Si es propietario de un Android y usa audífonos o audífonos inalámbricos, quítelos por un segundo y escuche: como informó WIRED por primera vez, millones de dispositivos de audio de marcas reconocidas como Sony, JBL, Anker, Sonos e incluso el propio Google ahora enfrentan una importante vulnerabilidad de seguridad que podría permitir a los piratas informáticos espiar sus conversaciones o rastrear su ubicación. Hay formas de tapar el agujero, pero tendrás que pasar por algunos obstáculos para hacerlo.
Cómo funciona el ataque «WhisperPair»
La vulnerabilidad fue descubierta por primera vez por el Grupo de Criptografía Industrial y Seguridad Informática de la Universidad KU Leuven de Bélgica, y ha sido denominada «WhisperPair». Aprovecha la función Fast Pair de Android, que permite conexiones convenientes con un solo toque a dispositivos Bluetooth cercanos, similar a lo que podría aparecer en la pantalla de su iPhone si abre un estuche de AirPods cerca de él. Desafortunadamente, según los investigadores, descubrieron que es posible que un actor malicioso esencialmente se apodere del proceso de emparejamiento, dándoles una ventana oculta en su dispositivo de audio y al mismo tiempo permitiéndole conectarse a su teléfono o tableta, sin que usted se dé cuenta.
«Estás caminando por la calle con tus auriculares puestos, estás escuchando música. En menos de 15 segundos, podemos secuestrar tu dispositivo», dijo a WIRED el investigador de KU Leuven, Sayon Duttagupta.
Bien, entonces un hacker puede escuchar tus auriculares. Gran grito. Pero sí, en realidad. Un gran grito de verdad.
Cómo esto te pone en riesgo
Una vez que un hacker se empareja con su dispositivo de audio, puede usarlo para escuchar sus micrófonos, escuchar cualquier conversación privada que pueda estar saliendo a través de sus parlantes, reproducir su propio audio al volumen que desee y, si su dispositivo es compatible con Google Find Hub, posiblemente incluso rastrear su ubicación.
Esa última vulnerabilidad es la que más me preocupa, aunque también es la más difícil de lograr para los hackers. En este momento, solo se ha documentado en Google Pixel Buds Pro 2 y cinco productos Sony, y requiere que no los hayas conectado previamente a un dispositivo Android ni los hayas vinculado con una cuenta de Google.
Aún así, incluso sin seguimiento de ubicación, ciertamente no es ideal que un hacker tenga acceso a un micrófono en su casa en todo momento.
Cómo protegerte
Los investigadores se pusieron en contacto con Google, que propuso una serie de soluciones recomendadas, pero aquí es donde entran los problemas: estas correcciones deben ser implementadas por los fabricantes de accesorios de forma individual y es probable que tengas que instalarlas manualmente.
El aspecto que tendrá variará según el dispositivo que tengas. JBL, por ejemplo, le dijo a WIRED que ha comenzado a lanzar actualizaciones inalámbricas para solucionar la vulnerabilidad, mientras que Logitech dijo que ha «integrado un parche de firmware para las próximas unidades de producción». Lifehacker se está comunicando con otras empresas con productos afectados y actualizaré esta publicación cuando tengamos noticias.
Para asegurarse de obtener las correcciones de su dispositivo cuando se implementen, el investigador que descubrió WhisperPair sugiere descargar su aplicación correspondiente, algo que la mayoría de los dispositivos de audio ofrecen hoy en día. “Si no tienes la [Sony app]entonces nunca sabrás que hay una actualización de software para tus auriculares Sony”, dijo a WIRED el investigador de KU Leuven, Seppe Wyns.
¿Qué opinas hasta ahora?
En el lado positivo, si posee un dispositivo de audio de Google afectado, no debería tener problemas: la compañía dice que ya envió correcciones para ellos. Desafortunadamente, Google no es mágico. La compañía también dijo que intentó actualizar Find Hub para bloquear la vulnerabilidad de seguimiento de ubicación para todos los dispositivos, ya sea que su fabricante los haya actualizado o no. Desafortunadamente, los investigadores de KU Leuven dijeron que pudieron evitar esa solución única en unas pocas horas.
Desafortunadamente, Fast Pair no se puede desactivar, por lo que hasta que el fabricante de su dispositivo lance su propia actualización, será vulnerable. Mientras tanto, hay un botón de pánico que puedes presionar si notas un comportamiento inusual, ya que los investigadores dicen que restablecer los valores de fábrica de tu dispositivo de audio lo eliminará de cualquier pirata informático que ya se haya emparejado con él. Desafortunadamente, eso todavía lo deja vulnerable a nuevos piratas informáticos en el futuro.
El riesgo es real pero sobre todo teórico por ahora.
Lo bueno es que, si bien las preocupaciones aquí son bastante reales, Google dice que no debes preocuparte. también mucho todavía. La compañía le dijo a WIRED que «no ha visto ninguna evidencia de explotación fuera del entorno de laboratorio de este informe». Eso significa que los investigadores en cuestión podrían ser las primeras personas en descubrir WhisperPair, aunque los propios investigadores están siendo un poco más cautelosos, ya que cuestionan la capacidad de Google para observar el secuestro de audio en dispositivos de otras compañías.
En ese sentido, si eres un usuario de iPhone engreído que lee esto, no deberías sentirte demasiado cómodo: WhisperPair también podría afectarte. Si bien la vulnerabilidad no puede originar en un dispositivo Apple, si conectas un dispositivo que ya ha sido pirateado en Android a tu iPhone o iPad, entonces estás en el mismo barco.
Cómo saber si estás en riesgo
Desearía poder ofrecer una solución simple que reforzara instantáneamente la seguridad en todos sus dispositivos, pero desafortunadamente, mantenerse a salvo de WhisperPair requerirá cierta vigilancia de su parte, en particular, estar atento a una actualización del fabricante de su dispositivo. Para comprobar si la vulnerabilidad WhisperPair le afecta, visite el sitio web de los investigadores y busque su dispositivo. Le indicará el fabricante, si es vulnerable y qué medidas puede tomar para solucionar la vulnerabilidad. Tenga en cuenta que la lista corta que aparece primero debajo de la barra de búsqueda no incluye todos los dispositivos vulnerables, así que no asuma que está a salvo sólo porque no ve el suyo allí; búsquelo primero.