Los hackers pueden controlar los sensores de los teléfonos inteligentes para robar contraseñas

¡Los piratas informáticos pueden monitorear su teléfono inteligente y robar datos confidenciales como contraseñas!

¿Conoce los distintos tipos de sensores presentes en su teléfono inteligente? ¿Qué pasa con los datos que recopilan estos sensores con respecto a sus actividades digitales y físicas? La verdad es que la cosecha actual de teléfonos móviles contiene una gama de sensores, incluido el acelerómetro, sensor de proximidad, magnetómetro, podómetro, giroscopio, micrófono, cámara y NFC. Pero ahora, los científicos de Universidad de Newcastle se han encontrado con la sorprendente revelación de que los piratas informáticos pueden utilizar los mismos sensores para adivinar contraseñas y números PIN con una precisión sorprendente. ¿Cómo es esto posible? Bueno, según el equipo de investigación, los piratas informáticos recopilan datos de los sensores, como el movimiento y el ángulo de su teléfono celular, durante la escritura.

El problema es más agudo de lo que cree porque hay muchas aplicaciones y sitios web maliciosos que acceden a diferentes sensores internos dentro de su teléfono inteligente sin ningún tipo de permiso en primer lugar. Entonces, incluso cuando accede a un sitio protegido a través de HTTPS para ingresar su contraseña, no hay diferencia.

Relacionado: Cómo espiar teléfonos inteligentes con esta aplicación

No hay forma de evitar que las aplicaciones obtengan acceso a los datos del sensor de su teléfono

La mayoría de las veces, las aplicaciones de teléfonos inteligentes solicitarán su permiso para acceder a los sensores como micrófono, cámara y GPS. Sin embargo, en los últimos años, el auge de las aplicaciones de fitness y juegos ha llevado a los sistemas operativos móviles a permitir que las aplicaciones instaladas permitan la recopilación de datos de varios sensores de movimiento, incluidos el sensor de proximidad, el giroscopio, el acelerómetro y la NFC. Sin embargo, esto significa que cualquier aplicación peligrosa puede utilizar los datos para sus propios fines negativos. Lo mismo ocurre con los sitios web maliciosos.

Esta creciente tendencia entre los sitios web y aplicaciones móviles de "escuchar" en secreto los datos de sus sensores sin su permiso expreso puede tener graves consecuencias. Se puede utilizar para descubrir una gran variedad de información confidencial, como actividades físicas, duración de las llamadas telefónicas e incluso actividades táctiles, como contraseñas y números PIN.

Cómo ocurre un ataque

Los científicos del Reino Unido realizaron una serie de pruebas y grabaron un video de un ataque que recopiló datos de casi 25 sensores presentes dentro del teléfono inteligente. El video muestra claramente el script malicioso que recopila datos del sensor de un dispositivo Apple.

Los científicos crearon un archivo JavaScript malicioso que podía acceder a los sensores y rastrear los datos de uso. Este script malicioso podría cargarse fácilmente en un sitio web o incrustarse en un sitio web sin el conocimiento de los usuarios. Una vez que el usuario visita el sitio malicioso o instala una aplicación maliciosa, el atacante puede entrar en acción. Comienzan a grabar lo que la víctima escriba en su dispositivo mientras el sitio web o el script malicioso se ejecuta en segundo plano. El script malicioso no dejará de recopilar datos de los diferentes sensores hasta que tenga la información necesaria para adivinar las contraseñas y el PIN. Una vez que se ha identificado la información correcta, se envía al servidor del atacante.

Identificación de contraseñas y PIN con gran precisión

Usando los datos recopilados de la orientación y sensores de movimiento en 50 dispositivos diferentes, el equipo de investigadores pudo identificar correctamente los PIN de cuatro dígitos en su primer intento. Si bien su precisión era del 74 por ciento en ese momento, aumentó al 100 por ciento en el quinto intento. Los datos recopilados también revelaron a los científicos si los usuarios se desplazaron o tocaron, en qué parte de la página hicieron clic y qué se estaba escribiendo en la página web móvil.

Relacionado: Hackear cualquier teléfono inteligente de forma remota

Según los investigadores, este proyecto no fue más que una demostración para crear conciencia sobre la presencia de sensores dentro de los teléfonos inteligentes a los que las aplicaciones a menudo acceden sin su permiso. Todavía hay muchos proveedores que no han incluido restricciones para esto en el sistema de permisos integrado normal.

A pesar de los riesgos, cuando se les preguntó sobre los sensores que más les preocupaban, a los encuestados les molestaba más su GPS y su cámara que los otros sensores silenciosos. El equipo ha enviado los resultados de sus hallazgos a los principales proveedores de navegadores como Apple y Google. La respuesta ha sido bastante positiva hasta ahora, y algunos navegadores como Safari y Mozilla ya han tomado medidas para abordar el problema, al menos en parte para que los usuarios estén mejor protegidos. Sin embargo, el equipo todavía está trabajando duro, colaborando con los peces gordos de la industria para crear una solución más eficaz.