Hacking Team y la vulnerabilidad de un usuario común

Hacking Team, la empresa que afirmaba que estaba "exclusivamente" centrada en la seguridad "ofensiva", se encarga de desarrollar herramientas de penetración en sistemas. La filtración que hizo Wikileaks de más de 400GB de datos tras un ataque a manos todavía desconocidas reveló que el gobierno uruguayo había consultado por la compra de equipos de espionaje: el producto estrella de Hacking Team, el Sistema de Control Remoto (RCS, por su sigla en inglés), también conocido como Da Vinci o Galileo.

Sus aplicaciones permiten infiltrarse en computadoras o celulares para recabar correos electrónicos, conversaciones de Skype, contraseñas o activar a la distancia la cámara fotográfica de un dispositivo; al tiempo que rastrean miles de máquinas al mismo tiempo sin que lo advierta el usuario.

De ahí que los principales clientes de Hacking Team sean los gobiernos; pero nadie asegura que no pueda infectar a usuarios inocentes.

"Hemos perdido la capacidad de controlar a quienes usan nuestra tecnología. Terroristas, extorsionadores y otros pueden utilizarla. Creemos que se trata de una situación extremadamente peligrosa y una grave amenaza", dijo la empresa en un comunicado.

Los documentos divulgados esta semana indicaban que la empresa tenía acuerdos y ventas a varios países, entre ellos, algunos con prácticas cuestionadas de respeto a los derechos humanos como Rusia, Egipto y Arabia Saudita.

El RCS puede ser instalado en cualquier sistema operativo y, una vez instalado, permite desde grabar con el micrófono, tomar fotos, leer correos y rastrear toda la actividad del usuario en redes sociales. El sistema es capaz de interceptar comunicaciones aunque estén encriptadas; además, está diseñado para evadir antivirus y, a través de Google Maps, puede reconstruir los movimientos del usuario.

La filtración reveló también que el instalador del RCS era localizado en la carpeta de inicio de las computadoras de escritorio con Windows, informó el sitio Hipertextual. Al arrancar el sistema operativo se conectaba con un servidor con el que se sincronizaba cada 20 minutos. En cada contacto enviaba capturas de pantalla o textos introducidos a través del teclado.

Los ingenieros de la empresa están trabajando para "proveer una actualización al RCS que permitirá a los clientes reanudar "investigaciones criminalísticas y de inteligencia".

Lecciones

Los dispositivos móviles más vulnerables al RCS son aquellos con permisos root activados (Android) y con el jailbreak realizado (iOS). Muchos usuarios realizan el jailbreak para tener acceso a una personalización de su iPhone o iPad; no obstante, en vistas de que esto lo puede convertir en víctima de espionaje, no es recomendable dejar la ventana de la seguridad abierta. Los permisos root son el equivalente del jailbreak en Android.

Otra lección de seguridad que ha dejado el caso de Hacking Team es que no hay que confiar en las redes de wifi abiertas. El RCS se vale de ellas para instalarse en los dispositivos. Es más seguro usar la red móvil si el dispositivo cuenta con conectividad 3G o LTE.

Otro mecanismo que utiliza el RCS es la ingeniería social; por lo tanto, no hay que acceder a enlaces que llegan en correos electrónicos o de mensajes en redes sociales de remitentes desconocidos o de dudosa reputación.

Clientes

Además de los contactos que tuvo el gobierno uruguayo con Hacking Team, muchos países latinoamericanos contrataron sus servicios de espionaje electrónico. Chile firmó contratos por casi US$ 3 millones, Colombia por más de US$ 335.000, Ecuador por más de US$ 535.000 y Panamá por más de US$ 750.000, entre otros.