Amnistía Internacional reveló que NSO Group, una empresa israelí de «vigilancia como servicio», ha creado y vendido un desagradable ataque de iMessage que puede utilizarse para espiar a periodistas, activistas y representantes políticos que utilizan sus iPhones.
Un ataque de piratas informáticos sin hacer clic
Lo que hace que este último ataque sea particularmente peligroso es su explotación de las vulnerabilidades de cero clic, lo que significa que los objetivos ni siquiera necesitan leer o abrir el iMessage que contiene el hack. Amnistía dice que todas las actualizaciones de iPhone e iOS son vulnerables al exploit, que les da a los atacantes «acceso completo a los mensajes, correos electrónicos, medios, micrófono, cámara, llamadas y contactos del dispositivo».
«Apple está orgulloso de sus características de seguridad y privacidad, pero el Grupo NSO las ha destrozado», dijo Danna Ingleton, subdirectora de Amnesty Tech, en un comunicado. “Nuestro análisis forense descubrió pruebas contundentes de que a través de los ataques de cero clic de iMessage, el software espía de NSO infectó con éxito los modelos de iPhone 11 y iPhone 12. Miles de iPhones se vieron potencialmente comprometidos.
Bill Marczak, investigador del laboratorio de investigación académica Citizen Lab, encontró evidencia para sugerir NSO Group continúa desarrollando su producto de software espía. Él lo llama un «GRAN PROBLEMA rojo intermitente de cinco alarmas con la seguridad de iMessage».
Puede leer los detalles técnicos completos de Amnistía con respecto a su investigación sobre el exploit aquí.
¿Quién está siendo atacado?
Amnistía ha identificado al menos a 180 periodistas en 20 países que han sido blanco de ataques, incluidos Azerbaiyán, Hungría, India y Marruecos. La lista también incluye al editor del Financial Times.
El informe también afirma haber encontrado pruebas de que agentes saudíes utilizaron a Pegasus para atacar a familiares del periodista saudí asesinado Jamal Khashoggi. NSO Group lo niega, aunque no está claro ¿Cómo iba a saberlo con certeza?, ya que también afirma que no tiene acceso a los datos de sus clientes objetivo.
Dice que su investigación interna confirmó que su tecnología no se usó contra Khashoggi. Supongo que depende de cuánto confíes en una empresa privada que vende vigilancia como servicio.
¿En quién confías?
A Amnistía no le importa mucho la refutación. «NSO afirma que su software espía es indetectable y se utiliza sólo para investigaciones criminales legítimas», dijo Etienne Maynier, técnico del Laboratorio de Seguridad de Amnistía Internacional. «Ahora hemos proporcionado una prueba irrefutable de esta ridícula mentira».
«El número de periodistas identificados como objetivos ilustra claramente cómo se está utilizando a Pegasus como herramienta para intimidar a los medios críticos», dijo Agnès Callamard, secretaria general de Amnistía Internacional. «Se trata de controlar la narrativa pública, resistir el escrutinio y reprimir cualquier voz de disensión».
Como era de esperar, Apple ha respondido a la noticia. El jefe de ingeniería de seguridad, Ivan Krstić, dijo en un comunicado: «Los ataques como los descritos son altamente sofisticados, cuestan millones de dólares desarrollarlos, a menudo tienen una duración corta y se utilizan para atacar a individuos específicos».
La guerra de privacidad de Apple te necesita
Todo esto es cierto, por supuesto. Apple continúa mejorando la seguridad en todas sus plataformas y su postura de privacidad es muy clara: quiere la privacidad integrada en todo su ecosistema.
El CEO de Apple, Tim Cook, advirtió en 2018:
“Vemos vívida y dolorosamente cómo la tecnología puede dañar en lugar de ayudar. Las plataformas y algoritmos que prometieron mejorar nuestras vidas pueden amplificar nuestras peores tendencias humanas. Los actores deshonestos e incluso los gobiernos se han aprovechado de la confianza de los usuarios para profundizar las divisiones, incitar a la violencia e incluso socavar nuestro sentido compartido de lo que es verdadero y lo que es falso «.
A pesar del trabajo de Apple, las últimas revelaciones muestran que los actores estatales bien financiados de diversos tipos pueden encontrar caminos a través de sus muros. Pero cuando se identifican nuevos ataques, la empresa parece estar haciendo un trabajo razonable para bloquearlos.
Mientras tanto, los gobiernos represivos en una multitud de matices continúan tratando de obligar a las empresas de tecnología a crear puertas traseras de seguridad en sus productos. Hay argumentos claros en contra de esto: los derechos humanos y el diálogo democrático se erosionarán mientras que se habilitarán importantes ataques financieros, de ransomware y de infraestructura a medida que la información sobre esas vulnerabilidades diseñadas se propague inevitablemente.
Vigilancia como servicio
NSO Group es una ilustración interesante de esto. La empresa invierte en identificar las vulnerabilidades que, como parte responsable, debería revelar. En cambio, las usa para socavar la seguridad de la plataforma y luego vende esas herramientas a clientes internacionales con una ganancia con lo que parece ser una supervisión mínima.
Lo veo como un triunfo del capitalismo de vigilancia. La empresa afirma tratar únicamente con agencias gubernamentales «legítimas» y «niega firmemente» las recientes afirmaciones de Amnistía.
Sin embargo, a raíz de las revelaciones de Snowden y el impacto socialmente corrosivo del abuso de las redes sociales en la forma de Cambridge Analytica y otros, junto con la rápida expansión de toda la industria de la «vigilancia como un servicio privado no regulado», no puede ser ayudó, a menos que me pregunto qué constituye una agencia gubernamental «legítima».
¿Y qué pasa cuando cambia el gobierno?
Callamard de Amnistía Internacional dice en cambio: «El Proyecto Pegasus revela cómo el software espía NSO es el arma favorita de los gobiernos represivos que buscan silenciar a los periodistas, atacar a los activistas y aplastar la disidencia, poniendo en peligro innumerables vidas».
Necesitamos recuperar el control
En declaraciones que deberían ser un eco escalofriante para los defensores de la privacidad, agrega: “Estas revelaciones deben actuar como un catalizador para el cambio. Al sector de la vigilancia ya no se le debe permitir un enfoque de laissez-faire por parte de gobiernos con un interés personal en utilizar esta tecnología para cometer violaciones de derechos humanos ”.
Apple parece estar de acuerdo. Craig Federighi de Apple, vicepresidente senior de ingeniería de software, dijo: «Nunca antes el derecho a la privacidad, el derecho a mantener los datos personales bajo su control, ha sido atacado como lo es hoy. también debe ser necesario trabajar para combatirlos ”.
¿Mi opinión?
Herramientas como las vendidas con fines de lucro por NSO permitirán más actividades delictivas y terroristas de las que previenen.
La batalla para asegurar Internet y proteger a los usuarios y su privacidad nunca ha parecido más crítica, especialmente cuando la sociedad en general maneja las amenazas duales de la pandemia y el cambio climático.
Por favor sígueme Gorjeoo únete a mí en el bar & grill de AppleHolic y en los grupos de discusión de Apple en MeWe.
Copyright © 2021
