Signal y Facebook Messenger permiten que los piratas informáticos te espíen: qué hacer

(Crédito de la imagen: Michele Ursi / Shutterstock)

Signal, Facebook Messenger, Google Duo y otras dos aplicaciones de videoconferencia y chat, JioChat y Mocha, podrían haber permitido que los espías escucharan a los usuarios de Android, reveló un investigador de Google.

Las fallas permitirían que una llamada se conectara a un dispositivo receptor sin alertar al usuario del dispositivo receptor de ninguna manera, abriendo silenciosamente una transmisión de audio y, a veces, un video al dispositivo de llamada. Todas las fallas han sido reparadas, así que asegúrese de actualizar las aplicaciones en sus dispositivos Android.

• Cómo cambiar de WhatsApp a Signal
• Las mejores aplicaciones de mensajería encriptada
Más: Cuidado: este enlace del navegador bloqueará su PC con Windows 10

• Ofertas de Black Friday: ¡mira las mejores ofertas ahora mismo!

`` Teóricamente, garantizar el consentimiento de la persona que llama antes de la transmisión de audio o video debería ser una cuestión bastante simple de esperar hasta que el usuario acepte la llamada antes de agregar pistas a la conexión entre pares '', escribió Silvanovich en una publicación de blog de Google Project Zero .

'Sin embargo, cuando miré las aplicaciones reales, permitieron la transmisión de muchas formas diferentes', agregó. 'La mayoría de estos condujeron a vulnerabilidades que permitieron que las llamadas se conectaran sin la interacción del destinatario'.

La falla de Signal se solucionó en la aplicación de Android del servicio en septiembre de 2019, y es poco probable que muchos usuarios de Signal sigan siendo vulnerables. La aplicación Signal para iOS no se vio afectada solo porque una segunda falla no relacionada impidió que se completara la llamada secreta, escribió Silvanovich en su informe de error .

Las otras cuatro aplicaciones de Android fueron parcheadas más recientemente: JioChat (ampliamente utilizado en India) en julio de 2020, Mocha (ampliamente utilizado en Vietnam) en agosto, Facebook Messenger en noviembre y Google Duo en diciembre de 2020. Si usa alguna de estas aplicaciones, asegúrese de que estén actualizados.

Es probable que aún haya más problemas por ahí

Silvanovich escribió que también examinó Telegram y Viber, otras dos aplicaciones de mensajería encriptada ampliamente utilizadas, pero no encontró problemas con las llamadas conectadas sin el conocimiento del receptor de llamadas. En noviembre de 2018, reveló una falla similar en las versiones de Android e iOS de WhatsApp que se arregló rápidamente.

Sin embargo, Silvanovich señaló que solo miraba las funciones de llamada uno a uno.

'No miré ninguna característica de llamadas grupales de estas aplicaciones', escribió. 'Esta es un área para el trabajo futuro que podría revelar problemas adicionales'.

La investigación de Silvanovich sobre estas aplicaciones de mensajería sigue una falla similar en Apple FaceTime en iOS y macOS que se descubrió en enero de 2019.

se watch vs serie 6

'La vulnerabilidad era un error lógico en la máquina de estado de llamadas de FaceTime', la parte de la aplicación que determina si una llamada está conectada o no, 'que podría ejercerse utilizando solo la interfaz de usuario del dispositivo', escribió Silvanovich.

'El hecho de que hubiera ocurrido una vulnerabilidad tan grave y de fácil acceso', agregó, 'me hizo preguntarme si otras máquinas estatales también tenían vulnerabilidades similares'.

Silvanovich se centró en las aplicaciones de Android en este caso particular, probablemente porque es más fácil examinar su código que los de las aplicaciones de iOS. Pero como muestran las instancias de FaceTime, WhatsApp y Signal, las aplicaciones de mensajería de iOS no son inmunes a estos defectos.

Cuando un usuario de Twitter le preguntó por qué no examinó el mensajero cifrado Threema, utilizado principalmente por hablantes de alemán, Silvanovich respondido que 'Miré aplicaciones con más de 10 millones de instalaciones en Google Play que aceptan llamadas entrantes'.