Ningún dispositivo inteligente es invulnerable. A pesar de los esfuerzos de las tecnológicas para mejorar la seguridad de sus sistemas, siempre hay brechas, vulnerabilidades, por las que un actor malicioso puede penetrar con el objetivo de robar información a la víctima. Precisamente, eso es lo que hace NSO Group, empresa israelí detrás de Pegasus, el código espía que, hace exactamente un año, fue empleado para robar datos de los terminales del presidente del Gobierno de España, Pedro Sánchez, y de la ministra de Defensa, Margarita Robles.
Por abc.es
En conversación con ABC, Josep Albors, jefe de investigación y concienciación de la empresa de ciberseguridad ESET, señala que el principal valor de NSO no es, precisamente, Pegasus, código que es capaz de recopilar la práctica totalidad de información que almacena un terminal. La compañía llama la atención, principalmente, por el amplio abanico de vulnerabilidades que conoce.
«Han conseguido penetrar en dispositivos de varias formas. La tradicional es el uso de enlaces a través de mensajes SMS y de plataformas de mensajería instantánea. En estos casos intentan convencer al usuario para que haga ‘clic’ en el enlace. Sin embargo, también cuentan con formas de conseguirlo más avanzadas», apunta Albors.
Entre las formas de explotar vulnerabilidades más avanzadas, entre las que se sabe que ha utilizado la compañía hasta la fecha, se encuentran las ‘zero click‘, aquellas en las que no hace falta que el usuario pulse encima de un enlace para que el software, en este caso Pegasus, termine instalado en el terminal.
«Conociendo estas vulnerabilidades de día cero, para las que las empresas no tienen parche de seguridad muchas veces, se aprovechan para poder proceder a la infección. En el caso de Apple se han detectado casos en los que solo han necesitado acceso al número de teléfono y al ID de Apple para conseguirlo», dice el experto.
¿Cómo encuentran los agujeros?
Precisamente, la tecnológica detrás de los terminales iPhone se vio obligada a lanzar el pasado octubre una actualización de su sistema operativo después de que supiese que NSO había estado meses abusando de una vulnerabilidad que permitía acceder a sus terminales sin que el usuario tuviese que pulsar encima de ningún hipervínculo. El agujero de seguridad recibió el nombre de Forcedentry y permitía al cliente de la empresa israelí tomar el control del móvil, simplemente, enviando un GIF a través de la plataforma de mensajería iMessage (Mensajes, en castellano).
Este fallo, según explica Albors, estuvo siendo explotado por NSO entre los meses de febrero y octubre de 2021. Teniendo en cuenta que el ‘hackeo’ al Gobierno se produjo entre mayo y junio, y que Sánchez es usuario de un terminal iPhone -como se ha podido ver en varias imágenes recientes del presidente-, Forcedentry podría haber sido el agujero escogido para infectar su móvil con Pegasus.
Para conseguir acceder a estas vulnerabilidades, NSO puede seguir distintos procedimientos. Por un lado, se encuentra la búsqueda de agujeros en los sistemas que quieren infectar, un trabajo similar al que realizan empresas de ciberseguridad y ‘hackers’ éticos. Sin embargo, a diferencia de estos, la empresa no comunicaría a la compañía afectada el hallazgo. En su lugar, se lo guardaría con el objetivo de explotarlo. «Pueden tanto buscarlas como pagar morteradas de dinero para tener acceso a ellas», remarca Albors.
Las vulnerabilidades son una importante fuente de negocio para el cibercrimen en la ‘Dark Web‘. Y cuanto más sofisticado sea el agujero, y más terminales permita ‘hackear’, más valor tiene. Precisamente, los de ‘zero clic’ se encuentran entre los más codiciados.