WhatsApp es el cliente de mensajería más utilizado en todo el mundo. A diario, millones de s utilizan esta plataforma para compartir todo tipo de mensajes, desde texto hasta imágenes y documentos. La seguridad de la infraestructura de WhatsApp ha mejorado notablemente en los últimos años, y cuenta con un cifrado de extremo a extremo imposible de romper. Sin embargo, más allá del protocolo, Facebook no se preocupa demasiado por la seguridad. Y esto ha hecho que todos los s que utilizaran WhatsApp desde un PC, ya sea la versión web o la versión desktop, hayan estado en peligro.
Un conjunto de fallos de seguridad en WhatsApp Web, y en la versión Electron de WhatsApp Web se basa principalmente en una mala configuración por defecto de las políticas de seguridad de contenido (CSP) de WhatsApp. A causa de ella, un atacante puede crear un ataque XSS, ocultarlo dentro de un enlace malicioso creado específicamente para ese fin.
Cuando el recibe dicho enlace a través de WhatsApp, y lo abre, el pirata informático automáticamente consigue a todos los directorios del PC. Incluso a los directorios del sistema con ficheros clave de Windows.
Debido a la mala configuración de seguridad, los piratas informáticos pueden incluso cargar archivos al sistema. El investigador de seguridad que ha descubierto este fallo de seguridad afirma que puede utilizarse, por ejemplo, para instalar troyanos o un ransomware de forma remota.
Manipulando los banners de las URL, incluso podría utilizarse la vulnerabilidad para realizar phishing y engañar al para que abra una web cuando en realidad está abriendo otra.
Actualiza cuanto antes
Los investigadores de seguridad que detectaron este fallo lo reportaron de forma privada a Facebook para su correcta subsanación. Y gracias al programa Bug Bounty, además, Facebook les ha recompensados con 12.500 dólares. El fallo ha permanecido en secreto hasta hoy, cuando han pasado 3 meses desde el reporte. Facebook lo ha solucionado y, por lo tanto, se ha podido publicar la información al respecto sin poner más en peligro a los s.
Los fallos de seguridad tanto en WhatsApp Web como en WhatsApp para iPhone que permitían llevar a cabo estos ataques informáticos ya no ponen en peligro a los s. Si utilizamos la última versión de ambas herramientas no tendremos de qué preocuparnos. Además, no hay constancia de que estos fallos se hayan utilizado para atacar a los s y poner en peligro su seguridad.
Los s de Android no se han visto afectados por estos fallos de seguridad. Este sistema operativo cuenta con unas políticas CSP mucho más estrictias. Por lo tanto, mitigaban automáticamente las vulnerabilidades.
