Un fallo de seguridad en los móviles Android permite acceder a la información del usuario

DESCUBIERTO EN ALEMANIA

El problema afecta a todos los teléfonos que no hayan actualizado a la última versión y accedan a wifis por defecto

EL PERIÓDICO / Barcelona

Expertos informáticos de la Universidad de Ulm, al sur de Alemania, han descubierto un grave fallo de seguridad en el sistema Android de Google que utilizan móviles y tabletas que permite ataques malintencionados a sus propietarios. El fallo afectaría a todos los móviles con versiones de software anteriores a la 2.3.3, es decir, todas menos la última, que solo sería vulnerable para las fotos. En las tabletas, sin embargo, no han podido probarlo.

La agresión externa puede producirse en el momento en el que el usuario utiliza una wifi no protegida y permite al atacante acceder a todos los servicios que el usuario tenga con Google, como su agenda, su lista de contactos, su correo electrónico o fotografías almacenadas en Picasa.
El grave fallo de seguridad en el sistema Android, que podría afectar al 99% de sus usuarios, ha sido descubierto por el equipo "IT-Security" de la Universidad de Ulm que dirige Bastian Könings y ya ha sido comentado en foros especializados.
La brecha permite al atacante incluso "asumir la identidad del usuario para acceder a los servicios personales" de Android y acceder tanto a su agenda como a su lista de contactos u otros datos que haya confiado al sistema.

No activar la conexión wifi por defecto

Könings subraya en Spiegel Online que un ataque así es muy sencillo, ya que "no hace falta ni tener estudios" y abre las puertas tanto a stalker como a criminales que, por ejemplo, desean saber cuando alguien está ausente de su vivienda. Explica que el atacante no tiene más que abrir conectarse a una red wifi y atribuirle un nombre frecuente como, por ejemplo, "FreePublicWifi" que habitualmente utilizan cadenas de cafeterías o salas de espera de aeropuertos.
Todo móvil con sistema Android que se encuentre en el radio de acción de ese punto de acceso (hotspot) y ha accedido anteriormente a una red del mismo nombre se registrará de manera automática en el nuevo sistema de abierto y gratuito sin que su propietario, si tiene activada por defecto la conexión wifi, ni tan siquiera se dé cuenta. Es decir, mantener siempre por defecto la conexión 3G.

Durante 15 días

El atacante podrá entonces, una vez que se sincronicen la agenda y las aplicaciones de contactos y fotografías con los servicios de Google capturar absolutamente todos los datos, incluso determinados registros de autentificación, los llamados tokens, que se mantienen durante "un máximo de dos semanas" inalterados, explica Könings, y el atacante que accede a ellos puede libremente manipular a su gusto la agenda, lista de contactos o las fotografías "on line" de su víctima, capturando su contenido o introduciendo incluso nuevos archivos.
Spiegel Online señala que Google fue advertida hace ya un tiempo por Könings del fallo de seguridad, que actualmente verifica, aunque no ha querido hacer declaraciones.