Informe revela que teléfonos Google Pixel se vendieron con software de vigilancia oculto.
La aplicación oculta no estaba activa por defecto.
Un informe reciente de la empresa de ciberseguridad iVerify revela que la mayoría de los teléfonos Google Pixel vendidos desde septiembre de 2017 incluían un software capaz de espiar o controlar de forma remota los dispositivos de los usuarios. La vulnerabilidad fue identificada cuando el escáner de detección y respuesta de iVerify detectó un dispositivo Android inseguro en Palantir Technologies, un cliente de iVerify. Tras llevar a cabo una investigación conjunta, iVerify, Palantir y Trail of Bits encontraron un paquete de software oculto de Android llamado Showcase.apk en varios dispositivos Google Pixel.
Palantir, una empresa de minería de datos que ofrece productos de vigilancia a gobiernos y empresas privadas, decidió prohibir el uso de dispositivos Android en su organización como respuesta a este hallazgo. Dane Stuckey, director de seguridad de la información de Palantir, expresó su decepción al respecto, afirmando que la presencia de software inseguro y no verificado de terceros perjudica la confianza. “No tenemos idea de cómo llegó allí, por lo que tomamos la decisión de banear efectivamente los Android internamente”, añadió.
El informe de iVerify aclara que el software fue desarrollado por Smith Micro Software y parece haber sido creado para demostraciones en tiendas para Verizon. Aunque la aplicación estaba inactiva de forma predeterminada y requería ser habilitada manualmente, una vez activada, Showcase.apk permitía el acceso del sistema operativo a hackers, haciéndolo vulnerable a ataques de tipo man-in-the-middle, inyección de código y spyware. Las repercusiones de esta vulnerabilidad son considerables y podrían resultar en pérdidas de datos que ascienden a miles de millones de dólares.
En respuesta a esta situación, un portavoz de Google, Ed Fernandez, indicó que el software se hizo "para dispositivos de demostración en tienda de Verizon y ya no se está utilizando", añadiendo que no han encontrado evidencia de explotación activa del mismo. Según lo informado, iVerify comunicó a Google sobre su descubrimiento a principios de mayo. Hasta el momento, la empresa no había revelado públicamente la vulnerabilidad, ni se había emitido una actualización de software para abordar el problema. Wired mencionó que Android eliminaría la aplicación de todos los dispositivos Pixel "en las próximas semanas", lo cual fue corroborado por Fernandez. Stuckey manifestó que esta situación es alarmante, dado que los teléfonos Pixel están diseñados para ser seguros, y que existen varios sistemas de defensa construidos sobre estos dispositivos.
- Google Pixel
- Ciberseguridad
- Vulnerabilidad de software
