La empresa de seguridad Checkmark reveló un inquietante fallo en Android, el sistema operativo para dispositivos móviles de Google. Se trata de una aplicación que podría acceder a la cámara de nuestro teléfono, incluso aunque no le demos permiso, para hacer fotos o grabar cualquier conversación.
Hasta el momento no se conoce ningún caso en el que esta vulnerabilidad haya sido usada con fines maliciosos. Google al ser alertada de este problema, lanzó hace varios meses un parche de seguridad para sus teléfonos Pixel. Samsung hizo lo propio con sus productos. Eso sí, no hay datos sobre lo que hicieron otros fabricantes.
El fallo podría revelar nuestra ubicación exacta, pues el posible atacante tendría acceso a las fotos y vídeos que la cámara ha captado. Incluso se podría saber nuestra ubicación si tenemos activada la función de localización por GPS de las imágenes. El punto débil para detectemos un ataque es que veríamos activarse en la pantalla la cámara del teléfono.
Pero incluso eso podría ser evitado. Bastaría con activar la cámara cuando los sensores detectan que el teléfono está colocado boca abajo. Además, el atacante podría detectar cuando se produce una llamada al activarse el sensor de proximidad del rostro y comenzar a grabar la conversación. La vulnerabilidad incluso permite desactivar el sonido de disparo al hacer una foto.
Para lograr saber todo esto los investigadores de Checkmark crearon una aplicación que aprovecharía al máximo la vulnerabilidad detectada y lo registraron en un video que luego publicaron en su canal de YouTube.
Existe la duda de cómo es posible que algo tan importante para la seguridad del sistema operativo Android se haya podido producir. También resulta inquietante desconocer que fabricantes además de Samsung y Google lanzaron parches de seguridad.
No olvidemos que uno de los grandes problemas de Android es que la distribución de las actualizaciones del sistema dependen de cada fabricante. De hecho, algunas empresas, sobre todo las más pequeñas, apenas lanzan actualizaciones para sus terminales. Las hay que incluso no lanzan ninguna.
Así que sería bueno que Google y los diferentes fabricantes informen sobre si esta vulnerabilidad ha sido corregida mediante actualizaciones, o si al menos están en ello. Sobre todo porque al hacerse pública ahora podría realmente ser usada con fines maliciosos.
Es muy probable que Google también implante medidas de seguridad en su tienda Play Store de aplicaciones para que las apps no usen esta vulnerabilidad. Pero es sabido que debido al enorme número de aplicaciones que se publican, muchas burlan las medidas de seguridad de esta tienda.
También cabe preguntarse si la empresa Checkmark no ha actuado de forma un tanto temeraria al hacer público este fallo. Si hasta la fecha había pasado inadvertida para los creadores de malware, estos ahora saben que tienen una puerta abierta si algunos fabricantes no han parcheado sus teléfonos.
Pero si hay algo que puede sacarse en claro de este caso es el grave, y viejo, problema que existe con las actualizaciones de seguridad. Google y el resto de la industria deberían intentar solucionarlo lo antes posible. Android no puede seguir siendo el sistema operativo más usado del mundo sin garantizar que un teléfono reciba durante años actualizaciones de seguridad.
