¿Cómo se comporta la tecnología de Apple contra el software espía Pegasus?

Es una de las batallas tecnológicas del siglo XXI, en la que todos los usuarios de celulares tienen algo que ver.

En una esquina, Apple, que tiene más de mil millones de iPhone activos que se utilizan en todo el mundo. En la otra, empresas como NSO Group de Israel, que desarrollan software espía diseñado para derrocar la seguridad más sofisticada y las medidas de privacidad.

Y mientras Apple dice que sigue el ritmo de las herramientas de vigilancia que se usan para atacar sus celulares (alardea crear “la plataforma de consumo más segura del mundo”), la investigación realizada como parte del proyecto Pegasus pinta una imagen más preocupante.

El malware, al parecer, ha ido un paso por delante.

Lee también: Pegasus: la filtración del software espía sugiere que abogados y activistas están en riesgo en todo el mundo

Esa, al menos, es la conclusión de la nueva investigación técnica realizada por Amnistía Internacional, la cual sugiere que incluso los iPhone que funcionan con el sistema operativo más actualizado han sido penetrados por el software espía Pegasus de NSO Group.

Esto ha llevado a que los celulares de algunas personas se conviertan en dispositivos de vigilancia portátiles, dando acceso completo a contactos, mensajes de texto, fotos. Todo.

La información apunta a un problema de seguridad sobre el que los investigadores han estado advirtiendo durante años: que a pesar de su reputación de construir lo que millones de clientes ven como un producto seguro, algunos creen que la cultura cerrada de Apple y el miedo a la prensa negativa han dañado su capacidad de proveer seguridad a aquellos que son blanco de gobiernos y delincuentes.

“La soberbia de la seguridad en sí misma de Apple es inigualable”, dijo Patrick Wardle, exempleado de la Agencia de Seguridad Nacional de Estados Unidos y fundador del desarrollador de seguridad de Mac Objective-See. “Básicamente creen que su método es el mejor. Y para ser justos… el iPhone ha tenido un éxito increíble”.

“Pero si hablas con cualquier investigador de seguridad externo, probablemente no tendrán grandiosas cosas que decir sobre Apple. Aunque si hablas con investigadores de seguridad que trabajan en ello, por ejemplo, Microsoft, han dicho: ‘Pondremos nuestro ego de lado, y en definitiva, nos daremos cuenta de que los investigadores de seguridad están reportando vulnerabilidades que al final del día están beneficiando a nuestros usuarios, porque somos capaces de repararlas’. No creo que Apple tenga la misma mentalidad”.

Lee también: ‘Quienes nos han espiado no reciben el mismo trato’: Beatriz Gutiérrez sobre Pegasus

La preocupación por la vulnerabilidad de los dispositivos móviles es un aspecto destacado por el proyecto Pegasus, una investigación periodística colaborativa coordinada por Forbidden Stories.

Con el apoyo técnico de Amnistía Internacional, el proyecto ha investigado la filtración de una lista de decenas de miles de números telefónicos, vinculados a equipos de Apple y Android.

Si bien solo fue posible realizar pruebas en una fracción de los celulares que estaban enlistados como blancos potenciales de vigilancia, la escala de lo que parece haber sido un grupo de posibles objetivos sugiere que los clientes de la empresa del software espía más sofisticado del mundo no han sido disuadidos por parte de los avances de seguridad logrados por empresas como Apple.

La mayoría de los expertos están de acuerdo en que la mayor vulnerabilidad del iPhone es también una de sus características más populares: iMessage, que Apple anunció a principios de este año que había buscado reforzarla. Un método que la empresa ha utilizado es crear una función llamada BlastDoor, la cual escanea mensajes sospechosos antes de que hurguen profundamente en el celular.

Pero incluso esos avances no han mantenido a los usuarios de iPhone a salvo.

Lee también: Pegasus: las revelaciones sobre el espionaje provocan disputas políticas en todo el mundo

“Hemos visto a Pegasus desplegarse a través de iMessage contra la última versión de iOS de Apple, por lo que está bastante claro que NSO puede vencer a BlastDoor”, detalló Bill Marczak, miembro de Citizen Lab, unidad de analistas de ciberseguridad con sede en la Universidad de Toronto. “Por supuesto, el desarrollo de funciones de seguridad sigue siendo importante. Cada nueva medida aumenta el costo de piratear dispositivos, las cuales pueden superar en precio a los atacantes menos sofisticados”.

De acuerdo con Wardle, las características de seguridad sobre las que alardea Apple son una espada de doble filo. “iMessage está encriptado de extremo a extremo, lo que significa que nadie te verá sacar esa proeza. Desde el punto de vista del atacante, eso es adorable”, dijo.

Existe un problema similar en el dispositivo: a diferencia de una Mac o de un celular Android, a los investigadores de seguridad se les niega la capacidad de ver qué están haciendo realmente sus dispositivos.

“Una vez que un atacante está dentro, él o ella casi pueden aprovechar la seguridad del dispositivo contra el usuario”, señaló Wardle. “Así que, por ejemplo, no tengo idea de si atacaron mi iPhone. Mi computadora Mac, por otro lado, diría que sí, es un blanco más sencillo, pero puedo observar una lista de los procesos que se están ejecutando, tengo un producto de firewall al que le puedo preguntar qué está permitido”.

Lee también: Edward Snowden pide la prohibición del comercio de software espía en medio de las revelaciones de Pegasus

Esa opacidad puede incluso restar valor a las declaraciones de Apple de que los ataques “regularmente tienen una vida útil corta”. Ya que a los investigadores les resulta muy difícil  examinar el funcionamiento interno de un iPhone, “a menos que el atacante tenga muy mala suerte, ese implante va a permanecer en el dispositivo, probablemente sin ser detectado”, añadió Wardle.

Claudio Guarnieri, director del Laboratorio de Seguridad de Amnistía, dijo que no había “ninguna duda” de que el programa de espionaje de NSO podría infectar la versión más reciente de iOS. Si bien Apple había hecho mucho para mejorar su seguridad, dijo, era natural que la empresa siempre se quedara atrás de miles de atacantes que “siempre estaban un paso adelante”.

“Siempre habrá alguien muy talentoso allá afuera, motivado por la alta remuneración que recibe al encontrar estos problemas (de seguridad), trabajando de todas las formas posibles para evitar y encontrar métodos alternativos a estas mitigaciones”, indicó Guarnieri.

Otro investigador de Citizen Lab, John Scott-Railton, consideró importante que las empresas como Apple se defiendan de las amenazas al “rastrearlas con frecuencia” y anticipar lo que podría venir después. “Si no hacen eso, realmente no pueden construir un producto verdaderamente seguro, porque aunque hablen mucho sobre las amenazas potenciales que existen en contra de su plataforma, muchas personas inteligentes encontrarán amenazas que usted no conoce”, dijo.

Incluso cuando los colegas de Apple en la industria de la tecnología han comenzado a criticar los avances de empresas como NSO y han afirmado que representan una grave amenaza para la ciberseguridad, Apple se ha mantenido en gran medida fuera. En una presentación judicial reciente presentada en apoyo de WhatsApp, la aplicación de mensajería que está demandando a NSO Group en California, empresas desde Microsoft hasta Cisco crearon una coalición y presentaron un escrito diciendo que NSO hacía sentir menos segura a la gente común. Apple no se unió en dicho escrito.

Lee también: ¿Qué es el software espía Pegasus y cómo se infiltra en los celulares?

Los socios del proyecto Pegasus escribieron una serie de preguntas para Apple.

En un comunicado, el fabricante del iPhone dijo: “Apple condena rotundamente los ataques cibernéticos en contra de periodistas, activistas de derechos humanos y aquellos que buscan hacer del mundo un mejor lugar. Durante más de una década, Apple ha liderado la industria en innovación de seguridad, y, como resultado, los investigadores de seguridad concuerdan en que el iPhone es el dispositivo móvil de consumo más seguro del mercado”.

Apple también dijo que la seguridad era un campo dinámico y que su BlastDoor no era el último de sus intentos para proteger iMessage.

“Ataques como los descritos son altamente sofisticados, cuestan millones de dólares para desarrollarlos, casi siempre tienen una vida útil corta y son usados para atacar a individuos específicos”, indicó la empresa. “Si bien eso significa que no son una amenaza para la inmensa mayoría de nuestros usuarios, continuamos trabajando incansablemente para defender a todos nuestros clientes y constantemente agregamos nuevas protecciones para sus dispositivos e información”.

El reportero del Washington Post Craig Timberg contribuyó a este informe.