El iPhone, vulnerable a Pegasus

The Washington Post ha revelado que Pegasus, el programa espía de NSO Group que ha sido utilizado por gobiernos para espiar a disidentes y periodistas, puede ser utilizado en un iPhone.

Es el caso de Claude Mangin, una ciudadana francesa y esposa de un activista político encarcelado en Marruecos, quien recibió un mensaje que no emitió ningún sonido, no produjo ninguna imagen ni notificación alguna, menos aún una advertencia de seguridad.

El iMessage malicioso contenía la aplicación Pegasus y fue enviado directamente a su teléfono, eludiendo los sistemas de seguridad de Apple.

Según un examen forense de su dispositivo realizado por el Laboratorio de Seguridad de Amnistía Internacional, ya introducido, el software espía intervino varias veces el teléfono de Magin durante alrededor de 9 meses.

Entre lo que puede hacer Pegasus se encuentra la recolección de correos electrónicos, registros de llamadas, publicaciones en redes sociales, contraseñas de usuarios, listas de contactos, imágenes, videos, grabaciones de sonido e historiales de navegación.

Además, el programa espía puede activar cámaras o micrófonos para capturar imágenes y grabaciones recientes. Así mismo, puede escuchar llamadas y mensajes de voz; recopilar registros de localización de los lugares en los que ha estado un usuario y también determinar dónde se encuentra ahora, junto con datos que indiquen si la persona está quieta o, si se mueve, en qué dirección.

Todo esto puede ocurrir sin que el usuario toque siquiera su teléfono o sepa que ha recibido un misterioso mensaje de una persona desconocida.

Se trata de ataques “zero-click”, como se denominan en la industria de la vigilancia, y pueden funcionar incluso en las últimas generaciones de iPhones, pese a esfuerzos de Apple para cerrar la puerta a la vigilancia no autorizada, como ha presumido en campañas de marketing sobre ofrece mejor privacidad y seguridad que sus competidores.

The Washington Post indica que el número de Mangin estaba en una lista de más de 50, 000 números de teléfono identificados como potenciales blancos de Pegasus. 

El Laboratorio de Seguridad de Amnistía examinó 67 teléfonos inteligentes cuyos números figuraban en la lista de Forbidden Stories y encontró pruebas forenses de infecciones o intentos de infección de Pegasus en 37. De ellos, 34 eran iPhones: 23 que mostraban signos de haber sido infectados por Pegasus y 11 que mostraban signos de intento de infección.

Citizen Lab también agregó que en su propia investigación había encontrado infecciones de Pegasus en un iPhone 12 Pro Max y dos iPhone SE2, todos ellos con versiones 14.0 o más recientes del sistema operativo iOS, lanzado por primera vez el año pasado.

Ivan Krstić, jefe de Ingeniería y Arquitectura de Seguridad de Apple, defendió los esfuerzos de seguridad de su compañía: “Apple condena categóricamente los ciberataques contra periodistas, activistas de derechos humanos y otras personas que buscan hacer del mundo un lugar mejor”.

“Durante más de una década, Apple ha liderado la industria en innovación de seguridad y, como resultado, los investigadores de seguridad coinciden en que el iPhone es el dispositivo móvil de consumo más seguro del mercado”, dijo en un comunicado.

“Ataques como los descritos son muy sofisticados, su desarrollo cuesta millones de dólares, suelen tener una vida útil corta y se utilizan para dirigirse a personas concretas. Aunque eso significa que no son una amenaza para la inmensa mayoría de nuestros usuarios, seguimos trabajando incansablemente para defender a todos nuestros clientes, y añadimos constantemente nuevas protecciones para sus dispositivos y datos”, abundó.

The Washington Post añadió que los defensores del derecho a la privacidad afirman que la imposibilidad de impedir el hackeo de los teléfonos inteligentes amenaza la democracia en decenas de países al socavar la recopilación de noticias, la actividad política y las campañas contra los abusos de los derechos humanos.

Hatice Cengiz, la prometida del columnista del Washington Post asesinado Jamal Khashoggi, dijo que utilizaba un iPhone porque pensaba que ofrecería una sólida protección contra los Hackers. Sin embargo, su iPhone fue uno de los 23 en los que se encontraron pruebas forenses de la exitosa intrusión de Pegasus. La infiltración ocurrió en los días posteriores al asesinato de Khashoggi en octubre de 2018, según el examen de su teléfono.

La investigación descubrió que iMessage -la aplicación de mensajería incorporada que permite chatear a los usuarios de iPhone- fue el vector de ataque en 13 de las 23 infiltraciones exitosas de iPhones.

Una de las razones por las que iMessage se ha convertido en un vector de ataque, dicen los investigadores de seguridad, es que la aplicación ha ido añadiendo funciones, lo que inevitablemente crea más vulnerabilidades potenciales.

“No pueden hacer que iMessage sea seguro”, dijo Matthew Green, profesor de seguridad y criptología de la Universidad Johns Hopkins. “No digo que no se pueda arreglar, pero es bastante malo”.

“Tu iPhone, y otros mil millones de dispositivos de Apple fuera de la caja, ejecutan automáticamente un software notoriamente inseguro para previsualizar los iMessages, tanto si confías en el remitente como si no”, dijo el investigador de seguridad Bill Marczak, miembro de Citizen Lab, un instituto de investigación con sede en la Munk School of Global Affairs & Public Policy de la Universidad de Toronto. “Cualquier estudiante de Seguridad Informática 101 podría detectar el fallo aquí”.



(Con información de Washington Post)