Una fotografía para hackearlos a todos en WhatsApp y Telegram

Las versiones para ordenador de WhatsApp y Telegram no eran seguras. Y no lo fueron durante dos años. Esa es la conclusión principal a la que ha llegado la firma de seguridad Checkpoint y que permitía, solo con el envío de una fotografía, ocultar código malicioso en ella. La brecha de seguridad ya ha sido tapada, pero durante este tiempo, más de 1.000 millones de cuentas en WhatsApp y otros 100 millones en Telegram han podido ser infectadas.

“La vulnerabilidad permite al ciberdelincuente enviar el código malicioso oculto dentro de una imagen de aspecto inofensivo. Tan pronto como el usuario hace clic en la fotografía abre el acceso completo a los datos almacenados en WhatsApp o Telegram”, explica Checkpoint. La imagen llevaba a una dirección web en cuyo código HTML se escondía el malware. Una vez infectado el teléfono, el atacante ganaba acceso a todos los contactos de la víctima y podía reenviarles la imagen, expandiendo así el virus.

Ambas plataformas utilizan el cifrado de extremo a extremo. Ni Telegram ni WhatsApp pueden leer los mensajes que se envían, ya que se cifran en el teléfono del emisor y viajan así hasta el dispositivo del receptor. Los usuarios ganan privacidad pero las compañías no pueden saber qué mensajes son malware y cuales no. No es una excusa: ninguna aplicación es segura pero la obligación de las empresas es velar porque siempre lo sean.

Roger that - Todo solucionado

Roger thatCheckpoint informó a los dos servicios de mensajería el día 8 de marzo. WhatsApp asegura que corrigió el error al día siguiente: “Cuando Check Point informó sobre el problema lo abordamos en un día y publicamos una actualización de WhatsApp para la web. Para asegurarse de que está utilizando la última versión, simplemente reinicie su navegador”, explica la compañía de Jan Koum a Forbes.

Por su parte, Telegram confirma que el problema existió pero que el exploit necesitaba de un segundo paso para activarse. No bastaba solo con abrir la imagen, sino que el usuario tendría que haber hecho click derecho para abrirla en una nueva ventana. “El caso de WhatsApp fue más severo, ya que no requería de ninguna acción del usuario objetivo excepto la de abrir un archivo adjunto recibido. Así que un atacante podría hacerse cargo de una cuenta si el usuario simplemente abrió una foto de un gato y no hacía nada más”, dicen los rusos.