Es uno de los mayores escándalos cíber del año y afecta directamente al gobierno estadounidense. A comienzos de mayo, el sitio de investigación 404 Media reveló que algunas agencias federales estadounidenses, como la U.S. Customs and Border Protection, utilizan una versión clonada y modificada de la aplicación Signal.
Esta aplicación, ofrecida por la empresa israelí TeleMessage, fue adoptada por el gobierno estadounidense porque permite archivar las conversaciones de sus miembros, una práctica legalmente obligatoria en las instituciones federales del país.
Sin embargo, al transferir las conversaciones a un servidor de terceros para archivarlas, el propio funcionamiento de este clon anula de hecho el cifrado de extremo a extremo que está en el centro de la identidad y de la seguridad de la aplicación Signal.
El clon en cuestión, llamado TM SGNL, habría sido pirateado en cuestión de minutos. Unas semanas más tarde, 410 GB de datos procedentes de ese pirateo aparecieron publicados en línea.
Los datos de la aplicación oficial también expuestos
El clon desarrollado por TeleMessage se apoya en la misma arquitectura que la aplicación oficial Signal: ambas versiones son interoperables y pueden comunicarse sin restricción.
A diferencia de la versión original, el clon archiva sistemáticamente los mensajes en claro en un servidor de terceros, el de TeleMessage. Así, cualquier persona que intercambie mensajes con un usuario del clon ve sus mensajes exfiltrados sin saberlo, incluso si utiliza la versión oficial de Signal. Esta interoperabilidad hace posible el compromiso de conversaciones iniciadas desde un entorno seguro.
Además, el problema va más allá de Signal: TeleMessage ofrece también versiones modificadas de otras aplicaciones populares como WhatsApp, Telegram o WeChat, todas conectadas a la misma infraestructura de recogida y archivo, ahora comprometida.
Un pirateo en unos minutos, explotando vulnerabilidades del código fuente
Este pirateo se explica por una serie de errores técnicos elementales. Los desarrolladores de TeleMessage habían dejado los archivos completos del código fuente de Android e iOS libremente accesibles en su propio sitio web, incluida una carpeta .git con todo el historial de desarrollo, así como credenciales sensibles incrustadas en el código. Esta exposición pública permitió a varios investigadores de seguridad analizar de inmediato el funcionamiento de la aplicación y descubrir vulnerabilidades críticas.
En solo veinte minutos, uno de ellos pudo demostrar la posibilidad de interceptar conversaciones, probando así que TeleMessage tenía la capacidad técnica de acceder a los mensajes en claro, en total contradicción con el nivel de seguridad prometido. El pirateo no requirió por tanto ni una intrusión sofisticada ni un fallo de día cero, sino simplemente la explotación de un código fuente dejado en libre acceso y de prácticas de desarrollo básicas mal dominadas.
El atacante pudo acceder a:
- mensajes en texto claro, intercambiados por miembros de la U.S. Customs and Border Protection, pero también por empleados de grandes empresas como el gigante de las criptomonedas Coinbase,
- credenciales y contraseñas de usuarios,
- metadatos que detallan los contactos, las horas, los contenidos y otra información contextual asociada a los intercambios.
Un análisis técnico completo de este compromiso, realizado por el periodista Micah Lee, está disponible en su sitio: Leer el análisis completo.
Un fallo sistémico, no un caso aislado
Por desgracia, este asunto no es una anomalía rara ni un accidente aislado: es la ilustración de una práctica extendida y de riesgos profundamente arraigados en el ecosistema de aplicaciones.
La clonación y modificación de aplicaciones es una práctica extremadamente habitual, realizada a menudo sin un análisis real del impacto que tiene en la seguridad. Puede tratarse de aplicaciones modificadas para incorporar una funcionalidad de negocio, como aquí, o en otros casos modificadas con fines de fraude o maliciosos: elusión de sistemas de pago, inyección de código espía, recogida silenciosa de datos personales…
Incluso sin intención maliciosa, estas modificaciones debilitan o anulan los mecanismos de seguridad nativos de las aplicaciones de origen.
La lección: las aplicaciones móviles deben probarse
Este escándalo recuerda una verdad a menudo desatendida: ninguna aplicación puede considerarse segura por defecto, sea popular, de código abierto o incluso aparentemente validada.
Este principio se aplica a todos los contextos de uso:
- El uso de aplicaciones de terceros
Todas las aplicaciones ejecutan comportamientos invisibles a simple vista y, cuando se usan en la empresa, esos comportamientos pueden derivar en vulneraciones de datos o en fraude. Pradeo dispone de soluciones para probar y controlar la seguridad de las aplicaciones de terceros utilizadas en el marco profesional de forma automatizada o a demanda. Permiten identificar los comportamientos de riesgo (manipulación de datos, conexiones, malware, tracking…) para calificar rápidamente la fiabilidad de una aplicación.
- El desarrollo y la publicación de aplicaciones
Se trate de una aplicación de negocio o de consumo, es esencial detectar los riesgos desde la fase de desarrollo y mantener esos controles a lo largo de todo el ciclo de vida de las aplicaciones. La suite de herramientas AppSec Yagaan powered by Pradeo ofrece soluciones AST (Application Security Testing) y MAST (Mobile Application Security Testing) que permiten analizar el código fuente y/o binario de las aplicaciones móviles y web, localizar en ellas fallos de seguridad (vulnerabilidades, fugas de datos…) y corregirlos con sencillez.
