Un investigador de la compañía de análisis forense ZecOps ha descubierto una vulnerabilidad presente en todos los dispositivos iOS, incluyendo iPhone y iPad, que permite el robo de datos.

Además, ha encontrado pruebas no solo de que este bug estaba ya presente al menos desde enero de 2018, sino que ya ha sido usado por hackers para obtener acceso a los móviles de sus víctimas.

El investigador descubrió la vulnerabilidad de casualidad, cuando estaba investigando un ataque contra uno de sus clientes, en el que los atacantes pudieron obtener información que debería haber estado protegida. La conclusión a la que llegó es que la culpa la tiene la app Mail de Apple.

El truco para robar datos en el iPhone

Mail viene preinstalada por defecto en todos los dispositivos iOS, y es la app de correo electrónico recomendada, capaz de conectarse con nuestras cuentas. Un fallo en su código es lo que puede permitir a un atacante acceder al dispositivo, saltándose todas las medidas de seguridad impuestas por Apple.

El ataque se basa en el envío de un correo electrónico, que a simple vista parece que está vacío; sin embargo, si intentamos abrirlo provocará que la app Mail se quede bloqueada y se cierre automáticamente. Ese momento vulnerable es el que permite la ejecución de malware, capaz de acceder a todo el dispositivo.

Los investigadores afirman que este proceso se puede controlar de manera remota, y que permite el acceso a todos los datos almacenados en la memoria del dispositivo, ya sean documentos, fotos, o contactos. Para muchas personas, esa es información muy valiosa y los atacantes pueden usarla para pedir un pago o para hacer chantaje.

Este problema está presente en todas las versiones de iOS, incluso en las más nuevas; incluso si tenemos el dispositivo actualizado, somos vulnerables. Este es por lo tanto lo que se conoce como un "bug de día cero", o "0-day"; una vulnerabilidad que no tiene aún solución y puede ser aprovechada por los atacantes.

Desde 2018 vulnerable

Lo peor es que este fallo podría llevar al menos un par de años presente en iOS. Los investigadores de ZecOps  han investigado y descubierto malware capaz de aprovecharse de la vulnerabilidad que data de enero de 2018; por lo tanto, algunos hackers ya conocían este problema, y habrían estado desarrollando programas para aprovecharlo. Entre los objetivos de estos ataques estarían empleados de las empresas más valiosas de EEUU, además de periodistas en Europa.

La buena noticia es que Apple ya ha anunciado que la próxima actualización de iOS solucionará este problema, aunque no ha podido precisar cuándo llegará; la versión beta ya tiene el parche, y todo es cuestión de esperar a su lanzamiento. Por lo demás, Apple no ha entrado en detalles, ni confirmando ni negando los resultados de la investigación de ZecOps.

Cómo protegerse

Mientras esperamos la actualización, si temes poder ser atacado usando este bug, lo recomendable es desinstalar o deshabilitar la app de Mail por el momento.

Para deshabilitar Mail, lo único que tenemos que hacer es desvincular temporalmente nuestras cuentas de correo; de esta manera la app no intentará descargar correos nuevos y no podremos sufrir el ataque.

Para deshabilitar Mail, tenemos que abrir "Ajustes" en nuestro iPhone o iPad. A continuación buscamos "Contraseñas y cuentas", y buscamos las cuentas que hemos asociado con Mail, como puede ser nuestra cuenta de Google si usamos Gmail, o la de Microsoft si usamos Outlook.

Pulsamos en la cuenta, y desactivamos la opción "Mail". De esta manera, no se obtendrán nuevos correos de esa cuenta.