La seguridad laxa deja las aplicaciones de uso compartido de automóviles vulnerables a los ataques

Los investigadores de Kaspersky Lab han examinado la seguridad de 13 aplicaciones de uso compartido de automóviles de fabricantes domésticos de todo el mundo, incluidos los de Rusia, EE. UU. Y Europa. Los expertos de la compañía descubrieron que todas las aplicaciones contienen una serie de problemas de seguridad que pueden permitir a los delincuentes tomar el control de vehículos compartidos, ya sea de forma sigilosa o bajo la apariencia de otro usuario. Una vez que se obtiene acceso a través de la aplicación, un delincuente puede hacer casi cualquier cosa, desde robar el vehículo o sus detalles, hasta causar daños o usarlo con fines maliciosos.

Las aplicaciones están diseñadas para hacernos la vida más fácil y las transacciones más convenientes. Este concepto ha ido un paso más allá, con el advenimiento de las aplicaciones para ‘compartir’, que hacen que todo, desde la entrega de comida hasta el taxi y el coche compartido, sea una forma más rentable de utilizar los servicios. Pero si bien las aplicaciones de uso compartido de automóviles son invaluables para quienes tienen bajos ingresos y eliminan cualquier pago excesivo por la propiedad o el mantenimiento del vehículo, también pueden agregar un riesgo de seguridad para los fabricantes y los usuarios por igual.

Para averiguar el alcance del problema, los investigadores de Kaspersky Lab probaron 13 aplicaciones de uso compartido de automóviles, desarrolladas por los principales fabricantes de diferentes mercados, que, según las estadísticas de Google Play, se han descargado más de 1 millón de veces. La investigación descubrió que cada una de las aplicaciones examinadas contenía varios problemas de seguridad. Además, los investigadores encontraron que los usuarios malintencionados ya están sacando provecho de las cuentas robadas para aplicaciones de uso compartido de automóviles.

Esto es especialmente preocupante, ya que una investigación reciente de Kaspersky Lab sobre las actitudes de los consumidores hacia la seguridad de las aplicaciones mostró que los europeos no ven las aplicaciones para compartir viajes como una amenaza en comparación con otras aplicaciones como las redes sociales, la mensajería y las aplicaciones bancarias, con menos del 10% de los encuestados calificaron las aplicaciones para compartir viajes como poco confiables.

La lista de vulnerabilidades de seguridad descubiertas incluye:

• Sin defensa contra ataques de intermediario. Esto significa que, si bien un usuario cree que está conectado a un sitio web legítimo, el tráfico en realidad se redirige a través del sitio del atacante, lo que le permite recopilar cualquier información personal ingresada por la víctima (inicio de sesión, contraseña, PIN, etc.)
• Sin defensa contra la ingeniería inversa de aplicaciones. Como resultado, un delincuente puede comprender cómo funciona la aplicación y encontrar una vulnerabilidad que le permitiría obtener acceso a la infraestructura del lado del servidor.
• Sin técnicas de detección de enraizamiento. Los derechos de root brindan a un usuario malintencionado capacidades casi infinitas y dejan la aplicación indefensa
• Falta de protección contra las técnicas de superposición de aplicaciones. Esto ayuda a las aplicaciones maliciosas a mostrar ventanas de phishing y robar las credenciales de los usuarios.
• Menos de la mitad de las aplicaciones exigen contraseñas seguras de los usuarios, lo que significa que los delincuentes pueden atacar a la víctima mediante un simple escenario de fuerza bruta.

Tras una explotación exitosa, un atacante puede obtener discretamente el control del automóvil y usarlo con fines maliciosos, desde conducir de forma gratuita y espiar a los usuarios, hasta robar el vehículo y sus detalles, e incluso escenarios más serios como robar los datos personales de los usuarios y venderlo en el mercado negro para obtener beneficios económicos. Esto podría llevar a que los delincuentes realicen movimientos ilegales y peligrosos en las carreteras bajo el disfraz de la identidad de otras personas.

«Los ciberdelincuentes encuentran constantemente nuevas formas en las que pueden atacar a las víctimas, y con el crecimiento que estamos viendo en las aplicaciones populares de uso compartido de automóviles, no es de extrañar que las vulnerabilidades encontradas en estas aplicaciones por nuestros investigadores estén siendo explotadas por los actores de amenazas. Las personas deben comprender que estas aplicaciones presentan riesgos de seguridad y ser prudentes al compartir información confidencial sobre ellas ”, dijo David Emm, investigador principal de seguridad de Kaspersky Lab.

Los investigadores de Kaspersky Lab recomiendan a los usuarios de aplicaciones de uso compartido de automóviles que sigan estas medidas para proteger sus automóviles y sus datos privados de posibles ciberataques:

• No rootee su dispositivo Android, ya que esto abrirá capacidades casi ilimitadas para aplicaciones maliciosas
• Mantenga actualizada la versión del sistema operativo de su dispositivo para reducir las vulnerabilidades en el software y disminuir el riesgo de ataque
• Instale una solución de seguridad probada para proteger su dispositivo de ciberataques.

Para obtener más información sobre la amenaza de compartir coche, lea el entrada en el blog disponible en Securelist.com.