Como se hackean los celulares (smartphone)

Así se 'hackea' un 'smartphone'
http://www.elconfidencial.com/ 28/10/2014

Con el rápido crecimiento de los dispositivos móviles se han disparado las aplicaciones para hackearlos. Smartphones, tablets, relojes inteligentes o phablets. Los últimos cinco años han supuesto una auténtica revolución en lo que se refiere al tipo y cantidad de aparatos que empleamos de manera habitual en nuestro día a día. Pero también en ataques maliciosos.

Los datos y archivos que antes gestionábamos sólo en el ordenador ahora están en otros dispositivos con distintos sistemas operativos y conectados a distintas redes. Este fenómeno no pasa desapercibido para los ciberdelincuentes que buscan nuevas vulnerabilidades y fallos de seguridad.

Aunque los ordenadores siguen siendo el principal sistema empleado por los usuarios para conectarse a la red, las tabletas y smartphones llevan ya años ganando terreno. Sin embargo, la preocupación por la seguridad de estos usuarios es muy inferior que la de los que utilizan el PC.Un teléfono móvil se puede 'hackear' mediante una conexión por bluetooth, un código QR o una simple fotografía por WhatsApp Las consecuencias de que te pirateen el teléfono van desde que puedan espiarte, robarte información o acceder a tu agenda de contactos, por poner solo algunos ejemplos. Pero lo peor de todo es lo fácil que resulta hacerlo. A veces, tan sólo es necesario aceptar una conexión por bluetooth, abrir un enlace en Facebook o Twitter,leer un código QR, hacer click en una simple foto de WhatsApp o un correo electrónico para abrir la puerta de tu terminal a un tercero.

Según el director de Comunicación y Laboratorio de Eset, Josep Albors, "lo primero que hay que hacer para hackear un teléfono es seleccionar una aplicación maliciosa en internet y descargárnosla". Hay bastantes herramientas en internet para espiar a terceros. Desde las más comerciales como Mobile Spy o Flexi Spy, hasta otras mucho más efectivas comoAndrorat.

"Una vez elegida la aplicación debemos subirla a cualquier sistema de almacenamiento en la nube como por ejemplo Dropbox. Después es imprescindible acortar el enlace que te ofrecen para compartirlo. Con esto conseguimos que la víctima no sospeche de hacia dónde apunta".

Si se quiere enviar a un usuario en particular la mayoría de expertos recomienda hacerlo por correo, SMS o WhatsApp. Si es de forma masiva resulta más útil Twitter o Facebook.

Lo más complicado, engañar al usuario

Hay que destacar que la url corta sólo sirve para camuflar la real y que, de esta forma, el usuario se la descargue. Lograr que después la aplicación se ejecute y pase desapercibida en el teléfono depende de lo confiada que sea la víctima.

"En el momento en el que el usuario haga click lo más normal es que aparezca una ventana preguntando si se quiere descargar una aplicación que no está en Google Play e informando de los permisos que solicita. El problema es que la mayoría de gente no se los lee y hace lo que les digan", ha añadido Albors. Durante agosto de 2013 y marzo de 2014 la cantidad de ataques mensuales que recibieron los usuarios de 'smartphones' y tabletas se multiplicó casi diez veces, pasando de 69.000 a 644.000No anda desencaminado. Según un estudio de Kaspersky, durante agosto de 2013 y marzo de 2014 la cantidad de ataques mensuales asmartphones y tabletas se multiplicó casi diez veces, pasando de 69.000 a 644.000. La cantidad de usuarios atacados también aumentó con rapidez, pasando de 35.000 a 242.000.

Los teléfonos Android incluyen una opción en Ajustes, Seguridad y Administradores de dispositivos que permiten instalar o no aplicaciones que no son de la tienda de Google. Según ha explicado el analista de Kaspersky, Daniel Creus, "muchos usuarios se instalan cualquier tipo de aplicación porque no piensan que alguien pueda entrar en su teléfono. Lo que va unido también a la ingeniería social, que es la forma en la que se manipula a las personas teniendo como gancho la curiosidad humana, la avaricia y la ignorancia de ciertos temas".

"Si envías un mail diciendo sencillamente a la otra persona que abra una aplicación, lo normal es que sospeche. Si por el contrario escribes un texto personalizado llamándole por su nombre, explicando que tiene que ver un documento que guarda relación con algo que le interesa y que lo abra a pesar de que aparecerá un aviso de que necesita activar una pestaña en su menú de Ajustes, en muchos casos terminarán haciéndolo".

Opinión compartida por Fernando de la Cuadra, director de Educación de Eset: "Siempre picamos. Para engañar a alguien solo hace falta escribir algo que resulte de su interés como por ejemplo las fotos robadas a las famosas. Todo el mundo pincha".

Para evitar que la víctima se percate de que la aplicación es maliciosa se puede camuflar con el nombre de otra inofensiva. Hay versiones de Androrat por ejemplo que ya vienen con otras terminaciones o incluso iconos para no levantar sospechas en la pantalla del móvil.Hay usuarios que tienen decenas de aplicaciones sin saberlo. No miran los permisos ni saben lo que se descargan"Si el usuario se percata del nombre real de la aplicación espía no la ejecutará. Si no se fija o está camuflada se colará entre el resto que tenga. Hay algunos que tienen decenas de appssin saberlo. No miran los permisos ni saben lo que se descargan. Esto es porque la gente no tiene conciencia de seguridad en los teléfonos móviles", ha concluido Josep Albors.

Para no ser víctima de un ataque a estos niveles la mayoría de expertos coincide en que bastaría con comprobar bien cada aplicación que nos descargamos metiéndonos en cada una de ellas para asegurarnos de que es lo que dice ser. Si nos encontramos con una sospechosa, lo mejor es eliminarla. Tomar las precauciones necesarias merece la pena. Nuestra información y datos personales dependen de ello.

Autor: Alberto G. Luna