos estado, y mucho más si tenemos activada la georreferenciación de las imágenes. Y si hablamos de los SMS y los MMS (o Whatsapp), ya no solo tenemos información de con quién hablamos, sino el contenido de las conversaciones.
¿Hablamos de los documentos que hay almacenados? Como el móvil sea de uso profesional, la probabilidad de que haya información interna de nuestra empresa es prácticamente 1. Y si el teléfono es personal, no perderíamos mucho si apostamos a que hay algo que no queremos que los demás vean. Todos tenemos información que no debe ser pública en nuestro teléfono.
Aunque no lo creamos, todos esos datos pueden ser una golosina para un cibercriminal, y pueden hacernos daño. Evidentemente, es mucho más tentador el móvil de Barak Obama, el de Charlize Theron o el de Hugo Silva que el nuestro, pero estamos expuestos y debemos tomar todas las precauciones posibles. Solamente hay dos tipos de usuarios de móviles: los que ya han visto comprometida su información y los que van a verla comprometida próximamente. ¿En qué grupo estás?
Fernando de la Cuadra
@ferdelacuadra
Vulnerabilidad en el bloqueo de pantalla del Samsung Galaxy Note II
Los iPhone de Apple no son los únicos dispositivos con vulnerabilidades que permiten saltarse la pantalla de bloqueo y permitir ejecutar algunas aplicaciones o realizar llamadas. Recientemente se ha publicado una vulnerabilidad que permitiría hacer algo similar en un Samsung Galaxy Note II solamente con ser un poco habilidoso con los dedos.
El investigador que ha publicado esta vulnerabilidad ya avisa que solo se puede aprovechar de forma limitada y únicamente con aquellas aplicaciones presentes en la pantalla de inicio pero, al resultar tan fácil aprovechar este fallo (simplemente se ha de utilizar la opción de “llamada de emergencia”), son muchos los usuarios que pueden quedar con su información personal expuesta. Todo esto queda bien explicado en el siguiente vídeo:
Tal y como vemos, se ha de ser lo suficientemente rápido para pulsar sobre uno de los iconos presentes en la pantalla de inicio y el ataque queda limitado a las aplicaciones que el usuario tenga ubicadas en esa pantalla. No obstante, estas aplicaciones suelen ser las más usadas o importantes, por lo que, con un poco de maña, se podrían realizar llamadas, acceder a una red social suplantando al usuario o leer el correo electrónico aunque el dispositivo se encuentre bloqueado.
Obviamente, para que este tipo de ataques se puedan realizar con éxito se debe tener acceso físico al dispositivo, por lo que su alcance es limitado. Samsung ya está informada acerca de esta vulnerabilidad pero aún no se han tomado medidas para solucionarla.
Este tipo de fallos son bastante recurrentes en los dispositivos móviles y, a pesar de las continuas actualizaciones de firmware que los fabricantes les aplican, siguen apareciendo métodos para saltarse la protección del bloqueo de pantalla. Por si acaso, la mejor solución para evitar este tipo de ataques es tener controlados siempre nuestros móviles para evitar que caigan en manos inadecuadas.
Los móviles HTC ponen en riesgo la privacidad de sus usuarios
Estos días, la cantidad de noticias acerca de nuevos teléfonos y dispositivos móviles se multiplica por la celebración en Barcelona del Mobile World Congress. No obstante, no todo van a ser presentaciones de nuevos dispositivos, aplicaciones o gadgets de dudosa utilidad. En el apartado de la seguridad también tenemos noticias importantes que contar, empezando por el riesgo al que están expuestos los usuarios de más de 18 millones de dispositivos del fabricante taiwanés HTC.
Según la Comisión Federal de Comercio, agencia independiente del Gobierno de los Estados Unidos, HTC personaliza de tal forma sus dispositivos móviles basados en Android y Windows que permiten a aplicaciones de terceros instalar software que puede usarse para robar información personal, según leemos en The Hacker News.
Esto implica que la información privada de millones de usuarios podría estar en riesgo, puesto que aplicaciones aparentemente inofensivas podrían estar enviando mensajes de texto, grabando audio e instalando software adicional (que podría incluir malware) sin que el usuario tuviera conocimiento de estas actividades.
Según esta comisión, se han identificado varias vulnerabilidades que incluyen una implementación insegura de dos aplicaciones de registro como son Carrier IQ (que ya protagonizó su propia polémica hace más de un año) y HTC Loggers. También se han descubierto fallos en la programación que permitirían a aplicaciones de terceros saltarse el modelo de seguridad basado en permisos de Android.
Estos fallos de seguridad son los que permitirían a las aplicaciones de terceros acceder a los números de teléfono, los mensajes de texto, historial de navegación e información personal, como los números de las tarjetas de crédito e información acerca de transacciones bancarias. Por todo esto, la Comisión Federal de Comercio ha apremiado a HTC a que solucione estas vulnerabilidades presentes en millones de dispositivos.
Parece mentira que una multinacional con una base de usuarios tan grande como HTC siga fallando en el diseño de los sistemas que gobiernan sus dispositivos. Este problema, no obstante, no es únicamente achacable a esta empresa, ya que en este mismo blog hemos visto otros ejemplos en dispositivos de todo tipo como routers, Smart tv, cámaras IP, impresoras o cualquier otro que incluya un protocolo vulnerable.
Por desgracia, el ritmo de aparición de nuevas tecnologías que llevamos actualmente hace que, en muchas ocasiones, no se dediquen los esfuerzos necesarios para crear un dispositivo seguro. La situación se agrava cuando estos dispositivos quedan obsoletos y el fabricante deja de publicar actualizaciones de seguridad para ellos, quedando los usuarios desprotegidos y con la única alternativa de volver a pasar por caja y adquirir la versión más reciente.
Esta tendencia no parece que vaya a cambiarse en un futuro próximo, por lo que es nuestro derecho como usuarios de estos productos exigir un mínimo de seguridad y soporte para todos los dispositivos que usemos, más aun si estos almacenan datos privados.
Citmo: variante del troyano Carberp afecta a móviles Android
La evolución que han seguido amenazas clásicas para ordenadores a la hora de trasladarse a dispositivos móviles ha sido relativamente rápida y sabiendo adaptarse a las características únicas que presentan estos dispositivos. Dentro de los diferentes tipos de malware que podemos encontrar en nuestros móviles, teníamos variantes de conocidos troyanos como Zeus (Zitmo), SpyEye (Spitmo) y desde ahora también Citmo.
Estas tres variantes están especializadas en el robo de información bancaria y están pensados para romper los sistemas de doble autenticación que incorporan algunas entidades bancarias. Estos sistemas de protección requieren del envío de un SMS con un código de seguridad cada vez que el usuario desee realizar una operación de banca online. Al ser un código de un solo uso se evita que lo podamos perder o nos lo roben y se realicen transferencias de dinero sin nuestra autorización.
Este tipo de troyanos para móviles Android han ido afectando a diversas entidades bancarias desde que en 2010 apareciera la primera variante de Zitmo. La mayor parte de entidades pertenecen a países europeos, destacando España, Italia, Polonia y Alemania, entre otros. Sin embargo, al estar centrado el troyano Carberp en usuarios de Rusia, es comprensible que su versión para móviles se centre en entidades que operen en este país.
Así pues, en las últimas semanas se han venido observando hasta tres aplicaciones subidas a Google Play que simulaban ser aplicaciones pertenecientes a bancos rusos. ¿Cómo es posible que se colasen tres troyanos de esta índole en el mercado de aplicaciones de Google? Para empezar, no es la primera vez y es algo que se viene produciendo con demasiada frecuencia. Seguidamente, debemos tener en cuenta que resulta difícil determinar si una aplicación es maliciosa observando únicamente los permisos que solicitan y estas variantes de Citmo no se caracterizan por solicitar nada fuera de lo normal.
Con este tipo de malware, los ciberdelincuentes se aseguran de obtener todos los datos necesarios para poder robar dinero de las cuentas bancarias de los usuarios. El único esfuerzo adicional que han de realizar para poder saltarse las medidas de doble autenticación, implementadas por algunas entidades bancarias, consiste en realizar una sencilla aplicación y conseguir subirla a Google Play. De esta forma, bien proporcionando el enlace de la aplicación maliciosa por emails u otros medios o bien porque el usuario la encuentra en la tienda de aplicaciones y la instala, se consigue un interesante número de víctimas potenciales.
Como vemos, a pesar de que estas técnicas son bien conocidas y llevan ya bastante tiempo funcionando, no dejan de resultar efectivas, sobre todo si el usuario que tiene que tomar la última decisión falla a la hora de comprobar que la aplicación que quiere instalar es en realidad un malware.
Vulnerabilidad en el procesador Exynos permite el acceso total a varios smartphones
El pasado fin de semana se hizo pública una vulnerabilidad en los foros de XDA Developers que afectaba al procesador Exynos, el cerebro de dispositivos tan populares como el Galaxy SII, Galaxy SIII, Galaxy Note II y Galaxy Note 10.1 de la marca Samsung o el Meizu Mx, aunque también cabe la posibilidad de que otros dispositivos que usen este procesador (modelos 4210 y 4412) y el kernel de Samsung se vean afectados.
Según el investigador que hizo público este descubrimiento, el grave agujero de seguridad permite acceder a la memoria física del dispositivo, lo que equivale a poder acceder a cualquier cosa que se esté almacenando en la RAM, incluyendo el directorio virtual para la memoria que usa el kernel del sistema. En la práctica esto se traduce en un control total del dispositivo.
Para demostrar el alcance de esta vulnerabilidad, otro usuario del mismo foro ha creado una aplicación que consigue “rootear” el dispositivo y además ofrece la posibilidad de desactivar el exploit. Aunque esta aplicación esté realizada con buenas intenciones, desaconsejamos su uso a menos que estemos dispuestos a gestionar nuestro dispositivo como root y arriesgarnos a perder la garantía de nuestro Smartphone.
Si bien el descubrimiento de esta vulnerabilidad tiene su parte positiva, puesto que permite a la comunidad de usuarios obtener un control total de sus dispositivos Android, también abre las puertas a que los creadores de malware la utilicen en su beneficio. Aunque aún no hemos observado muestras de malware que la utilicen para infectar a los dispositivos vulnerables, es de suponer que no tardarán en aparecer códigos maliciosos que sí lo hagan. Es por ello que desde ESET detectamos este exploit con la nomenclatura Android/Exploit.Lotoor.
Ahora mismo la mayoría de usuarios de los dispositivos afectados solo pueden esperar a que Samsung mueva ficha para solucionar este agujero de seguridad, lo cual esperamos que se produzca en breve. Mientras tanto, la otra opción pasa por rootear nosotros mismos el dispositivo y bloquear la ejecución del exploit, aunque, como hemos dicho antes, esta opción solo es recomendable para aquellos usuarios que sepan lo que hacen y estén dispuestos a configurar la seguridad de sus sistemas ellos mismos.
Boxer: primer troyano SMS para Android que envia SMS Premium de 63 países, entre ellos españoles, desde los teléfonos de los usuarios sin su conocimiento
El sistema que utiliza no es nuevo en sí mismo, pero sí lo es el hecho de que sea capaz de diferenciar en qué país se encuentra la víctima infectada… Bueno, no quiero empezar la casa por el tejado… déjame que empiece por el principio 
.
El Laboratorio de Investigación de ESET de Latinoamérica ha descubierto el primer troyano SMS diseñado específicamente para usuarios de Android que suscribe a las víctimas a servicios Premium locales de 63 países sin su conocimiento ni consentimiento. En el caso de usuarios españoles, envía mensajes SMS Premium. Se trata de Boxer, y está distribuyéndose de forma masiva, ya que va camuflado en 22 falsas aplicaciones de juegos o de salud que los usuarios se descargan de sitios no oficiales.
Sí, ya sé, ahora mismo estás repasando mentalmente cuándo ha sido la última vez que has descargado un app para tu teléfono desde el sitio no oficial… Bueno, si ese es tu caso, y para que salgas de dudas, sigue leyendo: te damos más pistas.
Para formentar su descarga e instalación, utiliza títulos tan sugerentes como “Sim City Deluxe Free”, “Need for Speed Shift Free”, “Assassin’s Creed” y algunos accesorios para “Angry Birds”. Dichos títulos estaban disponibles hasta hace poco tiempo para su descarga a través de Google Play, y aunque se ha procedido a su eliminación, se siguen pudiendo descargar desde repositorios y tiendas no oficiales.
Bueno… asume que quizá lo has descargado o quizá no. En cualquier caso, quizá lo que hace te dé más pistas…
Una vez descargado e instalado en el terminal Android, el troyano suscribe a la víctima a números de mensajería Premium locales a partir de la obtención de los códigos numéricos de identificación por país y operador MCC (Mobile Country Code) y MNC (Mobile Network Code). Tras determinar en qué país reside la víctima y cuál es la compañía telefónica a la que pertenece, procede a enviar SMS a números Premium de tarificación especial, de acuerdo a la información recopilada anteriormente.
La mayoría de los troyanos SMS solo son capaces de afectar a determinados países porque los servicios de mensajería Premium a los que suscriben al usuario varían de acuerdo a cada operador y nación. La información recopilada sobre Boxer nos permite afirmar que no solo se trata de un troyano SMS capaz de afectar usuarios de España y de Latinoamérica, sino que también se trata de una amenaza con un amplio potencial de propagación y gran rango de acción…
Ahora ya quizá te estés acordando de algún cargo raruno que puedes haber visto en tu factura de tu proveedor de telefonía.. ¿es así? Pues sigue, que quizá puedes despejar más dudas con un poquito más de información…
En el caso de España, Boxer envía mensajes SMS Premium a sus víctimas al 35969, número que está siendo utilizado para diferentes fines, pero que se vincula de forma muy directa a un servicio de Tarot de Tenerife. Una vez se instala, envía 3 mensajes SMS Premium a dicho número cada vez que la aplicación se ejecuta, dando como resultado altos cargos económicos cargados a la cuenta de la víctima sin que esta sea consciente de que se están produciendo dichos envíos desde su terminal móvil y quedándose sin derecho a ningún tipo de reclamación o devolución.
Dicho número pertenece a la compañía World Premium Rates, que no tiene ningún tipo de vinculación con este fraude y que se limita a proveer la numeración sms conforme a las normales legales. Cautelarmente, la compañía WPR ha cortado el acceso a la numeración afectada. Además, estamos colaborando conjuntamente para intentar averiguar más sobre este troyano y facilitar la máxima información a las autoridades competentes con el fin de localizar cuál de sus clientes es el que está llevando a cabo este tipo de acciones. Su Consejero Director General, Sr. D. Antonio Hernández, se ha puesto en contacto con nosotros para esclarecer el hecho, afirmando que “World Premium Rates es un operador de telecomunicaciones que desde hace más de 11 años provee servicios de tarificación adicional a empresas (entre ellos números cortos SMS), de acuerdo con la legalidad vigente y con una reputación intachable” .
¿Es tu caso? ¿Has detectado algo raro? Si lo has detectado, empieza a olvidarte de reclamar: a todos los efectos, tu teléfono móvil ha enviado esos mensajes SMS Premium, así que, por lo que hemos visto en foros de Internet, es prácticamente imposible que la empresa telefónica quiera devolverte nada… Y si no has detectado nada, te damos dos pistas para que evites caer en este tipo de trampas que utilizan la inteligencia social para engañarte.
La primera: te recomendamos que pierdas un rato leyendo los contratos de licencia o los permisos que una aplicación está solicitando para instalarse. Ya, ya sé, a veces es farragoso y aburrido, pero si lo leemos, probablemente seremos capaces de frenar aplicaciones con condiciones sospechosas.
La segunda, y para que te quedes más tranquilo, analiza tu teléfono móvil Android en busca de amenazas. Y si puedes instalar una buena solución de seguridad que te prevenga de estos problemas en el futuro, mejor que mejor: así podrás descargar lo que quieras desde donde quieras y, en el caso de que sea malware, el antivirus actuará por ti. Nosotros ponemos a tu disposición ESET Mobile Security, que puedes probar gratuitamente al menos para quedarte más tranquilo.
Y para los que tenéis curiosidad por ampliar más información, os dejo el análisis técnico de nuestros chicos de laboratorio:
¿Está Google preparándose para hacer frente al malware en su tienda de aplicaciones?
Hace poco más de un mes nos hacíamos eco de la compra de la empresa española Virustotal por parte de Google. En ese momento nos alegramos enormemente porque contamos con amigos dentro de esa empresa cuyos servicios nos son tan útiles a todos los que trabajamos investigando nuevas formas de malware.
No obstante, muchos nos preguntamos para qué quería Google comprar una empresa con ese perfil y no hemos tardado mucho en observar cambios que podrían ir encaminados a mejorar la seguridad de su tienda de aplicaciones Google Play.
Según anuncian desde el blog de Android Police, un vistazo al código de la versión más reciente de Google Play revela interesantes características aparentemente destinadas a luchar contra las aplicaciones maliciosas que contienen malware. Entre este código se encuentran una serie de cadenas de texto que nos dan una idea muy clara de por dónde parece que van a ir los tiros, como por ejemplo las que mostramos a continuación.
“Allow Google to check all apps installed to this device for harmful behavior?
Installing this app may harm your device
Installation has been blocked
Google recommends that you do not install this app
To protect you, Google has blocked the installation of this app
I understand that this app may be dangerous”
Tras analizar parte del código descubrimos que está dividido en dos partes. Por una, tenemos algo denominado “App Check” que, aparentemente, permitiría a Google revisar todas las aplicaciones que nos hayamos descargado. Además se incluiría una aplicación residente que avisaría al usuario si una aplicación es sospechosa. No obstante, también parece incluir una opción para ignorar los avisos y descargar la aplicación igualmente.
Y por otra, además se incluye una nueva serie de iconos de alerta y protección que no dejan duda sobre su finalidad:
Todo esto parece una evolución lógica de Bouncer, el portero de Google Play que se incluyó hace unos meses, pero que no parece haber resultado tan efectivo como se esperaba.
La inclusión de nuevas medidas de seguridad por parte de Google es una buena noticia para todos los usuarios de dispositivos con sistema Android. Además, estas medidas de seguridad se pueden complementar con una solución antivirus como ESET Mobile Security para proteger aun más eficientemente nuestro dispositivo.
Nuestra privacidad, totalmente al descubierto en el proyecto Human Face of Big Data
En este blog solemos hablar de muchos temas relacionados con la privacidad. Casi siempre enfocados a la problemática que supone el que tú, como internauta, no seas consciente -ni hayas consentido previamente- de que alguien está recopilando datos sobre ti. Este problema a veces puede ser liviano o poco impactante, en el caso de que se trate de datos estadísticos, o puede convertirse en algo más grave cuando entramos en el terreno de la identificación personal e incluso el seguimiento de las personas en cuestión.
En ocasiones somos nosotros mismos, como usuarios, los que inocentemente compartimos más información acerca de todo lo que hacemos, sin pensar que al otro lado puede haber alguien malintencionado siguiendo nuestro rastro. Esto me recuerda un reciente caso real de un amigo que, sabiendo que me dedico a estos menesteres, me pidió ayuda para su novia: cada noche saca a pasear a su perro por un conocido parque de Madrid, y cada vez que llegaba al parque, hacía checking en Foursquare. Un día se le acercó un hombre y le dio las buenas noches. Ella le respondió. Al día siguiente se lo volvió a encontrar, y así sucesivamente durante varios días. El hombre no paseaba a mascota ninguna, pero… ¡quién sabe! Hay gente con vicios muy sanos como pasear…
El tema se tornó más inquietante cuando el mismo hombre comenzó a seguir a esta chica a través de las diferentes redes sociales y a interactuar con ella. Ella lo reconoció, le aceptó como amigo y respondía a sus comentarios, de manera inocente. Pues bien, lo que comenzó siendo algo sin importancia, acabó en un acoso que puso nerviosa a la chica y, por extensión, a su novio. Le bloquearon en todas las redes, mi amiga dejó de ir a pasear al perro al mismo parque, hasta que un día se encontró a este hombre en su portal: la había seguido. Inmediatamente denunciaron a las autoridades, pero entonces el hombre comenzó a crearse perfiles falsos y a seguir a esta chica de nuevo. Hasta que no sé si por aburrimiento, presiones o quizá alguna acción de la Guardia Civil, la cosa se calmó.
Sobra decir que el susto fue mayúsculo, y no me extraña. Esta chica ha dejado de utilizar herramientas de geolocalización y hasta se ha dado de baja en muchas redes sociales, y en otras ha privatizado totalmente su perfil. Desde luego, ha aprendido la lección de no dar demasiadas pistas sobre sí misma, sus costumbres y sus hábitos, ya que jamás podemos afirmar al ciento por ciento que nuestros amigos en las redes son quienes dicen ser, y es muy complicado mantener un perfil con acceso autorizado solo a amigos de verdad. Eso sucede al principio, pero después aceptas a un montón de personas que ni conoces.
Pero hoy vamos a hablar de otra cosa. Hoy os traigo hasta aquí un experimento que ha llamado mi atención por original, por un lado, y por peligroso, por otro: The Human Face of Big Data.
Un proyecto con ¿un buen fin?
O al menos, eso es lo que asegura su creador, que ha convencido a EMC, Cisco, FedEx, VMware, Tableau y Originate para que patrocinen el experimento. Se trata de descargar una aplicación para nuestro smartphone que no hace más que registrar absolutamente todo lo que hacemos. Según David Menninger, portavoz de EMC, “Big Data se asocia siempre al temor de acabar viviendo en un Gran Hermano. Efectivamente, hay un elemento de esto, pero existe otra cara con la potencialidad de mejorar el mundo a través de su análisis, de comparar patrones de comportamiento y datos demográficos. La gente es incapaz de reconocer los aspectos beneficiosos de estos conjuntos de datos porque casi inmediatamente se asustan ante los relacionados con el Gran Hermano”.
Desde el pasado 25 de septiembre, fecha en la que se comenzó a distribuir la aplicación, más de un millón de personas están compartiendo voluntariamente su información a través de esta a cambio de poder compararse con otras: hábitos, costumbres, formas de vida, pensamientos, deseos, anhelos, etc. Pero va más allá: la correlación de todos estos datos sirve a los voluntarios para encontrar a su alma gemela, esté donde esté ubicada. La aplicación está disponible para Android y para iOS, y su previsión es que, en un par de meses, más de 10 millones de voluntarios formen parte del experimento. A su término, toda la información será donada a un museo de Nueva York, que se encargará de analizarla y de extraer conclusiones.
En su web podemos ver, en tiempo real, algunos de los datos estadísticos que está recopilando:
Si el experimento se tratara solo de responder preguntas, no andaríamos mal. Sin embargo, la aplicación geolocaliza el smartphone donde está instalado mediante GPS y registra, de forma pasiva, absolutamente todo lo que hacemos: a qué hora salimos de casa, dónde vamos, por dónde nos movemos, cuál es nuestra hora de mayor actividad, cuántos kilómetros recorremos en un día, a qué velocidad cubrimos nuestros desplazamientos, qué número de sitios visitamos… A la vez, la propia aplicación nos va lanzando preguntas sobre nuestra familia, el sexo, la suerte, el destino o el futuro…
Los autores del experimento afirman que toda la información recogida es totalmente anónima, pero eso sí, cuando un voluntari@ encuentra a su alma gemela, el programa le muestra su foto, así como su lugar de residencia.
Esta no es más que otra iniciativa más enmarcada dentro de lo que llamamos coolhunting, y que no es otra cosa que ser capaces de sacar conclusiones acerca de tendencias, modas, creencias, etc., a través del análisis estadístico de enormes cantidades de datos que todos, diariamente, compartimos a través de la web. Y como proyecto que enrola a participantes voluntarios no tiene más trascendencia que la propia curiosidad que pueda causar.
Ahora…, si esto lo podemos hacer con una simple aplicación, ¿os imagináis lo que no podrá hacer Facebook con nuestros datos, por ejemplo? ¿O Google? O… vamos un paso más allá, si este tipo de aplicación ya está desarrollada y preparada para registrar, almacenar y compartir todos nuestros movimientos…, ¿qué le impide a cualquier cibercriminal hacer lo mismo con una aplicación que aparentemente sea inocua? Ya, ya sé qué estás pensando… “Total, quién va a querer seguirme a mí…” Pues probablemente, pero no nos olvidemos que hasta los presidentes de Gobierno llevan su smartphone, por no hablar de políticos, empresarios, famosos…
Compartimos el precepto básico: la mejora de nuestras condiciones de vida. Compartimos el cómo se está llevando a cabo: de forma voluntaria. No compartimos las posibilidades que están abriendo este tipo de aplicaciones en tanto en cuanto pueden resultar sumamente peligrosas en las manos inadecuadas.
¿Y tú? ¿Te prestarías voluntariamente a dar datos, minuto a minuto, de lo que pasa en tu vida?
Prueba de concepto de malware para Android permite recrear recintos cerrados en 3D
Cuando hablamos de lo rápido que evolucionan las amenazas para dispositivos móviles no nos referimos únicamente a la implementación de conocidas amenazas ya usadas en ordenadores de sobremesa. Las características únicas de los dispositivos móviles hace que estas se aprovechen para obtener datos o causar daños a la víctima de formas novedosas. Ya hace años, los primeros malware para teléfonos móviles hacían que la víctima se gastase inconscientemente una cantidad importante de dinero enviando mensajes SMS a números de tarificación especial.
Con la llegada de los smartphones las posibilidades para los atacantes se multiplicaron, puesto que contaban con nuevos vectores de ataque y más características desde las cuales robar información a los usuarios. Uno de los últimos ejemplos de cómo usar un dispositivo móvil para espiar a un usuario ha venido en forma de prueba de concepto dentro de un estudio realizado por investigadores que trabajan para la universidad de Indiana y la Marina de los Estados Unidos.
Estos investigadores han conseguido camuflar un software espía dentro de lo que aparenta ser una aplicación fotográfica. Hasta aquí nada nuevo bajo el sol. La sorpresa viene cuando esta aplicación empieza a tomar control del dispositivo infectado y de recursos tales como la cámara, el acelerómetro o el giroscopio para generar modelos en tres dimensiones de habitaciones o entornos cerrados.
Esta prueba de concepto de un malware que se ha denominado PlaceRaider realiza fotografías aleatoriamente de su entorno, las clasifica y selecciona únicamente aquellas con buena definición para enviarlas a un servidor central. Es allí donde se puede montar este puzle fotográfico y generar un modelo tridimensional de donde se encuentra el dispositivo infectado y, por ende, la víctima.
Esta herramienta de espionaje plantea la típica pregunta acerca de su moralidad. Por supuesto puede ser utilizada por las fuerzas de seguridad para investigar delitos o perseguir a individuos potencialmente peligrosos (aunque habría que estudiar las leyes en cada país para ver si se permitiría una intrusión de estas características en la vida privada de una persona). Pero a su vez también puede ser usada por delincuentes para buscar víctimas potenciales de robos físicos o, incluso, como se puede observar en la captura de pantalla a continuación, obtener datos bancarios a partir de tarjetas de crédito cheques, etc., o grabando al usuario mientras accede a la banca online.
Como vemos, pruebas de concepto como la que acaban de presentar estos investigadores demuestran que aún hay mucho potencial para el malware en dispositivos móviles. Aunque esta investigación se haya realizado en terminales Android con una versión 2.3 o superior de su sistema, es perfectamente posible que también consiga afectar a otros terminales con sistemas Windows Phone, iOS o Blackberry. Tan solo se ha de conseguir aprovechar una vulnerabilidad en estos sistemas (y muchas veces ni siquiera eso) y engañar al usuario para que una inofensiva aplicación pase a convertirse en todo un centro de espionaje.
Artículos Anteriores »