Robo de imágenes y contraseñas: vulnerabilidades en aplicaciones de transferencia de datos exponen los secretos de tu teléfono

Investigadores de la Universidad de Tecnología de Graz en Austria han revelado vulnerabilidades de seguridad generalizadas en las aplicaciones utilizadas para transferir datos en teléfonos Android.

Los investigadores afirmaron que las vulnerabilidades afectaban a las aplicaciones de transferencia de datos proporcionadas por siete grandes fabricantes de teléfonos que operan con el sistema Android: Google, Samsung, Xiaomi, Oppo, Vivo, Huawei y Honor. Esto convierte el problema en uno de gran alcance, dado la difusión global de los dispositivos de estas empresas.

El equipo de investigación, compuesto por expertos del Instituto de Seguridad de la Información de la Universidad de Graz y del Centro Austriaco de Tecnología de la Información Segura, explicó que los atacantes podían explotar algunas de estas vulnerabilidades simplemente estando dentro del rango de la conexión Wi-Fi utilizada durante la transferencia de datos, sin necesidad de acceso físico al teléfono.

Servidores externos

La gravedad de estas vulnerabilidades radica en que apuntan a una de las operaciones más sensibles en el uso de teléfonos inteligentes. El proceso de migración a un nuevo dispositivo implica transferir fotos, mensajes, contactos, aplicaciones y ajustes personales, y en ocasiones, datos de inicio de sesión e información médica almacenada en el dispositivo antiguo.

Las herramientas de transferencia de datos, conocidas a veces como aplicaciones de clonado de teléfonos, se basan en establecer una conexión inalámbrica directa entre los dos dispositivos, lo que permite la transmisión de información sin necesidad de servidores externos. Aunque este método es rápido y sencillo, los resultados mostraron que la conexión directa por sí sola no garantiza la protección de los datos frente a la interceptación.

Los investigadores probaron 7 aplicaciones, entre ellas Android Switch de Google, Smart Switch de Samsung, Mi Mover de Xiaomi, Clone Phone de Oppo, EasyShare de Vivo, Phone Clone de Huawei y Device Clone de Honor, y descubrieron puntos débiles de seguridad en todas las herramientas analizadas.

Los experimentos demostraron la posibilidad de interceptar la información intercambiada entre los dos teléfonos desde una distancia de entre 20 y 45 metros dentro de edificios, una distancia que podría permitir que una persona presente en una tienda contigua o en una habitación cercana espíe el proceso de transferencia de datos sin que el usuario note su presencia.

Cabe destacar que la ejecución de los ataques de prueba no requirió equipos avanzados; los investigadores utilizaron dispositivos cuyo costo era inferior a 100 euros, lo que indica que la explotación de las vulnerabilidades no está necesariamente limitada a entidades con recursos técnicos o financieros masivos.

Durante las pruebas, el equipo logró acceder a mensajes de texto, registros de llamadas, contactos y fotos, además de información más sensible, que incluía datos médicos, contraseñas de aplicaciones y credenciales de redes Wi-Fi guardadas en los teléfonos.

El problema no se limitó al espionaje y robo de información, ya que la investigación también reveló la posibilidad de inyectar software malicioso en algunos casos durante el proceso de migración, manipulando los paquetes de aplicaciones transferidos, lo que podría comprometer el nuevo teléfono durante su fase inicial de configuración.

El equipo advirtió que las tiendas de móviles y los centros de venta de electrónica podrían ser los lugares más expuestos a estos riesgos, debido a la frecuencia con la que se realizan transferencias de datos allí y a la concentración de un gran número de dispositivos y usuarios en espacios reducidos.

Vulnerabilidades de seguridad

Florian Draschbacher, coautor del estudio e investigador del Instituto de Seguridad de la Información de la Universidad de Graz, señaló que la amplia difusión de estas aplicaciones, su preinstalación en los teléfonos y su facilidad de uso hacen que el impacto potencial de las vulnerabilidades sea significativo.

Los investigadores indicaron que las aplicaciones analizadas superaban colectivamente los 12 mil millones de descargas, además de estar preinstaladas en muchos dispositivos Android, lo que refleja la extensión de las herramientas afectadas, aunque esto no significa que todos esos usuarios hayan sido comprometidos.

Los resultados formaron parte de una investigación presentada en la Conferencia Europea sobre Investigación en Seguridad Informática y de la Información en Roma, que reveló vulnerabilidades de seguridad, cinco de las cuales fueron clasificadas como de alto riesgo.

Los científicos notificaron a las siete empresas los resultados del análisis antes de hacerlos públicos, siguiendo el mecanismo de divulgación responsable de vulnerabilidades, que otorga a los desarrolladores la oportunidad de corregir los problemas de seguridad antes de publicar sus detalles.

Los investigadores confirmaron que las 7 empresas ya habían emitido actualizaciones de seguridad para abordar las vulnerabilidades detectadas, lo que implica que los resultados no demuestran que todas las versiones actuales de las aplicaciones sigan siendo susceptibles a ataques.

Los investigadores aconsejaron a los usuarios de teléfonos inteligentes asegurarse de actualizar las aplicaciones de transferencia de datos tanto en el dispositivo antiguo como en el nuevo antes de iniciar el proceso de migración, señalando que algunas correcciones pueden requerir la actualización completa del sistema operativo.

Los resultados ponen de manifiesto riesgos de seguridad que los usuarios pueden pasar por alto al cambiar de teléfono, y confirman que confiar únicamente en las aplicaciones oficiales no basta para garantizar la protección de la información personal, a menos que estén equipadas con las últimas actualizaciones de seguridad.