Esta misma semana hemos sabido que WhatsApp, la app de mensajería más popular del planeta con más de 1,500 millones de usuarios, ha sufrido en las últimas semanas un ciberataque que ha permitido a los hackers hacerse con el control de varios smarphones sin que sus dueños se diesen siquiera cuenta.

Este sofisticado ciberataque es un buen recordatorio de que los grandes de la tecnología, por muchas medidas de seguridad y medios económicos que tengan, no son invulnerables.

El ataque fue detectado por WhatsApp a principios de mayo y ya se han distribuido los parches de seguridad para neutralizarlo. Este ataque nos recuerda también la importancia de mantener nuestras apps permanentemente actualizadas para no dejar la puerta abierta a estas vulnerabilidades.

Un ataque con firma israelí

 “Este ataque, que toma el control del sistema operativo de los móviles, lleva todas las marcas de una empresa privada conocida por su trabajo creando virus informáticos para gobiernos,” ha declarado Facebook en un comunicado. “Nos hemos puesto en contacto con una serie de organizaciones de defensa de los derechos humanos para compartir la información de la que disponemos y para trabajar con ellos para mantener informada a la sociedad civil.”

Según Financial Times, el medio que destapó la noticia, la empresa a la que alude Facebook, es NSO, especializada en ciberataques. La empresa no ha negado la acusación, aunque sí ha precisado que no fueron ellos los que escogieron a las víctimas de los ataques. NSO, según fuentes del FT, trabaja para distintos servicios de inteligencia creando programas que permiten tomar el control de dispositivos móviles.

El producto estrella de NSO es un software llamado Pegasus que permite tomar el control de la cámara y el micrófono de los teléfonos móviles para ver y escuchar todo lo que dicen sus usuarios.

El ataque afectó a varios grupos de activistas pro derechos humanos entre los que se encuentra un abogado británico que representa a varios grupos que han denunciado a la empresa NSO.

Un Zero Day Bug

El ataque a WhatsApp ha explotado lo que en la jerga de ciberseguridad se denomina un Zero Day Bug, es decir, una amenaza que explota una vulnerabilidad desconocida y que, por lo tanto, ha pasado desapercibida para los desarrolladores. En cuanto el fallo es detectado, los creadores del programa tienen que crear un parche de seguridad y distribuirlo en el menor tiempo posible para darles el menor margen posible a los hackers para que puedan aprovecharse del ataque.

La mecánica del ataque consistía en hacer una llamada por WhatsApp al teléfono de la víctima, esta llamada entrante instalaba un código en el teléfono que la recibía, aunque el usuario no contestase. Una vez instalado el código, el hacker se hacía con el control del aparato. El ataque era muy difícil de detectar porque las llamadas eran borradas del historial.