WiFi gratis, la mejor estrategia para robar datos
Roban los datos privados de 2000 dispositivos en la feria de tecnología más importante de Europa celebrada esta semana en Barcelona. Este podría haber sido el titular de una noticia que diera la vuelta al mundo y que provocara más de un despido entre grandes compañías de tecnología si no fuese porque se trata, únicamente, de un experimento llevado a cabo por Avast.
Móviles de última generación, periodistas de tecnología, jefes de producto de compañías de hardware y expertos en seguridad se dan cita esta semana en Barcelona en la celebración del MWC. Y teniendo en cuenta el conocimiento que se presupone a estos visitantes en materia de seguridad, parece extraño que más de 2000 dispositivos hayan caído en la trampa. Avast ha demostrado que no hace falta más que una simple red WiFi abierta y gratuita para obtener cantidades ingentes de datos personales de manera sencilla.
Y es que Avast, ha elegido esta feria, lugar donde se presupone un mínimo de instrucción en privacidad y seguridad de datos, para llevar a cabo un experimento: antes del inicio de la feria, Avast estableció en el aeropuerto de Barcelona una serie de hotspots, puntos de acceso WiFi abiertos y gratuitos. Dividió estos accesos en dos grupos: los primeros tenían nombres atractivos como “Mobile World Congress 2016″ o “Free Airport WiFi” y los segundos replicaban el SSID (el nombre de la red WiFi) de franquicias que ofrecen conexión gratuita habitualmente en sus establecimientos como “Starbucks”. El resultado: en menos de 4 horas más de 2000 usuarios habían utilizado los puntos de acceso sin ningún tipo de protección.
“Nos pareció interesante demostrar que lo único que hace falta para derribar la mayoría de sistemas de seguridad que incorpora un smartphone moderno es ofrecer algo gratis” afirma, para Gizmodo, Gagan Singh, presidente de la división de móviles de Avast “con el detalle añadido de realizarlo en un evento repleto de periodistas de tecnología, jefes de producto de compañías de hardware e incluso expertos en seguridad”.
Singh aclara no almacenaron ningún dato y que únicamente se limitaron a escanear el tráfico que pasaba por la red, lo que les permitió sacar ciertas conclusiones:
- El comportamiento de los dos grupos diferenciados era distinto: “En el primero los usuarios llegaban al aeropuerto después de un largo vuelo, leían ‘Mobile World Congress’ y “asumían que alguien había establecido esa red WiFi para ellos” explica Singh “el segundo es aún más interesante porque no nos hizo falta algún tipo de acción por parte del usuario, bastaba que se hubiese conectado previamente a un Starbucks, por ejemplo, para que el móvil se conectase automáticamente desde su bolsillo o maleta al detectar una red WiFi ya conocida y registrada”.
- En torno a un 50% utilizaban un dispositivo iOS, 42% Android y un 6% de usuarios Windows Phone.
- El uso mayoritario de la red se realizó en Google y en clientes de email.
- Más de la mitad tenía la aplicación de Facebook instalada, menos del 5% la de Twitter.
- En más del 60% de los casos Avast pudo detectar datos personales del usuario y el user agent (la “matrícula” del dispositivo, que indica el modelo y la versión). “Es gracioso porque vimos incluso registros de móviles aún no presentados que fueron anunciados oficialmente más tarde durante la feria en sí” continúa.
Por último, el 40% de móviles inmunes a la curiosidad de Avast Usaban VPNs, en su mayoría, según Singh. La compañía, obviamente, no ha realizado el experimento por amor al arte sino para promocionar dos aplicaciones como SecureLine VPN (Android, iOS) que permite conectarse a un VPN previo servicio de suscripción o SecureMe (iOS), que cifra de manera gratuita (con limitaciones) la conectividad WiFi de un iPhone.