Apple emite una actualización de seguridad urgente para todos los usuarios de iPhone, iPad y Mac
Citizen Lab, que denominó al exploit Forcedentry, dijo que la vulnerabilidad de seguridad hace que todos los dispositivos de Apple sean susceptibles de ser espiados
Apple ha publicado un parche de software crítico para corregir una importante vulnerabilidad de seguridad, después de que unos investigadores descubrieran que un programa espía podía aprovecharla para piratear directamente los iPhones y otros dispositivos de Apple sin que el usuario hiciera ni un solo clic.
Los investigadores del Citizen Lab de la Universidad de Toronto precisaron que encontraron archivos de imagen maliciosos que se transmitían al teléfono de un activista saudí, que deseaba permanecer en el anonimato, a través de la aplicación de mensajería instantánea iMessage. A continuación, el dispositivo fue pirateado por el programa espía Pegasus, desarrollado por el grupo israelí NSO, según afirmaron.
Citizen Lab, que denominó Forcedentry al exploit de iMessage, afirmó que la vulnerabilidad de seguridad hace que los teléfonos sean susceptibles de ser escuchados y de sufrir un robo de datos a distancia, y que se aplica a todos los dispositivos de Apple. Los forenses revelaron que el teléfono del activista había sido infectado en marzo, y añadieron que los archivos maliciosos hicieron que el teléfono se estropeara.
La vulnerabilidad se encontró en el iPhone del activista el 7 de septiembre, tras lo cual Citizen Lab indicó que había alertado inmediatamente a Apple. El grupo NSO licencia su herramienta de software espía Pegasus a las agencias gubernamentales y a las fuerzas policiales para investigar actividades delictivas, pero el investigador de Citizen Lab Bill Marczak declaró: “no atribuimos necesariamente este ataque al gobierno saudí”.
En un comunicado, NSO Group afirmó que seguirá proporcionando herramientas para luchar contra “el terror y la delincuencia”.
Pegasus, que también es un exploit de “cero clics”, no requiere que los usuarios hagan clic en ningún enlace sospechoso ni que abran archivos infectados, y se considera la cúspide de la tecnología de vigilancia, ya que permite a los hackers entrar en el teléfono de una persona sin alertar a la víctima.
Apple, en una entrada de su blog, señaló que estaba emitiendo una actualización de seguridad para iPhones y iPads porque un archivo PDF “maliciosamente elaborado” podría conducir a la piratería. El jefe de seguridad de Apple, Ivan Krstic, también emitió un comunicado en el que decía que “tras identificar la vulnerabilidad utilizada por este exploit para iMessage, Apple desarrolló y desplegó rápidamente una solución en iOS 14.8 para proteger a nuestros usuarios”.
Añadió que en el pasado, el desarrollo de este tipo de exploits solía costar millones de dólares y solía tener una vida útil corta. Aunque por el momento no está claro cuántos usuarios de Apple podrían haber sido atacados utilizando esta vulnerabilidad, Krstic mencionó que tales exploits “no son una amenaza para la inmensa mayoría de nuestros usuarios”.
Los usuarios deberían recibir alertas en sus iPhones para actualizar el software iOS del teléfono. La actualización crítica se produce antes de un evento de Apple, el martes, en el que la empresa tecnológica tenía previsto presentar un nuevo producto.
Citizen Lab alegó que sus hallazgos socavan la afirmación de la empresa israelí de que vende software a las fuerzas del orden para su uso contra delincuentes y terroristas y que audita a los clientes para asegurarse de que Pegasus no se utiliza de forma indebida.
“Si Pegasus sólo se utilizara contra delincuentes y terroristas, nunca habríamos encontrado este material”, afirmó Marczak.
A principios de julio, un consorcio mediático mundial publicó una serie de informes sobre el uso de Pegasus para espiar a periodistas, activistas, líderes de la oposición y disidentes políticos.
Los informes revelaron que el teléfono de la prometida del periodista del Washington Post, Jamal Khashoggi, estaba infectado con el software apenas cuatro días después de que fuera asesinado en el consulado saudí de Estambul en 2018. La CIA responsabilizó al gobierno saudí del asesinato.
Las revelaciones también provocaron protestas en el Parlamento contra el Gobierno del primer ministro indio, Narendra Modi, por el presunto uso del software espía contra opositores políticos. Hasta ahora, el gobierno no ha aceptado ni negado las acusaciones de espionaje.
En Hungría, las denuncias de espionaje llevaron a pedir una investigación contra el gobierno de derecha, mientras que en Francia el gobierno también está tratando de investigar las acusaciones de que un servicio de seguridad marroquí no identificado utilizó Pegasus para apuntar al presidente Emmanuel Macron y a los miembros de su gobierno en 2019. Marruecos, aliado de Francia, ha negado las acusaciones.
Informes adicionales de las agencias