Alertan sobre una vulnerabilidad que afecta a usuarios de teléfonos Samsung, Huawei, LG y Sony

Android reina en el ecosistema de los teléfonos móviles. Y esa popularidad hace que cualquier vulnerabilidad vinculada al software de Google o a los desarrollos de sus socios se convierta en crítica.

Es lo que ha ocurrido con un fallo descubierto por el equipo de investigadores de Check Point Research, presente en dispositivos Android como los de las marcas Samsung, Huawei, LG y Sony, que entre las cuatro sumarían la mitad de las ventas de smartphones Android.

Según explica Check Point, la vulnerabilidad está vinculada al aprovisionamiento por vía aérea (OTA) que usan los operadores para desplegar configuraciones en cada terminal que se une a su red. Y, en la práctica, el fallo pone a los usuarios en el objetivo de ataques avanzados de phishing.

Lo que ocurriría es que el protocolo para el aprovisionamiento OTA conocido como Open Mobile Alliance Client Provisioning u OMA CP tendría “métodos de autenticación limitados”, dicen desde Check Point.

Un ciberdelincuente podría suplantar la identidad de un operador y enviar mensajes OMA CP falsos, engañando a los usuarios para que acepten ciertas configuraciones.

“La falta de sistemas de autenticación más fuertes hacen que para los ciberatacantes sea más fácil lanzar un ataque de phishing a través del aprovisionamiento por vía aérea”, detalla Slava Makkaveev, investigador de Seguridad de Check Point Software Technologies. “Cuando el usuario recibe un mensaje OMA CP, no tiene forma de discernir si proviene de una fuente confiable, por lo que al pinchar en la opción de aceptar podría abrir la puerta de su teléfono móvil a un desconocido”.

De entre todos los terminales afectados, hay modelos Samsung especialmente vulnerables al carecer de control de autenticidad para los remitentes de esos mensajes OMA CP. Mientras, los teléfonos Huawei, LG y Sony sí contarían con autenticación, si bien los hackers sólo necesitarían hacerse con el código de identificación único integrado en la tarjeta SIM o IMSI del destinatario.

Al dar a conocer esta problemática, Check Point ha explicado también que Samsung ya solucionó el problema con la versión de mantenimiento de seguridad publicada en mayo y que LG tomó medidas en julio. Huawei va a lanzar soluciones de interfaz de usuario en los nuevos smartphones Mate o de la serie P.

Por su parte, Sony “se negó a reconocer la vulnerabilidad, afirmando que sus dispositivos siguen la especificación OMA CP”, de acuerdo con Check Point, que habría compartido su descubrimiento con los proveedores en marzo.