iCloud vuelve a ser vulnerable a pesar de las mejoras de seguridad

La nube tiene sus ventajas, pero también sus inconvenientes, sobre todo en lo que concierne a seguridad y el posible robo de datos si la empresa encargada de protegerlos en sus servidores no se toma en serio la seguridad. La filtración de fotos comprometidas de famoso fue un claro ejemplo de lo relativamente sencillo que era posible acceder a datos que incluso habían sido borrados de los iPhones e iPads hace tiempo. Que los afectados fueran famosos hizo trascender la noticia en la prensa, pero se desconoce cuantos usuarios anónimos han sido víctimas de este tipo de robos sin que se den cuenta.

Si bien Apple dijo en su momento que no fue por culpa suya, la realidad es que el sistema por el cual iCloud gestiona los datos propicia que pueda pasar. Lo peor es que Apple, lejos de aceptar su responsabilidad, dijo que sus servidores no habían sido atacados ni habían sufrido ningún fallo de seguridad. Eso sí, mientras tanto trataba de subsanar “menudencias” como que pudieran usarse ataques de fuerza bruta para conseguir las contraseñas e introducía la autenticación de dos factores como algo fundamental.

Pues bien, las mejoras introducidas por Apple, aunque cerraban la posibilidad de conseguir acceso del mismo modo, según la empresa rusa Elcomsoft se han superado gracias a los cambios en su software Phone Breaker. El software permite buscar en ordenadores los códigos binarios utilizados en la autenticación, lo que junto con el Apple ID y contraseña, que se puede obtener por otros métodos, permite superar la autenticación de dos factores totalmente y sin que el usuario lo sepa.

Además, Phone Breaker permite analizar el contenido en iCloud y descargar sólo lo que resulte de interés para el asaltante. Hablamos no sólo de fotos, vídeos y mensajes, sino ahora también de chats de WhatsApp, documentos de iWork y, posiblemente siguiendo otras técnicas, hasta mensajes de Snapchat que nunca llegan a desparecer del todo del smartphone.

Elcomsoft tiene una razón “legítima” para poder desarrollar este software, ya que supuestamente está creado para agencias de seguridad, pero la realidad es que cualquiera puede hacerse con él.