Así actúa el arma de ciberespionaje de la CIA para intentar espiar tu «smartphone»

El «tuit» que lanzó Wikileaks este lunes, en el que aseguraba que la CIA podía saltarse el cifrado de Signal, Telegram y WhatsApp para poder espiar a los usuarios «es sensacionalista», explica a ABC Raúl Siles , Fundador y Analista de seguridad de DinoSec . Y es que la organización, tal y como detalla posteriormente en el documento, especifica cómo la autoridad estadounidense puede espiar «tras comprometer los dispositivos móviles interceptados» . Es decir, la CIA puede espiar las conversaciones de WhatsApp de un usuario siempre y cuando antes haya «hackeado» el dispositivo.

«Si han interceptado el teléfono móvil, sí pueden espiar todos tus movimientos», explica el experto, puesto que tienen acceso a las conversaciones de WhatsApp antes de que sean encriptadas . También saben cuál es el comportamiento de navegación del usuario, pueden acceder a las fotografías que guarda en su dispositivo. Estamos, aparentemente, de un nuevo caso de ciberespionaje , aunque se desconoce por ahora su verdadero alcance. Lo que evidencia este nuevo caso es que los servicios de inteligencia han hallado la forma de acceder directamente a un dispositivo al vulnerar su sistema operativo y no mediante una fractura de los sistemas de cifrado implantados por aplicaciones tipo WhatsApp. También, relatan los documentos, la CIA ha desarrollado una forma de «escuchar» los micrófonos de los televisores y teléfonos móviles inteligentes.

Con ello se ha vuelto a poner en el punto de mira a las empresas tecnológicas más importantes, acusadas de estar en connivencia con los servicios de inteligencia norteamericanos para favorecer la lectura y acceso a los distintos dispositivos. Pero lo que verdaderamente pone de manifiesto esta filtración son las excesivas vulnerabilidades que existen en los dispositivos conectados. « A día de hoy, para un usuario medio, los mecanismos de cifrado de WhatsApp son seguros », afirma este experto. Cabe recordar que la popular «app» de mensajería instantánea introdujo el cifrado «end to end» en abril del año pasado. «Sin embargo, -continúa el experto- para mandatarios, personalidades lo mejor es que eviten WhatsApp porque trabajan con documentos sensibles».

De acuerdo a los documentos filtrados, la CIA cuenta con las herramientas adecuadas -apiladas bajo el sobrenombre Vault 7 - para penetrar en teléfonos inteligentes, ordenadores e incluso televisores a fin de robar y acceder a datos personales de los usuarios, saltándose hasta el cifrado de la aplicación WhatsApp o convertir los dispositivos en «micrófonos encubiertos».

Pero, ¿cómo actúa? ¿Cómo es capaz de acceder a los datos? Según WikiLeaks, la CIA ha puesto en marcha unos 500 proyectos -cada uno con sus propias herramientas- para penetrar y controlar dispositivos informáticos . Los expertos en seguridad consultados por ABC confirman que se requiere tener acceso físico al dispositivo de la víctima aunque, según los datos filtrados, el organismo aprovecha vulnerabilidades de «Días Cero» -aquellos en los que se desconoce la presencia de algún tipo de vulnerabilidad conocida- para sus ataques, que vienen en varios tipos: o infectar de código malicioso («malware») propio o «exploit» para, posteriormente, espiar a una persona en concreto.

Para Alberto R. Rodas , Ingeniero Preventa de Sophos para España y Portugal, lo que se ha revelado es que los servicios de inteligencia de EE.UU. «tienen muchos tipos de herramientas para distintos tipos de dispositivos». En el caso del iPhone , terminal fabricado por Apple, Wikileaks asegura que se puede realizar un ataque persistente, aunque esta herramienta « requiere de acceso físico al terminal », lo que puede reducir el alcance del ciberespionaje.

En su opinión, «hay mucho más mito detrás de todo esto y mucha más fantasía que realidad» a pesar que cuentan con «herramientas potentes», pero en muchos casos se tratan de vulnerabilidades de Día Cero que suelen publicarse actualizaciones periódicas por parte de la firma desarrolladora. El software de la CIA se basa en vulnerabilidades descubiertas en dispositivos «y muchas de ellas ya eran conocidas» .

A su juicio, «no todo es totalmente nuevo». Este experto insiste en que hay herramientas que son muy potentes, pero algunas requieren acceso físico al dispositivo, lo que obliga a tener que interactuar con el dispositivo de la víctima, «y eso no es fácil». Con ello, cree que el empleo de este tipo de software de ciberespionaje «no es masivo, sino puntual para objetivos concretos». Es por ejemplo una aplicación que se ha filtrado, « Weeping Angel », presente en las tiendas de aplicaciones algunos modelos de televisores inteligentes de Samsung y que supuestamente es capaz de grabar las conversaciones cercanas al radio de alcance del micrófono del televisor mientras se encuentra en un «falso apagado».

Por su parte, Carlos León , experto en seguridad forense y delitos informáticos, asegura que en materia de seguridad informática « todo es posible, por más que digan que no ». En su opinión, gran parte de los potenciales ataques vienen por el uso que le dan los propios usuarios a sus dispositivos, muchas veces inconscientes de los peligros que conlleva la instalación de una determinada aplicación capaz de contener « malware ».

De esta forma, « no se necesita tener acceso físico ». Puede ser un juego móvil infectado que descarga una serie de archivos espía , aunque este experto también considera que este método de ataque es propio de los piratas informáticos.«Dentro de lo que cabe, hay que tener en cuenta es que no están espiando a cualquiera, sino que pueden estar haciendo a un seguimiento a una persona en cuanto haya una sospecha».

Los documentos aseguran que un software espía utilizado por la CIA permite rodear el sistema de cifrado de aplicaciones de mensajería de «extremo a extremo» como WhatsApp o Signal y, de esta forma, recopilar desde las conversaciones a las notas de voz enviadas «antes de que se aplique el cifrado». Pero eso lo consigue, únicamente, accediendo al propio dispositivo, es decir, «hackeandolo», rompiendo su seguridad y no tanto a una aplicación concreta.

Pero en este sentido, Raúl Siles recuerda: «Aunque el cifrado de extremo a extremo es bastante seguro, no impide que WhatsApp tenga acceso a los metadatos , es decir, quien habla con quién y con qué frecuencia». Aunque la «app» no puede acceder al contenido por el cifrado, sí accede a los contactos y eso está recogida en las condiciones de uso de la plataforma . La «guerra» por el control de la información ya no está en la información pura y dura, sino en los contactos: quien habla con quien y las relaciones que se establecen, apunta Siles.

Tras conocerse las informaciones publicadas por Wikileaks, las principales empresas tecnológicas han salido al paso para defender sus productos y han mostrado, a su vez, su preocupación al respecto de la posible intervención de la CIA para «hackear» dispositivos y usarlos para espiar. Desde Telegram , aplicación de mensajería instantánea que en los últimos años ha presumido de ser 100% robusta, defienden que ni colaboran con los servicios de inteligencia ni su plataforma es «hackeable» y la plataforma con afecta a una aplicación en concreto sino a los sistemas operativos iOS (Apple) y Android (Google), los más extendidos y utilizados del mundo.

«Nombrar cualquier aplicación en particular en este contexto es engañoso», asegura en un comunicado el fundador de Telegram, Pavel Durov , quien considera que tras las revelaciones de Wikileaks los fabricantes de dispositivos y sistemas operativos como Apple y Google obtendrán estos códigos para empezar a solucionar los supuestos agujeros de seguridad. «Esto requerirá muchas horas de trabajo y muchas actualizaciones de seguridad, pero eventualmente deberían ser capaces de resolver la mayoría de los problemas», insiste.

Pero si las compañías de las aplicaciones de mensajería no han cometido errores de seguridad que hayan facilitado el «hackeo» de la CIA, sí podrían haberlos cometido los fabricantes. «Es decir, si las aplicaciones no están actualizadas, o fabricantes de un dispositivo móvil no actualiza el sistema, como por ejemplo muchos fabricantes de dispositivos móviles Android, y están ofreciendo versiones vulnerables, tendrían mucho que decir », apunta Raúl Siles.

Facebook ha señalado a ABC que los equipos de seguridad están « revisando el contenido » de los documentos para elaborar una posición de empresa, aunque fuentes de la compañía han adelantado que por ahora no existe ninguna garantía y seguridad que el sistema de cifrado utilizado en algunas de sus aplicaciones como WhatsApp o Messenger se ha vulnerado.

Apple, Samsung y Microsoft han reaccionado en la misma línea. Por partes, la firma de la manzana ha señalado en un comunicado que está «trabajando constantemente para mantener la seguridad» y que muchas de las vulnerabilidades filtradas ya estaban resueltas en la actualización de iOS». Por su parte, el gigante coreano se ha referido a este caso: «Estamos comprometidos a proteger la privacidad de los consumidores y la seguridad de nuestros dispositivos porque es una prioridad», mientras que la firma desarrolladora del sistema Windows ha declarado: « Somos conscientes del informe y lo estamos investigando ». Google , por ahora, se ha negado a comentar acerca de las acusaciones de si la CIA ha sido capaz de «penetrar y controlar» los teléfonos Android.