La seguridad de Android en entredicho por un peligro que ni sabías que existía
Se ha descubierto una vulnerabilidad en móviles Android que se ha vuelto mucho más peligrosa de lo que te habrías imaginado. Hablamos de AutoSpill, un ataque que es capaz de robar las credenciales de los administradores de contraseñas de Android con total impunidad y sin que llegues ni a enterarte.
Por mucho que haya mejorado y su seguridad sea mayor que antes, Android sigue siendo un sistema operativo que no termina de ser totalmente seguro y esto es lo que aprovechan los ciberdelincuentes para atacar tu móvil y robarte tus datos, dinero o perjudicarte de alguna forma. Este nuevo ataque descubierto por investigadores de seguridad es capaz de robar credenciales de cuentas en Android en la función de autocompletar.
Investigadores del Instituto Internacional de Tecnología de la Información (IIIT) en Hyderabad lo han mostrado en una presentación de la conferencia de seguridad Black Hat Europe, en la que no se han conformado con ello sino que además han dicho que la mayoría de administradores de contraseñas para este sistema operativo son vulnerables al AutoSpill incluso sin que haya inyección de JavaScript.
¿Qué es AutoSpill y cómo te roba la contraseña?
Las apps para Android usan controles WebView para representar contenido web en lugar de redirigirte al navegador principal. Lo mismo hacen los administradores de contraseñas, que usan el marco WebView para escribir automáticamente los credenciales de la cuenta cuando la app carga la página de inicio de sesión de diferentes servicios.
Los investigadores han asegurado que se pueden explotar las debilidades en este proceso para conseguir las credenciales autocompletadas incluso sin inyección JavaScript. Con ella habilitada, todos los administradores de contraseña serían vulnerables al ataque. Te podrían atacar robándote tus contraseñas sin dejar ningún indicio ni rastro de que lo han hecho, como aseguran los investigadores que dan más detalles de AutoSpill.
Lo han probado con varios administradores de contraseñas con el mismo éxito. Lo han logrado en 1Password 7.9.4, LastPass 5.11.0.9519, Keeper 16.4.3.1048, Keepass2Android 1.09c-r0 y Enpass 6.8.2.666, ¡sorpresa!. En Google Smart Lock 13.30.8.26 y DashLane 6.2221.3 solo es posible con inyección de JavaScript. Todos ellos, de alguna forma u otra, no terminan de ser totalmente seguros ante ataques.
Como podemos ver, la función de autocompletar que usan muchas personas en móviles Android puede ser tremendamente insegura porque pueden robarnos nuestras contraseñas. Con una sencilla app maliciosa instalada en tu móvil podrían hacer que autocompletes tus credenciales sin quererlo. Por eso, los investigadores lo han comentado a los afectados y al equipo de seguridad de Android con propuestas para solucionarlo. Esperemos que las sigan y así tener unos dispositivos aún más seguros en algo tan importante como son las contraseñas de las apps y servicios que usamos a menudo en el móvil.
Por tu parte, poco puedes hacer para prevenir más que extremes las precauciones en tu móvil y vigiles bien las apps que instalas en él. La función de autocompletado y administradores de contraseñas no lo hacen mal del todo y que te roben la contraseña es mucho más difícil de lo que te hemos pintado, pero podría pasar y lo peor es que lo haría sin que te enteres. Te recomendamos que si piensas que alguien puede tener acceso a tus credenciales de acceso a cualquier servicio las cambies inmediatamente, y las actualices con frecuencia.
