Tras las รบltimas noticias sobre el supuesto robo de informaciรณn de las agendas de contactos de los smartphones, se descubre un nuevo fallo de seguridad, esta vez algo mรกs grave. Se trata del almacenamiento de usuarios y claves de acceso de Facebook en archivos a los que pueden acceder terceros. En concreto, serรญยญa un problema de la aplicaciรณn oficial de Facebook para Android y para iPhone, que guardan toda esta informaciรณn. Unos datos que se mantiene en memoria durante 2.000 aรฑos, sin estar programados para su eliminaciรณn a corto plazo.
Este fallo de seguridad ha sido descubierto por un desarrollador de juegos y aplicaciones britรกnico llamado Gareth Wright quien, ademรกs, ha publicado en su blog personal, de forma detallada, cรณmo dio con este fallo. Segรบn cuenta, utilizando la herramienta iexplorer para acceder a los archivos de su smartphone, se encontrรณ con uno donde se almacenaban los datos de cuenta de usuario de Facebook, un archivo que los mรกs entendidos conocen como plist.
ยกSUSCRIBETE A NUESTRO NEWSLETTER!
Cada semana mandamos un รบnico e-mail con el resumen de las noticias a +4.000 suscriptores.
Con esta informaciรณn, una persona con los conocimientos necesarios es capaz de cambiar los datos de la plist robada por la suya propia. De esta manera, tendrรก completo acceso a la cuenta de Facebook robada. Aunque esto no es lo mรกs grave, ya que hay multitud de aplicaciones y servicios a los que se puede acceder con esta informaciรณn, asociando la cuenta de la red social a dicha aplicaciรณn para no tener que rellenar las engorrosas cuentas de usuario de cada programa.
Para confirmar todo esto, segรบn cuenta Wright en su blog, decidiรณ enviar su plist a un amigo. Al cabo de poco tiempo comprobรณ que en el muro de su Facebook aparecรญยญan nuevas publicaciones que รฉl no habรญยญa hecho. Y no sรณlo eso. Este amigo tambiรฉn confirmรณ que era posible utilizar los datos de cuenta para acceder al famoso juego Draw Something, desde donde enviรณ varios dibujos e imรกgenes a los amigos del desarrollador. Ademรกs, parece ser que tras restaurar el archivo plist original de su amigo, aรบn recibรญยญa notificaciones de las aplicaciones a las que habรญยญa accedido usurpando la identidad del dueรฑo de la cuenta.
El desarrollador comenta ademรกs que ha experimentado varias cuestiones para captar plist y conocer hasta quรฉ punto se puede extender este fallo de seguridad. En una sola semana ha conseguido mรกs de mil plist vulnerables. Todo ello con sรณlo conectar por puertos USB los telรฉfonos a ordenadores pรบblicos que contienen un pequeรฑo programa para copiar estos archivos en un par de segundos.
La gente de Facebook ya ha sido alertada, y segรบn palabras del descubridor de este fallo, estรกn trabajando en solucionar este problema. Por tanto, es mรกs que probable que en las prรณximas horas se lancen sendas actualizaciones de la aplicaciรณn de Facebook con el fin de tapar este agujero en Android y iPhone. Mientras tanto, haciรฉndonos eco de las recomendaciones de Gareth Wright, es recomendable no conectar nuestros smartphones mediante el cable USB a ordenadores pรบblicos a los que otras personas pueden tener acceso.
