Tecnología
La aplicación de Apple que fue vulnerable a ataques de ‘phishing’ durante meses, sin que nadie lo notara
Esta aplicación permite guardar y gestionar las credenciales y las claves de acceso, o ‘passkeys’, de los servicios digitales del usuario.
Apple corrigió una vulnerabilidad presente en la aplicación Contraseñas (Passwords) que durante varios meses expuso a los usuarios a ataques de phishing con el objetivo de robar las credenciales de inicio de sesión.
Contraseñas es la aplicación de Apple que permite guardar y gestionar las credenciales y las claves de acceso o passkeys de los servicios digitales del usuario. Se trata de una solución que pretende facilitar el uso de las claves y mantenerlas en un entorno protegido.
Esta aplicación independiente apareció junto a iOS 18 en septiembre y durante tres meses fue vulnerable a los ataques de phishing como consecuencia del fallo de seguridad recogido como CVE-2024-44276, identificado por los investigadores Talal Haj Bakry y Tommy Mysk.
Apple corrigió el fallo con la actualización 18.2, lanzada en diciembre, pero ha sido esta semana cuando cerró el informe de esta vulnerabilidad, como han señalado los investigadores de Mysk en su cuenta de X. Ello ha permitido compartir los detalles.
Lo más leído
En su momento, Apple explicó que “un usuario en una posición privilegiada en la red podría filtrar información confidencial”, y que lo solucionó “utilizando HTTPS al enviar información a través de la red”.
Esto significa que un actor malicioso conectado a la misma red que el usuario de Contraseñas, por ejemplo, en la wifi abierta de un aeropuerto o una cafetería, podría redirigir a la víctima a una página fraudulenta, que falsificara otra legítima, para que introdujera las credenciales y robárselas.
Cabe resaltar que el término phishing significa fácil de rastrear. Además, su proceso se asemeja a la pesca (fishing en inglés), donde se elabora el anzuelo (engaño a través de mensajes, correos o sitios web fraudulentos) con el principal propósito de engañar a una víctima; allí se lanza y el ciberdelincuente solo debe esperar a que caiga o muerda el señuelo.
A pesar de las alertas emitidas para prevenir que los ciudadanos caigan en estas trampas, se siguen presentando casos de víctimas de este tipo de modalidad de estafa con regularidad. Esto se debe principalmente a la falta de conocimiento sobre el funcionamiento real de un enlace infectado y sobre cómo protegerse de ellos para evitar posibles hackeos.
*Con información de Europa Press
