Nueva vulnerabilidad de Android susceptible a ataques de phishing por SMS

Los smartphones con Android pueden ser tan “listos” como uno quiera. Sin embargo, eso no significa que sean seguros. Acaba de descubrirse una nueva vulnerabilidad que afecta a numerosas versiones del sistema operativo de Google, especialmente a las más modernas. Se trata de un agujero de seguridad que propicia ataques de phishing a través de mensajes cortos (SMS); lo que los expertos han bautizado como “SMiShing” (SMS-phishing). El funcionamiento es simple. El usuario se descarga en su dispositivo Android una aplicación infectada que se aprovecha de esa vulnerabilidad para crear mensajes cortos falsos y enviarlos a los teléfonos móviles otras personas que figuran en la agenda de contactos.

Esos mensajes pueden ser vehí­culos para realizar ataques de phishing, destinados a recopilar información personal y económica, como números de cuentas, claves y contraseñas. De hecho, el jueves pasado la cadena de tiendas Wal-Mart era la protagonista de uno de estos ataques SMiShing. El gancho para conseguir los datos personales era reclamar un cheque regalo (falso) por valor de mil dólares. El texto del mensaje corto distribuido decí­a: “Querido cliente de Wal-Mart, felicidades, ha ganado un cheque regalo de 1.00 dólares. Haga clic en este enlace para reclamar su premio”. Las ví­ctimas del engaño que entraban en el enlace acaban en un sitio web fraudulento que solicita sus datos personales y financieros para “procesar” el cheque regalo.

Los cibercriminales que ejecutan estos ataques de SMiShing persiguen precisamente lucrarse con esos datos personales y económicos. El descubridor de esta nueva vulnerabilidad es un investigador de la Universidad de North Carolina, en Estados Unidos, llamado Xuxian Jiang. Jiang explica que ha comunicado el agujero de seguridad a Google, y que se ha quedado sorprendido por la rapidez de respuesta, en sólo diez minutos. Desde Google han prometido tapar ese agujero de seguridad en las próximas versiones de Android.

Este investigador ha confirmado que el alcance de esta vulnerabilidad afecta a muy diversos smartphones: Google Nexus S, Google Galaxy Nexus, Samsung Galaxy S 3, HTC One X y HTC Inspire, entre otros. Luego, por plataformas, las versiones afectadas van desde Froyo (2.2.x) hasta Jelly Bean (4.1), pasando por Gingerbread (2.3.x) y por Ice Cream Sandwich (4.0). Aparte, Jiang destaca que se trata de una vulnerabilidad grave, porque no requiere la intervención de un segundo código malicioso de tipo exploit, que es el encargado de solicitar la autorización para poder lanzar el ataque. Con eso se facilita la acción de los ciberdelincuentes.

Hasta que Google tape esa brecha de seguridad, es posible tomar algunas precauciones. Por ejemplo, no descargar (ni instalar) en el smartphone o la tableta Android ninguna aplicación procedente de fuentes desconocidas. Además, conviene leer atentamente el texto de los mensajes cortos recibidos, y ser muy cautos antes de hacer clic en los enlaces que allí­ figuran.