Whatsapp es una de las apps más populares, pero eso no siempre trae beneficios; el éxito también implica convertirse en el objetivo de hackers y atacantes con intereses maliciosos. Al fin y al cabo, si consiguen romper la seguridad del programa tendrán acceso a decenas de millones de dispositivos.

Los peores miedos han sido confirmados hoy, con la revelación de que un bug de Whatsapp permitió que extraños accediesen a nuestros smartphones; el bug afecta tanto a las versiones de Android como a las de iOS, y es posible aprovecharse de él con una simple llamada de teléfono. Y lo peor, es que ni siquiera hace falta que la respondamos.

Un bug permite instalar spyware usando Whatsapp

La vulnerabilidad presente en la app de Whatsapp permite la distribución de código a través de las llamadas; cuando la app recibe la llamada, también acepta el código inyectado, incluso aunque el usuario no la responda. De hecho, puede que ni siquiera nos demos cuenta de que nos han llamado; ya que el código borra los registros de las llamadas después de haberse producido.

La inyección de código sirve a su vez para la instalación de spyware en el dispositivo; como su nombre indica, este tipo de software está diseñado para obtener información de la víctima, sin que ella se de cuenta. El programa es capaz de activar el micrófono y la cámara del smartphone infectado y grabar todo lo que hacemos cuando los atacantes prefieran. También puede obtener nuestros archivos y los mensajes de texto que hayamos recibido o enviado.

La vulnerabilidad ya ha sido aprovechada por la firma de seguridad que la descubrió, NSO Group; una organización israelí especializada en la vigilancia y el espionaje. Los hackers de NSO Group desarrollaron el programa Pegasus, capaz de obtener todo tipo de información sobre el dispositivo infectado; y aprovecharon esta vulnerabilidad de Whatsapp para instalar Pegasus en algunos objetivos.

El bug ya ha sido aprovechado por una organización

NSO ya ha usado este bug de Whatsapp para espiar a algunas “personas de interés”; la última de ellas, un abogado especializado en derechos humanos de una firma británica. Por el momento, no se sabe durante cuánto tiempo y en cuántas ocasiones se aprovecharon de la vulnerabilidad.

Whatsapp ha iniciado una investigación interna; pero no ha progresado lo suficiente como para saber exactamente cuántos usuarios se han visto afectados. Aunque la compañía descubrió el bug a principios de mayo, es posible que NSO lleve ya un tiempo usándolo para sus labores de espionaje.

Whatsapp ha desarrollado un parche, que ya está distribuyendo a los usuarios a través de una actualización; además, también ha protegido sus propios servidores internos, lo que debería bloquear futuros intentos de aprovecharse de la vulnerabilidad.

Lo recomendable es, por lo tanto, actualizar lo antes posible y no dejarlo, ya que la versión presente en muchos dispositivos aún es vulnerable. Whatsapp ha avisado a organizaciones de derechos humanos, víctimas de este espionaje de NSO.