Se ha informado que el importante ataque a iPhones de la semana pasada también se dirigió a teléfonos Android y ordenadores con Windows.
Google insinuó la participación de una nación en su comunicado, pero un informe distinto da un nuevo giro a la historia al afirmar que dispositivos Windows y Android también estaban en la lista de objetivos.
Si es correcto, la inclusión de Windows y Android no debería sorprender: tiene sentido cuando se ataca a grupos específicos de personas a través de un pequeño grupo de sitios web el apuntar a tantos dispositivos informáticos como sea posible para no perder a nadie.
Por supuesto, nada de esto se puede verificar. Por ahora, se trata simplemente de fuentes anónimas que hablan con algunos periodistas y ofrecen información que, tal vez, nunca se confirme.
De hecho, el hecho de que se esté tomando en serio se debe en parte al hecho de que las empresas involucradas (Google, Microsoft, Apple) parecen no estar dispuestas a negarlo.
Significado más profundo
Sin embargo, otra forma de entender esta historia es señalar que quién y por qué es menos importante que cómo.
Lo que subraya esto es que el informe original de Google menciona que las víctimas no seleccionadas también se vieron afectadas por los ataques, lo que implica que cualquiera podría ser víctima de una futura campaña.
Según los informes, las víctimas fueron infectadas con spyware persuadiéndolas para que abrieran un enlace malicioso, una táctica genérica pero efectiva.
Según se informa, los dominios infectados fueron indexados por la búsqueda de Google (perfectamente normal si no se sabe que el dominio es malicioso), lo que llevó al FBI a pedirle a la empresa que los elimine de la lista.
El primer problema es lo que se ha hecho por las víctimas, tanto los afectados como los infectados como daño colateral.
La campaña se descubrió a principios de 2019 y se sabe que las vulnerabilidades de iPhone involucradas se han solucionado desde entonces, y el proceso de Apple para implementar parches es muy correcto. Sin embargo, si los dispositivos Android o Windows estaban involucrados, la línea de tiempo de revisión se vuelve menos segura porque las actualizaciones pueden ser opcionales y aparecer lentamente.
Vulnerabilidades a la venta
El riesgo es que cuando los grupos patrocinados por estados descubren vulnerabilidades que vale la pena explotar, y no los denuncian, les dan tiempo a los cibercriminales profesionales para que también los descubran (o, si no pueden, los roben).
A esto se suma el problema de las empresas de software que escriben spyware para ganarse la vida vendiendo sus herramientas a servicios de inteligencia, países y, controvertidamente, organizaciones comerciales. A veces puede parecer que los dos tipos de ataque, el malware dirigido por parte estados y el spyware comercial, se están fusionando en una sola industria.
No hay pruebas de que el spyware comercial esté conectado a la última campaña de iPhone, pero el crecimiento del sector puede haber causado un aumento en el precio asociado a las vulnerabilidades de día cero.
Empresas como Google, Apple y Microsoft ofrecen programas de recompensas por errores en parte para competir con el mercado ilícito de vulnerabilidades, y Apple recientemente elevó su recompensa por los errores más importantes a 1 millón de dólares.
Este mercado puede ser contenido pero no fácilmente detenido. Cuando los piratas informáticos pueden utilizar en un abanico de herramientas lleno de vulnerabilidades, todos tenemos algo que perder, sin importar quién esté detrás del ataque.
Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación:
