Las filtraciones de Edward Snowden que en 2013 demostraron como la NSA y otras agencias de inteligencia nos espiaban ya sacudieron nuestro mundo, pero la revelación ayer de Vault 7 y de los casi 9.000 documentos secretos de la CIA ha vuelto a demostrar que organismos como éste atacan todo tipo de dispositivos —tu Smart TV, tu smartphone, y pronto tu coche conectado— para recolectar datos y para controlar esos productos a su antojo con todo tipo de fines.
Esos documentos filtrados dejan claro que deberíamos estar aún más preocupados por nuestra privacidad y seguridad. La privacidad, decíamos hace tiempo, es necesaria, y es fácil desmontar el argumento de 'no tengo nada que ocultar' que ahora vuelve a plantearse con unas revelaciones que hacen que desconfiemos más que nunca en nuestros dispositivos. Unos dispositivos que nos escuchan aun cuando no queramos que lo hagan, a saber para qué. Estas son las razones que deberían hacerte desconfiar de ellos.
1. Vault 7 consta de 7 partes: estos 9.000 documentos son solo una de ellas
Lo primero que debéis tener en cuenta es que esta filtración de documentos de entre 2013 y 2016 es tan solo la primera de un conjunto de siete grandes filtraciones de datos confidenciales que probablemente tendrán un alcance aún mayor de lo que muchos imaginan.
Es difícil pensar qué más pueden revelar esos documentos que faltan por salir a la luz, porque lo cierto es que los 8.761 archivos confidenciales extraídos de los servidores de la CIA dejan claro que si este organismo quiere será difícil evitar que nos espíe.
La novedad no es que nuestros dispositivos sean vulnerables: cualquier ciberdelincuente con la suficiente motivación, tiempo y recursos podrá acceder a prácticamente cualquier dispositivo del planea. La novedad es que es la CIA la que lo hace, amenazando la seguridad y privacidad de ciudadanos tanto estadounidenses como no estadounidenses.
2. Puertas traseras: nacen, se reproducen y el gobierno de los EE.UU. las deja abiertas
Edward Snowden comentaba en su Twitter cómo la primera gran revelación de estos documentos era la demostración de que las agencias de inteligencia de Estados Unidos no solo tratan de aprovechar puertas traseras en el software: ellos mismos las crean y las dejan abiertas.
The CIA reports show the USG developing vulnerabilities in US products, then intentionally keeping the holes open. Reckless beyond words.
— Edward Snowden (@Snowden) 7 de marzo de 2017
Como señalan los expertos, hay otro problema intrínseco a estas filtraciones: el hecho de que esos agujeros de seguridad que han sido revelados y que la CIA ha aprovechado o aprovecha pueden seguir abiertos. Otros hackers o ciberdelincuentes podrían aprovecharlas en su propio beneficio. Es como una gran caja de Pandora de vulnerabilidades.
3. Si tienes algún dispositivo basado en iOS o Android, estás expuesto
Uno de los documentos mostraba por ejemplo datos sobre exploits de iOS, el sistema operativo que gobierna iPhones o iPads, y que con nombres como Archon, Dyonedo, Earth o Elderpiggy (hay muchos más) permitían explotar vulnerabilidades críticas en dispositivos que se utilizaban para espiar a periodistas y grupos de defensa de los derechos humanos. Apple se ha apresurado a comentar que "casi" todo está corregido.
Algunos de estos exploits ni siquiera eran desarrollados por la CIA, sino que directamente se compraron a ciberdelincuentes para luego aprovecharlos en los iPhone que interesaba "mantener controlados". Agencias como la NSA o la GCHQ (la inteligencia británica) también estaban metidas en el ajo.
Lo que ocurre en los dispositivos iOS también sucede en los smartphones y dispositivos basados en Android, para los que la CIA disponía de un listado de herramientas que explotaban vulnerabilidades presentes por ejemplo en Chrome para contar con la posibilidad de controlar esos dispositivos de forma remota y completa o al menos parcialmente.
4. Si tienes un ordenador basado en Windows, macOS o Linux, estás expuesto
La era postPC no existe para la CIA, cuyos esfuerzos por infectar todo tipo de productos con malware que permitiera acceder a sus recursos de forma remota no parecen tener fin.
En uno de los documentos se muestran diversas técnicas para tratar de explotar vulnerabilidades en sistemas como UAC (User Account Control), aunque la ifnromación detallada parece no estar disponible en las páginas de Wikileaks, probablemente para que otros no puedan aprovechar código e información aún más detallada.
Las vulnerabilidades de tipo 'zero day' están en ese repertorio, como también virus como Hammer Drill que infecta software de CDs y DVDs (dos tipos de formato cada vez más en desuso, eso sí), o infecciones para memorias USB.
Los sistemas Windows no son los únicos afectados: macOS (OS X), Solaris y Linux también forman parte de los sistemas que la CIA quería tener controlados con herramientas como HIVE, una suite de malware destinada a controlar ordenadores basados en estas plataformas.
5. Si tienes una Smart TV podrías estar expuesto
Las nuevas televisiones conectadas o "inteligentes" han hecho que podamos acceder directamente a una gran cantidad de contenidos de forma cómoda, pero también han introducido una amenaza clara para los usuarios, tanto por parte de los fabricantes como de la CIA, que también ha querido aprovechar la popularidad de estos dispositivos.
Las historias de terror aumentan ahora que sabemos que efectivamente la CIA contaba con un programa llamado "Weeping Angel" del que han hablado en detalle en The Intercept y que estaba destinado a poder acceder remotamente a Smart TVs de Samsung para habilitar por ejemplo su micrófono de forma remota incluso cuando la televisión apareciera apagada para el usuario. Ese era el denominado 'Fake-off mode' ('falso modo apagado').
Aunque no se mencionan otras marcas, ese mismo programa podría aplicarse (o adaptarse) a Smart TVs de otros fabricantes, y es que como dice el experto en ciberseguridad y cifrado Kenneth White, las Smart TVs "son históricamente un objetivo bastante sencillo y una plataforma de ataque bastante buena". De hecho este experto aseguraba que "hay cero posibilidades de qee la CIA solo se haya orientado a Smart TVs de Samsung. Es demasiado fácil modificar otros sistemas operativos embebidos".
6. Zero Days y promesas incumplidas
Entre las vulnerabilidades más famosa están las 'zero days', las vulnerabilidades del software que son descubiertas por alguien pero no son reveladas al fabricante. Este tipo de agujeros de seguridad son especialmente valiosos para los ciberdelincuentes, que a menudo los venden al mejor postor o incluso al fabricante con chantajes industriales directos.
En los Estados Unidos la administración Obama creó precisamente un proceso que obligaba a sus agencias a comunicar dichos descubrimientos a las empresas para evitar problemas tanto a esas empresas como a usuarios de sus productos.
Los documentos "Year Zero" filtrados (esta primera remesa) revelan que la CIA hizo caso amiso de ese compromiso del gobierno, y de hecho revelan cómo por ejemplo el malware descubierto en estos documentos permitiría "penetrar, infestar y controlar tanto el software de teléfonos Android como iOS que se ejecuta o se ha ejecutado en la cuenta de Twitter del presidente de los Estados Unidos, probablemente en clara alusión —sin hacerla directamente— al peligro que esto podría suponer para Donald Trump, que sigue usando Twitter con frecuencia.
7. WhatsApp, Telegram o Signal son "seguras", pero no lo son los dispositivos en los que las usamos
Hace tiempo que diversas aplicaciones de mensajería ofrecen sistemas de cifrado de extremo a extremo en sus comunicaciones. WhatsApp, Telegram o Signal se cuentan entre las más conocidas, pero el problema no es que ellas lo sean, porque la CIA también puede espiar los mensajes que se envían al usarlas.
PSA: This incorrectly implies CIA hacked these apps / encryption. But the docs show iOS/Android are what got hacked - a much bigger problem. https://t.co/Bw9AkBpOdt
— Edward Snowden (@Snowden) 7 de marzo de 2017
¿Cómo lo hacen? Fácil: porque ya tienen antes el control de iOS y Android, las plataformas móviles sobre las que corren esas aplicaciones, y que precisamente da acceso a una capa software inferior desde la cual controlar también esas transferencias de texto y archivos.
De hecho esas aplicaciones son tan seguras como los dispositivos en las que se usan. Si el sistema operativo puede ser controlado por un tercero, los mensajes se pueden leer antes de ser cifrados y enviados. El cifrado de WhatsApp o Signal funciona, pero el malware hace trampas, como siempre.
En Xataka | Por favor máquina, no me escuches tanto