Hacker de jailbreak e investigador de seguridad pod2g today reveló un problema de seguridad recién descubierto en todas las versiones de iOS que podría permitir que las partes malintencionadas falsifiquen los mensajes SMS, lo que hace que un destinatario piense que un mensaje proviene de un remitente de confianza cuando en realidad proviene de la parte malintencionada.
El problema está relacionado con el manejo de iOS de la información del encabezado de datos del usuario (UDH), una sección opcional de una carga útil de texto que permite a los usuarios especificar cierta información, como cambiar el número de respuesta en un mensaje a otro que no sea el número de envío. El manejo de esta información opcional por parte del iPhone podría dejar a los destinatarios abiertos a ataques de suplantación de SMS dirigidos.
En la carga útil de texto, una sección llamada UDH (encabezado de datos de usuario) es opcional, pero define muchas funciones avanzadas con las que no todos los móviles son compatibles. Una de estas opciones permite al usuario cambiar la dirección de respuesta del texto. Si el móvil de destino es compatible con él, y si el receptor intenta responder al texto, no responderá al número original, sino al especificado.
¿Cómo se verá el iPhone 8?La mayoría de los operadores no marcan esta parte del mensaje, lo que significa que uno puede escribir lo que quiera en esta sección: un número especial como 911 o el número de otra persona.
En una buena implementación de esta función, el receptor vería el número de teléfono original y la respuesta a uno. En iPhone, cuando ves el mensaje, parece provenir del número de respuesta y [pierdes] la pista del origen.
pod2g destaca varias formas en que las partes malintencionadas podrían aprovechar esta falla, incluidos los intentos de phishing que vinculan a los usuarios con sitios que recopilan información personal o suplantan mensajes con el fin de crear pruebas falsas o ganar la confianza de un destinatario para permitir más acciones nefastas.
En muchos casos, la parte malintencionada necesitaría saber el nombre y el número de un contacto de confianza del destinatario para que sus esfuerzos sean efectivos, pero el ejemplo de phishing muestra cómo las partes malintencionadas pueden lanzar redes amplias con la esperanza de atrapar a los usuarios haciéndose pasar por un banco común u otra institución. Pero con el problema que resulta en que a los destinatarios se les muestre la dirección de respuesta, un ataque podría ser descubierto o frustrado simplemente respondiendo al mensaje, ya que el mensaje de respuesta iría al contacto familiar en lugar del malintencionado.
Entradas Populares