Vulnerabilidad móvil

Los celulares inteligentes llegaron para quedarse, cambiaron la forma de ver el mundo y el comportamiento de una sociedad que ahora les confía prácticamente toda su vida; identidad, datos bancarios e intimidad, son sólo algunas de las cosas que se guardan en los dispositivos móviles sin tomar en cuenta lo fácil que es otros puedan obtenerlas, poniendo así en riesgo su privacidad y seguridad.

Desde su aparición, los dispositivos móviles se han ido integrando en nuestra vida diaria de forma gradual y sutil hasta convertirse en objetos indispensables para gran parte de la población. Las estadísticas reflejan el creciente uso de telefonía móvil, y no cabe duda que son los teléfonos inteligentes (smartphones) los favoritos de los clientes.

El uso de celulares inteligentes en México, que comenzó entre 2007 y 2010 con la llegada de los primeros equipos, pero que cobró mayor fuerza en los últimos cuatro años gracias a la entrada de un buen número de compañías fabricantes al mercado mexicano, se ha extendido de una manera tan sorprendente, que cada vez es más difícil encontrar un área libre de smartphones, con todo lo que ello conlleva.

La mesa, las reuniones familiares, de amigos o de negocios, las escuelas, las oficinas, los parques, las playas, en fin, prácticamente cualquier lugar está inundado de personas que mantienen una relación casi enfermiza con sus móviles.

La nuestra parece ser una sociedad ávida de verlo y compartirlo todo, de mantener una interacción constante con otros individuos, mejor si son virtuales y desconocidos; de lanzar al vacío de las redes sociales ese clamor que ante el vertiginoso correr del tiempo, hace de la existencia algo tan efímero, grita “¡Aquí estoy! ¡Existo!”.

PONER LA VIDA EN UN SMARTPHONE

Capacidad para descargar las aplicaciones de Facebook, Whatsapp, Twitter e Instagram, una buena cámara, una conexión a internet y, en última instancia, el servicio de telefonía, son las características que hacen de un celular un buen smartphone.

Antes incluso de hacer la primera llamada es probable que quien estrena un teléfono inteligente haya descargado ya sus aplicaciones de redes sociales y compartido una fotografía a través de ellas.

Acabo de responder un SMS. Ajá, como en la prehistoria, con frases por el estilo bromean los tuiteros para dejar en claro su afición a una comunicación más instantánea como la que Whatsapp provee y el poco uso que tienen ya los otrora innovadores mensajes de texto.

Los números de las tarjetas de crédito o débito son ingresados a las cuentas de iOS, Android o Windows Phone para hacer más cómodas las compras a través de sus tiendas digitales.

Miles de aplicaciones son descargadas cada día y autorizadas por el usuario casi inconscientemente, a través del simple acto de pulsar el botón de “Aceptar” la instalación, para acceder a datos como la identidad personal, listas de contactos, ubicación, fotos, medios y archivos, cámara, micrófono y cada una de las cosas que puede guardar un smartphone.

Ya sea por comodidad, por desconocimiento o por estar a la moda, los usuarios confiamos toda esa información, cada vez con menos restricciones, a nuestros celulares, como si de cofres se tratara, cuando la realidad es que son más bien una ventana a través de la que todos podemos ver la vida de los demás, cuando no una puerta abierta para entrar a la vida del otro.

Si bien es cierto que existe el riesgo de que alguien vulnere la seguridad de nuestro equipo, robe nuestra información o espíe nuestro comportamiento y descubra nuestros secretos, también cabe preguntarnos hasta qué punto nosotros mismos los entregamos voluntariamente, y es que las líneas que dividen la interacción social de la privacidad e incluso de la intimidad son menos claras en estos tiempos de redes sociales, smartphones y wifi.

HACKERS, MALWARES, VULNERABILIDAD Y EXPLOITS

Aun así la noción de privacidad existe, quizá es diferente para cada persona, pero existe. Todos mundo tiene algo qué esconder, o al menos eso parecen indicar las controversias que se suscitan cuando hay una modificación a las reglas de privacidad de Facebook, por ejemplo, o cuando los gobiernos impulsan políticas de seguridad que incluyen medidas que violan esa privacidad.

Una cosa hay que tener bien clara en cuanto a seguridad informática: siempre puede ser vulnerada. Desde los dispositivos más sencillos y de uso común, hasta los más sofisticados, todos pueden ser hackeados. El tiempo y el costo de hacerlo es lo que varía, de modo que el riesgo que afrontamos dependerá de qué tan valiosa sea la información que guardemos y para quién.

El término hackear se define como la acción de explorar y buscar las limitantes de un código o máquina, o bien de irrumpir de manera forzada en un sistema de cómputo o una red. A veces se usa también la palabra crackear.

A las personas dedicadas a realizar este tipo de acciones se les denomina hackers, y los hay de tres tipos: de sombrero blanco, especialistas en seguridad informática cuyo objetivo siempre es proteger; de sombrero negro, individuos dedicados a atacar, encontrar vulnerabilidades y venderlas en internet y de sombrero gris, gente de moral ambigua que lo mismo puede proteger que comerciar con la información que obtiene de sus clientes.

Los smartphones, al ser minicomputadoras, son susceptibles de los mismos peligros que los equipos de cómputo. Por ejemplo, el de ser atacados por un malware, que es “un software malintencionado que va a tratar de hacer algo en tu sistema operativo, independientemente del dispositivo que tengas, va a hacer que tu teléfono haga algo que no tenga que hacer”, explica Antonio Gurza, especialista en seguridad informática y socio fundador de la empresa Arkebit.

Los malware pueden ser de diversos tipos: virus, toryanos, gusanos, spyware y adware. Un adware es aquel que invade el dispositivo con publicidad, el spyware permite el espionaje, y el troyano, quizá del que más debemos protegernos, permite el acceso remoto al sistema.

“Esto quiere decir que una persona del otro lado del mundo, o desde cualquier lugar puede controlar tu dispositivo y cuando quiera puede tener tus fotografías, incluso tomar fotos sin que te des cuenta, hacer llamadas, robarte el saldo, activar el micrófono, robar tus datos, jalar la base de datos de mensajes que has enviado por Whatsapp y muchas cosas más”, señala Gurza.

Crear una puerta trasera (backdoor) a través de la que un tercero pueda manipular a su antojo nuestro dispositivo, sin ser advertidos, es la principal función de los troyanos.

“Los métodos de propagación de malware son muchísimos”, comenta Antonio, “puede ser un simple mensaje de Whatsapp, un mensaje mal construido o una imagen, un archivo de Word, un correo electrónico, un SMS, una aplicación...”.

Según información difundida por la compañía Kaspersky Lab, la propagación de malware móvil ha registrado un incremento. En un reporte de 2013 señala que en ese año registró 100.386, cifra muy superior a las 46.445 que hubo en 2012”.

La empresa detalla además que un estudio de tipos de malware móvil sitúa en primer lugar los Backdoors, con un 32.3 por ciento de los virus detectados y que infectan tanto a móviles como a ordenadores. Su objetivo es abrir una “puerta trasera” para acceder a los datos almacenados en el dispositivo. En segundo lugar, con un 27.7 por ciento de los virus detectados se encuentran los SMS-Troyanos, capaces de enviar sin consentimiento del usuario mensajes a números de pago.

Otro riesgo que enfrentan los smartphones son los exploit que son softwares especialemnte creados para que ejecutar una serie de acciones o comandos con la finalidad de aprovechar la vulnerabilidad de un sistema de información para conseguir un comportamiento inadecuado del mismo.

Para explicar lo que es un exploit, Antonio Gurza pone como ejemplo el navegador Chrome de un smartphone.“Esta hecho precisamente para navegar en internet. Imagina que estás en tu teléfono navegando, tienes la música puesta y recibes una llamada o un mensaje y de pronto se cierra el navegador, algo que pasa muy seguido, incluso en la computadora, sin que le demos importancia, lo que hacemos comúnmente es volverlo a abrir y ya. Pero, ¿qué fue lo que pasó? El software hizo algo que no debía hacer, no está cumpliendo su función. ¿Por qué? ¿Qué acciones se ejecutaron?”.

Se le llama desbordamiento de memoria, “el software no supo qué hacer y se cerró, ya no supo mantenerse en ejecución. Esa es una vulnerabilidad. Y ahí es cuando entra lo fuerte, el exploit, una pieza de software, que va a ejecutar el conjunto de acciones para que una determinada aplicación deje de funcionar”.

Existen hackers que se dedican a buscar esas vulnerabilidades y desarrollar los exploit para aprovecharlas. El fin depende del tipo de vulnerabilidad y puede ser como simple juego, espionaje, elevación de privilegios o ejecución de código remoto.

“Yo puedo entrar a tu teléfono con los privilegios que yo quiera. Yo en cualquier parte del mundo escaneo, detecto una vulnerabilidad, le mando un exploit y ya estoy dentro de su teléfono, se escucha fácil pero es mucho trabajo y también es de lo que más nos tenemos que cuidar”, advierte.

Cuando un exploit sale a la luz, porque un haker puede usarlo para sus beneficios sin que nadie más sepa, pero cuando lo hace público lo que hace el fabricante es ver la vulnerabilidad parcharla y lanzar una nueva actualización. Es por esto que es importante que los usuarios actualicen cada vez que una aplicación se lo indique. De esa manera el exploit no podrá entrar en el móvil. “Lo peor que pueden hacer es no actualizar el sistema”, sentencia Enrique Gurza.

¿PARA QUÉ HACKEAR?

Al igual que los métodos, los objetivos de hackear teléfonos inteligentes son muy diversos. Están desde los hackers que buscan aprender y los que buscan obtener algún beneficio, hasta los gobiernos que pueden hacerlo por motivos de seguridad.

Pero fuera de estos tipos especializados, digamos entre los mortales, ¿a quién le interesaría robar la información contenida en un smatphone?

Para Enrique Gurza, los tipos de espionaje a teléfonos celulares podrían agruparse en tres grandes categorías: sentimental, industrial y legal.

LA CONTRASEÑA DEL FACEBOOK Y OTRAS PRUEBAS DE AMOR

La sospecha de infidelidad entre las parejas es uno de los motivos que desencadenan el deseo de espiar al otro y vulnerar la seguridad de sus equipos para vigilar la comunicación que mantienen con los amigos de sus redes sociales.

“Desde que inicié en esto, no ha habido un solo mes en que no me llegue una persona solicitándome la contraseña de su pareja, primero era del Messenger, luego del Facebook, y ahora la base de datos del Whatsapp para leerlas en otro lado”, señala.

Una actividad que, confiesa, en tiempos de estudiante sí realizaba, tanto por aprender como por ganarse una dinerito extra. Sin embargo ahora no lo hace debido a que es un servicio que tiene un costo alto que muy pocos están dispuestos a pagar.

“Muchos llegan y me dicen 'oye necesito la contraseña de mi esposa porque creo que me está engañando' y les digo 'claro, cuesta 10 mil pesos' y me responden: 'No, es mucho... yo pensaba darte unos 500 pesos’”, relata.

Como cualquier actividad profesional, el costo se eleva por el conocimiento para realizar la tarea, pero también debido al tiempo que se tiene que invertir en ella. Porque no se trata simplemente de entregar un nombre de usuario o un correo y esperar dos minutos para que el hacker entregue una contraseña -eso sólo pasa en las películas, asegura Gurza-, sino que se tiene que hacer un análisis de la persona, saber qué dispositivo usa, desde dónde se conecta, etcétera, para así determinar el método más adecuado de ataque.

La obsesión por saber qué hace la pareja en las redes sociales es tanta que incluso se ha llegado a decir que compartir la contraseña de las redes sociales es la nueva prueba de amor. Hace tiempo que comenzó a bromearse con esa idea que, por otra parte, parece confirmarse a través de estudios de psicología realizados tanto en México (Universidad Autónoma de Nuevo León) como en Estados Unidos (Pew Reserch Center).

En México, según los resultados obtenidos en la encuesta aplicada a estudiantes de preparatoria, estudio coordinado por el investigador José Antonio Lucio López, el 30 por ciento de los jóvenes ha recibido y accedido a la solicitud de compartir su contraseña, mientras que en Estados Unidos lo ha hecho el 67 por ciento.

¿Qué pasa con aquellos que no acceden a la petición? Es posible que finalmente hayan sido víctimas de hackeo.

Otras “pruebas de amor” que quizá fluyen por las redes móviles son las fotos de contenido sexual o erótico que comparten entre sí las parejas, vía mensajería instantánea, en una práctica denominada sexting. ¿Qué puede tener eso de malo si al fin y al cabo se hace voluntariamente y con gente de confianza?

“A las parejas no se les quita todavía la costumbre de tomarse fotografías en la intimidad; aunque sean para ellos existe un riesgo, ya que hay un mercado negro para pornografía, donde se venden fotos robadas de dispositivos hackeados”, alerta nuestro especialista.

La sociedad no sabe de este peligro, continúa explicando, y ha habido casos de parejas que tiempo después de haber compartido este tipo de fotografías, se las encuentran en internet y se echan la culpa entre ellos cuando en realidad el responsable es alguien malintencionado que al azar, o intencionalmente ha hackeado sus teléfonos.

ESPIONAJE INDUSTRIAL Y POLÍTICO

Otros ámbitos donde suele darse el espionaje son el industrial y el político. Aquí, los interesados, ya sea una empresa o un partido político necesita saber los planes o estrategias de la competencia, para lo cual contrata a un especialista en informática que analiza y determina el o los vectores de ataque.

El espionaje en estos casos puede hacerse a través del hackeo vía internet o de la red local, y por supuesto también a través de los smartphones. Aunque lo más sencillo es usar algo que Antonio Gurza define como “ingeniería social”, es decir, entrar físicamente a las instalaciones de la competencia haciéndose pasar por técnico de la empresa proveedora de internet e instalar en el enrutador una puerta trasera para tener acceso remoto a toda la red de la empresa, también es muy común hackear los celulares de los ejecutivos por medio de malwares que se distribuyen por mensajes.

Mediante un celular hackeado con un malware que permita la ejecución remota, por ejemplo, se pueden grabar conversaciones o reuniones clave, pues el hacker puede activar y desactivar el micrófono y la cámara sin que el usuario se percate.

También existe el hackeo y espionaje con fines legales. Aquí los interesados suelen ser abogados que buscan las pruebas necesarias para ganar sus casos. Obviamente es un servicio caro, que además no se puede facturar, pero que por lo regular sí se cubre, pues lo que está en juego lo vale.

LOS RIESGOS DE UNA ‘SELFIE’

Cómo ya se había mencionado, quizá convendría reflexionar un poco acerca de hasta qué punto nosotros mismos facilitamos el espionaje a través de nuestros smartphones y redes sociales.

Algo tan de moda, y en apariencia inocente, como una selfie, puede meter en serios problemas a los usuarios de telefonía móvil.

“Todas las fotografías tienen algo que se llama metadatos”, detalla Gurza, “cuando tú tomas una foto, se guardan en los metadatos la latitud y longitud de dónde fue tomada la fotografía, así como el dispositivo y la versión con qué fue capturada, tú puedes subirla a Twitter y una persona puede descargarla y analizar los metadatos, tomar la latitud y longitud de dónde fue tomada, ponerlas en Google Maps y averiguar dónde estás exactamente”.

Este es un método muy utilizado por los paparazzis, por ejemplo. Hay softwares que se dedican a estar stalkeando a los famosos, y de pronto alguno sube una foto a Instagram, alguien analiza los metadatos, los ubica y en muy poco tiempo ya están ahí los medios asechándolos.

Este riesgo obviamente depende de quién eres, y alguien común podría pensar que sus metadatos no sirven de nada, nada más ingenuo, pues hay gente que está estudiando diferentes perfiles, sus casas, sus hábitos y rutas, para, a partir de eso, definir a sus víctimas de secuestro.

“De ahí ya sólo queda esperar, por ejemplo, una selfie en algún restaurante o lugar público para localizarlos e ir a robarlos o secuestrarlos”.

El colmo es que en ocasiones ni siquiera resulta necesario analizar los metadatos, pues es el usuario quien voluntariamente comparte su ubicación a través de las funciones de geolocalización que casi todas las aplicaciones tienen.

¿CÓMO PROTEGERSE?

La máxima recomendación para protegerse de todos los riesgos de hackeo, espionaje y robo de información es tal vez la prudencia.

Las medidas a tomar estarán en función de lo que cada usuario quiere proteger y a su "paranoia".

Una persona que teme que su información bancaria llegue a otros, deberá pensárselo dos veces antes de hacer una compra vía celular.

Los padres de familia que quieren garantizar la seguridad de sus hijos, así como cualquier persona que quiera evitar ser víctima de secuestro, extorsión u otro delito que se propicie a partir del espionaje deben considerar más seriamente la decisión de compartir sus fotografías o cualquier tipo de información.

“Detenernos un poquito a pensar qué necesidad tenemos de hacer eso. Es una interacción que se está adoptando como cotidiana y no está mal, pero nos ocupamos muy poco de nuestra privacidad. Facebook tiene opciones que la mayoría ni conocen, con las que se puede controlar quién puede ver tus publicaciones y fotografías”, considera Gurza.

“El usuario debe protegerse pensando en qué es lo que quiere que esté en el mundo.

Si no quieres que te secuestren, si no quieres que secuestren tu identidad, o si no quieres que se sepa que eres infiel, es decir, definir qué es de lo que te quieres proteger, y en función a eso usar la tecnología o no”.

Poniéndose un poco estricto, o paranoico, Antonio Gurza menciona que si se le cuestiona por su mejor recomendación, sería tener un teléfono análogo chiquito. Sin embargo, es consciente de que está en un mundo donde los smartphones y todas las comodidades o posibilidades que ofrecen no pueden dejar de usarse.

“El problema está en que sí conozco todas las debilidades pero decirte que no lo uses, pues no, sería privarte de todo lo bueno que está dando la tecnología, la interacción, la comodidad, ¿qué tal si estás de viaje y necesitas comunicarte?; tampoco me cierro, lo mejor es cuidarte. Ser prudente con las redes a las que te conectas, las aplicaciones que descargas, y tener siempre algo que pueda analizar tu teléfono contra malware”.

UN PAR DE REFLEXIONES A MANERA DE EPÍLOGO

En cuanto a la privacidad, en internet circulan algunas frases relacionadas con este tema que incitan a la reflexión: Si la privacidad son gustos personales y geolocalización, ¿la intimidad qué era? Es la interrogante que remata un artículo de la revista electrónica española Playground, en el que describe el caso de una chica que estando en un evento deportivo es captada por las cámaras del estadio. En la escena se le puede ver de pie al lado de un joven sentado, a quien ella acaricia por la espalda. Al percatarse de que está siendo grabada retira su mano disimuladamente y se voltea hacia otro lado.

El video fue compartido en las redes sociales y se hizo viral, y todo mundo opinó y especuló acerca de su actitud sospechosa, ¿acaso había sido captada in fraganti siendo infiel?, era la principal interrogante de internautas, misma que finalmente fue echada por tierra cuando alguien confirmó que los dos jóvenes conforman una pareja que, contrario a la tendencia, no está tan cómoda con aquello de mostrar su afecto en público.

Por frívolo que parezca, el revuelo viral causado por este video, suscita un par de reflexiones: ¿Por qué cualquiera se siente con derecho a opinar o especular sobre la vida de los demás?, y ¿por qué nos resulta tan extraño que alguien sienta vergüenza de exhibir su imagen y emociones frente a los demás?

Después de todo, quienes actúan con recelo, tal vez sólo están siguiendo la única regla de privacidad infalible: Si es privado no lo pongas en Facebook... o en tu celular.

RECOMENDACIONES FALIBLES PERO ÚTILES

Si pese a todos los peligros que existen se decide seguir utilizando un smartphone, se pueden tomar en cuenta las siguientes recomendaciones generales de protección.

-No ingresar datos personales o bancarios a través de redes públicas. Si la necesidad es apremiante siempre deberá preferirse la red de datos móviles (3G o 3GS, etcétera) ya que las de este tipo son más difíciles de hackear.

-Desactivar la opción de mantener guardados los datos bancarios en las tiendas Appstore, Google Play y Windows Phone.

-Revisar los permisos que se otorgan a las aplicaciones que se descargan.

-Fijarse siempre en el nombre del desarrollador de las aplicaciones a descargar para evitar bajar una apócrifa. En la tienda de Android es muy fácil que cualquier persona pueda descargar una aplicación “oficial”, desempaquetarla, modificarla, agregarle malwares y subirla con un nombre parecido al original a fin de confundir a los usuarios. En la tienda de Apple, es un poco más complicado, pues todas las aplicaciones pasan por un proceso de revisión de tres meses, eso lo hace un poco más segura, aunque no completamente.

-Invertir en un plan de protección de las redes domésticas y privadas, ya que a través de ellas también se puede ingresar en nuestros celulares. Una acción tan sencilla como cambiar en las opciones de configuración del módem, el nombre y contraseña es elemental, pues los que vienen por 'default' pueden ser consultadas en una base de datos disponible en internet.

Twitter: @gsi_k