El Telescopio
Las dos plataformas de mensajería más utilizadas, WhatsApp y Telegram, en entredicho por una "vulnerabilidad severa".
Las dos plataformas de mensajería más utilizadas, WhatsApp y Telegram, en entredicho por una "vulnerabilidad severa".

La foto del gatito a través de WhatsApp o Telegram puede ser tu perdición

Una investigación desvela una grave vulnerabilidad en la versión web de ambas aplicaciones

26
Jue, 16 Mar 2017

Hace tan solo unos días, Wikileaks informaba de que estaba en posesión de los diferentes mecanismos de los que se sirve la CIA para hackear los teléfonos móviles, las smart tv o los PCs, entre otros dispositivos. La revelación encendió todas las alarmas porque, por un lado, pone en jaque a la agencia estadounidense de la que se sospechaba que utilizaba esos sistemas pero sin una confirmación ‘oficial’ y, por otro, demuestra la inseguridad de internet.

A raíz de esta filtración anunciada por la web que lidera Julian Assange, la compañía especializada en software CheckPoint inició una investigación que ha puesto de manifiesto nuevos peligros que encierran en sus versiones web las dos plataformas de mensajería instantánea más extendidas: WhatsApp y Telegram.

Esta empresa ha detectado una “nueva vulnerabilidad severa” en el servicio en línea de ambas aplicaciones, añadiendo que dicha versión “refleja todos los mensajes enviados y recibidos por el usuario, y están totalmente sincronizados con el dispositivo de los usuarios”.

Graves consecuencias

Para CheckPoint, tal y como explica en su blog, de haberse utilizado “habría permitido a los atacantes tomar completamente las cuentas de los usuarios en cualquier navegador, y acceder a las conversaciones personales y de grupo de las víctimas, fotos, videos y otros archivos compartidos, listas de contactos y más”.

La advertencia no es menor, sobre todo al conocer cómo han puesto de manifiesto esta vulnerabilidad. Hablan de una ‘amable’ foto (por ejemplo, de un gatito) para que tenga muchas posibilidades de ser abierta. El procedimiento es muy sencillo.

Se inicia con el envío de dicho archivo “de aspecto inocente”. Tal vez siguiendo aquello de que “el peor veneno viene en frasco pequeño”, abrir esa imagen (o lo que contenga el archivo) puede ser la hecatombe porque el mismo esconde un código malicioso.

¿Seguro el cifrado de extremo a extremo?

Sus descubridores advierten de que el archivo “se puede modificar con contenido atractivo –el citado lindo ‘gatito’- para aumentar las posibilidades de que un usuario lo abra”. Aunque varía algo, en ambas plataformas el malware se propaga de manera rápida. En la versión web de la app del teléfono verde, si se abre, el ‘pirata’ ya tiene vía libre para tener acceso a toda la información almacenada; en Telegram se requiere de un nuevo clic “para abrir otra pestaña”, aunque las consecuencias son las mismas.

La empresa Check Point explica en su blog cómo se produce esta vulnerabilidad. (Infografía: CheckPoint.com)

Lo curioso del hallazgo es que incide en uno de los aspectos de los que presumen ambas plataformas de mensajería para declararse seguras. Se trata del cifrado de extremo a extremo. Esta opción, incorporada en WhatsApp no hace mucho, provoca que los suministradores del servicio no puedan acceder a los mensajes que se envían, o lo que es lo mismo, parece que la mejora de la privacidad va en contra de la propia seguridad del usuario y se vuelve en su contra (y también en el de ambas aplicaciones).

"Respuesta responsable"

El resultado de las pesquisas se trasladó el día 7 de marzo a las plataformas que han puesto los mecanismos necesarios para evitar el agujero en sus versiones web. En palabras de Oded Vanunu, responsable de investigación de vulnerabilidades de Check Point, “afortunadamente, WhatsApp y Telegram respondieron rápida y responsablemente para implementar las soluciones contra la explotación de este problema”.

Y tras conocerse esto surge la pregunta ¿Qué ha sucedido hasta ahora? ¿Se ha servido alguien de esta vulnerabilidad para infiltrar el malware y hacerse con los datos de los usuarios?. Esto lo sabremos más adelante... o nunca.