Descubren falla en Telegram y WhatsApp que permite robar archivos

Una empresa especializada en ciber seguridad realizó una investigación, en la que se comprobó que los archivos de medios de WhatsApp y Telegram podrían ser expuestos y manipulados por personas maliciosas.

La falla de seguridad, denominada Media File Jacking, afecta a WhatsApp en Android de forma predeterminada, y a Telegram en Android si ciertas funciones están habilitadas.

Detalla un comunicado que esto se debe a que transcurre el tiempo entre el momento en que los archivos multimedia recibidos a través de las aplicaciones se escriben en el disco y se cargan en la interfaz de usuario de chat (UI) de las aplicaciones para que los usuarios las puedan usar.

Durante este lapso de tiempo crítico presenta una oportunidad para que los actores malintencionados intervengan y manipulen los archivos multimedia sin el conocimiento del usuario.

También te puede gustar leer: ¿La policía puede revisarte tu teléfono?

Si se explota la falla de seguridad, un atacante malintencionado podría hacer un mal uso y manipular información confidencial, como fotos y videos personales, documentos corporativos, facturas y hasta las notas de voz que se envíen desde la 'app'. 

Así podrían explotar la vulnerabilidad en la plataforma

Manipulación de imagen: 

En este escenario, una aplicación aparentemente inocente, pero en realidad maliciosa, descargada por un usuario puede manipular fotos personales casi en tiempo real y sin que la víctima lo sepa.

La aplicación se ejecuta en segundo plano y realiza un ataque de Media File Jacking mientras la víctima usa WhatsApp. Esta supervisa las fotos recibidas a través de la aplicación de mensajería instantánea, identifica caras en las fotos y las reemplaza con otra cosa, como otras caras u objetos. 

Manipulación de pago:

En uno de los ataques más dañinos de Media File Jacking, un actor malintencionado puede manipular una factura enviada por un proveedor a un cliente para engañar al cliente para que realice un pago a una cuenta ilegítima.

Falsificación de mensajes de audio:

En este escenario, un atacante explota las relaciones de confianza entre los empleados de una organización. Un CEO le envía a su CFO un mensaje de audio, a través de WhatsApp, solicitando diapositivas actualizadas para una reunión de directorio la próxima semana.  

El malintencionado no solo manipula las comunicaciones del CEO, sino que va un paso más allá para reconstruir su voz, lo que resulta en una técnica de engaño muy efectiva. El mensaje original del CEO se reemplaza cuando llega al teléfono del CFO.

Lo que el CFO escucha al final es un mensaje de audio creíble de su jefe para hacer un pago, algo que un empleado inconsciente puede percibir fácilmente como una solicitud legítima, por lo que puede accionar y consignar a donde sea que digan. 

¿Qué hacer? 

Los usuarios de la aplicación de mensajería instantánea pueden mitigar el riesgo de los archivos multimedia al deshabilitar la función que guarda los archivos en el almacenamiento externo. Así lo puedes configurar en ambas aplicaciones y evitar estar expuesto a estas fallas de seguridad. 

WhatsApp: Configuraciones -> Chats -> Visibilidad multimedia

Telegram: Configuración -> Configuración de chat -> Guardar en galería