Parece que últimamente no hay una semana que podamos respirar tranquilos. Sabemos que nuestros smartphones están expuestos a todo tipo de riesgos pero, de un tiempo a esta parte, no dejamos de recibir noticias de fallos de seguridad en Android que exponen nuestros datos privados y los ponen al alcance de cualquiera (con los conocimientos suficientes).
En las últimas horas el equipo de investigación de Microsoft 365 Defenderse ha alertado de una serie de fallos de seguridad en el sistema operativo de Google que permiten a los ciberdelincuentes controlar nuestro smartphone, no solo sin nuestro consentimiento, sino que incluso sin que nosotros lo sepamos. Estas vulnerabilidades han sido catalogadas de alta gravedad al afectar a un elevado número de usuarios, concretamente, a millones de nosotros.
Un grave peligro para el usuario
Ha pasado mucho tiempo desde que permanece activo este grave problema. El mismo lleva sin ser detectado desde septiembre del año pasado, tiempo en el que se ha podido emplear por los hackers con conocimientos suficientes para realizar ataques graves contra dispositivos, lo que, lamentablemente, ha terminado resultando en un robo de datos y credenciales, así como en el control a distancia de un elevado número de teléfonos.
El aviso reza así:
Microsoft descubrió vulnerabilidades de alta gravedad en un marco móvil propiedad de mce Systems y utilizado por múltiples grandes proveedores de servicios móviles en aplicaciones preinstaladas de Android System que potencialmente exponían a los usuarios a ataques remotos (aunque complejos) o locales. Las vulnerabilidades se están rastreando como CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 y CVE-2021-42601, con puntuaciones de gravedad que oscilan entre 7,0 y 8,9 sobre 10.
Normalmente las alertas de seguridad se catalogan en función de su riesgo para el usuario y su compromiso de datos. Lo habitual es que estas vulnerabilidades no pasen del 5 sobre 10 en nivel de peligrosidad, lo que demuestra lo serias que son estas grietas de seguridad descubiertas en el sistema operativo de Google.
Y es que, aprovechándose de ellas, se le permite al atacante crear una puerta trasera a todos nuestros datos, o peor aún, tomar un control sustancial sobre el dispositivo afectado.
¿Ha sido reparado?
Un portavoz de la empresa de seguridad ya ha confirmado que la empresa solucionó la vulnerabilidad hace unas semanas y que no conoce el número de teléfonos que podrían haber sido puestos en riesgo.
Trabajamos en estrecha colaboración con los equipos de seguridad e ingeniería de mce Systems para mitigar estas vulnerabilidades. La compañía enviará una actualización urgente del marco de sistema para solucionar estas vulnerabilidades a los proveedores afectados y publicar correcciones para los problemas.
Lo malo es que, aunque Google también ha intervenido para actualizar Play Protect para luchar contra estas brechas de seguridad, se desconoce el impacto de las mismas. Aunque no se sea consciente, podría haber cientos de proveedores no descubiertos afectados por el fallo, contando incluso con talleres de reparación de móviles que podrían haber utilizado aplicaciones con esta vulnerabilidad sin darse cuenta, al desconocer este fallo.
Por tu parte no hay nada que puedas hacer, ya que es algo que no depende de como el usuario use el móvil, solo confiar en que estas empresas han acabado con la vulnerabilidad de forma efectiva… hasta que aparezca otra.