Heartbleed afecta también a las aplicaciones móviles

[wolfbcn]

Un informe de la empresa de seguridad Trend Micro alerta que las apps que ofrecen la posibilidad de comprar desde el móvil son vulnerables al fallo

MADRID, 15 (Portaltic/EP) Las aplicaciones móviles son tan vulnerables a Heartbleed como las páginas web y las herramientas para navegadores móviles, servicios de compra online, banca o apps de licitación. Esto se debe al hecho de que la mayoría de las apps ofrecen la posibilidad de comprar desde la aplicación. Esta es una forma segura de conseguir más víctimas con esta vulnerabilidad, como ha transmitido Trend Micro a través de un comunicado publicado en su blog oficial.

Más de 600 de los principales 10.000 sitios de internet, tomando como base el ránking de Alexa, son vulnerables al fallo de seguridad Heartbleed, según ha concluido una prueba llevada a cabo por el sistema de control colaborativo de revisión y desarrollo de software Github. En el momento del análisis, entre los afectados se encontraban sitios tan relevantes como Yahoo, Flickr, OkCupid, la revista Rolling Stone y el medio tecnológico Ars Technica, como ha explicado el analista de amenazas móviles de Trend Micro, Veo Zhang.

En el supuesto de que un usuario esté a punto de pagar una compra realizada desde una app, y que para hacerlo tenga que introducir los datos de la tarjeta de crédito, la aplicación móvil finaliza la transacción. Pero mientras el usuario sigue con sus cosas, los datos de la tarjeta de crédito se almacenan en el servidor con el que se ha realizado la transacción de la app móvil y pueden permanecer allí por un período de tiempo indeterminado. Basta que los ciberdelincuentes aprovechen el error Heartbleed y se dirijan a ese servidor para extraer la información que almacena, entre la que se encuentra el número de tarjeta de crédito. Es tan sencillo y fácil como esto.

¿Qué pasa con las apps que no ofrecen compras desde la aplicación? ¿Están a salvo de esta vulnerabilidad? En realidad no. Cualquier app que se conecte online a un servidor es vulnerable, incluso si una tarjeta de crédito no está involucrada en la operación.

Por ejemplo, una aplicación podría pedir al usuario hacer "me gusta" en una red social, o "seguir" a otra persona para conseguir premios gratis. Si el usuario decide hacerlo, y pulsa "OK", lo más probable es que su aplicación abra el sitio web por su cuenta, a través del propio navegador de la app, y tenga que iniciar la sesión en la red social desde allí. Si bien, no se ha dicho que las redes sociales a las que acceda el usuario sean vulnerables al fallo Heartbleed, lo cierto es que la posibilidad existe, y por lo tanto, el riesgo también.

Trend Micro ha escaneado más de 390.000 aplicaciones de Google Play, y ha encontrado que alrededor de 1.300 aplicaciones pueden ser vulnerables. Entre ellas, hay 15 aplicaciones relacionadas con bancos, 39 con servicios de pago online y 10 están relacionadas con tiendas online. Asimismo, la compañía ha encontrado varias aplicaciones populares que muchos usuarios utilizan a diario, como aplicaciones de mensajería instantánea, de salud, de configuración de teclado y, lo que más preocupa, aplicaciones de pago por móvil.

Estas aplicaciones utilizan minería de datos de información sensible, tanto personal como financiera, y sólo hace falta que los cibercriminales estén listos para recogerla. Ante la cuestión de qué se puede hacer, Veo Zhang ha indicado que "No mucho, me temo". "Le diríamos que cambiara su contraseña, pero eso no ayudará a los desarrolladores de aplicaciones ni tampoco a los proveedores de servicios web. No solucionaría totalmente el problema. Para estar fuera de peligro sería necesario actualizar los sistemas instalando la versión parcheada de OpenSSL, o al menos una de las versiones no vulnerables".

Hasta entonces, lo que Trend Micro ha aconsejado es dejar de realizar compras desde la aplicación o cualquier transacción financiera durante un tiempo, incluidas actividades bancarias, hasta que el desarrollador de su aplicación emita un parche que elimine la vulnerabilidad.

http://www.lavanguardia.com/tecnologia/moviles-dispositivos/aplicaciones/20140415/54405038972/heartbleed-afecta-tambien-aplicaciones-moviles.html