Al adquirir un nuevo smartphone, cuando estamos de viaje en otro país o al cambiar nuestro número de teléfono, debemos insertar en el dispositivo una nueva tarjeta SIM. Después de que la tarjeta encuentra cobertura, es común que los usuarios o los vendedores omitan algunos pasos para ir directamente a la configuración del nombre del punto de acceso (APN), que permite el acceso a la red inalámbrica. No obstante, expertos en seguridad en redes afirman que es posible abusar de este proceso para interceptar el tráfico de un dispositivo.
Por lo general, el APN es enviado a los usuarios a través de un mensaje de texto (SMS). Las pocas medidas de seguridad de este protocolo permiten a los hackers maliciosos enviar mensajes fraudulentos que sirven como medio de acceso a un dispositivo comprometido. Un equipo de expertos de la firma de seguridad Check Point menciona que, entre los datos que se pueden configurar en APN está un proxy de redirección del tráfico de red, pero debido a que la gran mayoría de operadores de telefonía móvil usan proxies transparentes, no es necesario configurar esta opción.
En su investigación, los expertos en seguridad en redes afirman que algunos fabricantes de smartphones con sistema operativo Android (entre ellos Samsung, LG, Huawei, y Sony) no pensaron en incluir algún sistema de protección para el envío y recepción de SMS, lo que deja la puerta abierta para que los actores de amenazas envíen un SMS malicioso solicitando a los usuarios objetivo actualizar los datos del operador y así redirigir el tráfico móvil de la víctima hacia un proxy controlado por los atacantes.
Este ataque cuenta con el potencial para comprometer todo el tráfico que pasa por el dispositivo móvil, sin importar que esté o no cifrado. Esto significa que, de tener éxito, un atacante podría acceder a detalles como el historial de navegación de la víctima, conversaciones, fotos, videos e incluso correos electrónicos. Además del SMS malicioso, todo lo que los hackers requieren para lanzar el ataque es que la víctima esté conectada a una red móvil.
Los expertos en seguridad en redes también mencionaron que, a pesar de que existe un estándar en la industria para el envío de SMS (Open Mobile Alliance Client Provisioning), éste no cuenta con las facultades necesarias para obligar a los prestadores de servicios de telecomunicaciones a autenticar estos mensajes usando alguno de los métodos disponibles (como USERPIN, NETWPIN, entre otros). En ausencia de esta implementación, es imposible para los usuarios objetivos verificar la procedencia real de un SMS.
Aunque esto ya suena bastante mal, falta la peor parte. Casi cualquier persona con los mínimos conocimientos técnicos puede llevar a cabo este ataque, sólo se requiere de un dongle USB (disponibles desde 10 dólares), que pueden ser usados para el envío masivo de SMS, aunque también es posible dirigir el ataque a un usuario específico.
Los fabricantes afectados fueron notificados por los investigadores hace algunos meses. Mientras que Samsung corrigió estas fallas en su actualización de mayo, y LG en el mes de junio, el resto de compañías no ha anunciado alguna corrección para mitigar el riesgo de ataque. Acorde a expertos en seguridad en redes del Instituto Internacional de Seguridad Cibernética (IICS) Sony mencionó que no es necesario actualizar su software, pues está diseñado según las especificaciones de Open Mobile Alliance, no obstante, esta misma investigación demostró que esto no es suficiente para garantizar la protección del usuario durante el envío o recepción de mensajes SMS.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
