Grave fallo de seguridad en iOS 9.3.1 permite acceder a contactos y fotos sin contraseña [Vídeo]


Mi buen amigo VBarraquito ha vuelto a conseguirlo: ha descubierto un nuevo agujero de seguridad en iOS 9.3.1 que permite acceder a contenidos privados del iPhone sin tener la contraseña de la pantalla de bloqueo (a ver si Apple o alguna empresa de ciberseguridad se fijan en él y le ofrecen un empleo, ). El bug proviene de un agujero de seguridad de Siri, que permite puentear la necesidad de contraseña y acceder al listado completo de contactos y fotos almacenados en el dispositivo.

siri bug ios 9.3.1

Qué dispositivos son vulnerables

El bug explota una debilidad en los iPhone 6s con 3D Touch. En concreto, VBarraquito ha podido confirmar que el agujero está presente a partir de iOS 9.2.1 y yo mismo he podido confirmar que la última versión iOS 9.3.1 también está afectada en un iPhone 6s Plus. Es probable que también haya versiones vulnerables más antiguas, pero aún no hemos podido confirmarlo. Para poder acceder a tu información el atacante debe ser capaz de tener acceso físico a tu dispositivo, aunque no necesita saber tu contraseña.

Cómo acceder a contactos y fotos de iOS 9 sin contraseña

En el siguiente vídeo puedes ver cómo se hace y abajo te lo explicamos paso a paso:


 

  • Activar Siri desde la pantalla de bloqueo (dejando pulsado el botón Home o mediante la opción “Oye Siri”) y decir “Busca en Twitter“. Si Siri no tiene permiso para usar nuestra cuenta para buscar en Twitter nos lo pedirá ahora.
  •  

    siri bug ios 9.3.1 permiso

  • Ahora Siri nos pregunta qué queremos buscar. La clave del bug es conseguir que salga en pantalla un tuit en el que aparezca una dirección de correo electrónico. Es fácil conseguirlo, por ejemplo pidiéndole que busque “@gmail.com”.
  •  

    siri bug ios 9.3.1 buscar

  • Pulsa sobre un tuit cualquiera que tenga una dirección de mail. Y ahora haz una pulsación fuerte sobre dicho mail. Entre las opciones que salen del 3D Touch elige la opción “Añadir a contacto existente”.
  •  

    siri bug ios 9.3.1 añadir contacto

  • Como dicen en las películas malas de hackers, “ya estamos dentro”. Desde ahí podemos acceder a cualquier contacto del teléfono. Mails, números de teléfono, direcciones, absolutamente todo lo que tengas en la app de Contactos.
  • Si pulsamos en el icono superior que pone “Añadir foto” se puede acceder ahora a todas las fotos del equipo, sin restricciones.

Cómo protegerte de este agujero de seguridad

Para evitar este grave fallo de seguridad debes estar dispuesto a renunciar a tener Siri en la pantalla de bloqueo, para lo que debes ir a Ajustes > Touch ID y código, buscar el grupo que pone “Permitir acceso mientras está bloqueado” y desactivar la opción “Siri”. Algo que no gustará a muchos usuarios que, como yo, usamos Siri a menudo para hacer múltiples tareas con el iPhone sin necesitar de desbloquearlo con contraseña o Touch ID.

Desgraciadamente Apple sigue sin terminar de afinar el uso de Siri desde la pantalla de bloqueo. En sus condiciones de software afirma que es imposible acceder a información privada del dispositivo sin la contraseña de desbloqueo o el Touch ID. Sin embargo, han sido varias (muchas) las veces que Siri se convierte en el eslabón débil de toda la cadena. Y para quien piense que esto es una tontería que se ponga a pensar en la que se ha estado liando estas últimas semanas con el tema del FBI y la presión a Apple para que abra una puerta trasera a los datos de sus iPhone.

Esperemos que a partir de este artículo (y los que vendrán después de este) Apple se ponga las pilas y corrija rápidamente esta vulnerabilidad. Mientras tanto, quienes queramos estar protegidos tendremos que pasar un tiempo sin poder usar Siri en pantalla de bloqueo.

Muchas gracias a VBarraquito por enviarnos en exclusiva y por adelantado su vídeo para sacar este artículo. ¡Eres un crack, amigo!

Anterior Domingo en el sofá LXII: escuchador de motores y un robot de Scarlet Johansson
Siguiente 7 apps gratis por tiempo limitado para iOS (5-abril-16)

5 Comentarios

  1. luis suarez agudo
    4 de Abril, 2016
    Responder

    esto tambien pasa en iphone 6 lo acabo de probar y puedo entrar desde siri sin meter la contraseña solo mandandole que me abra o fotos o contactos estos hay que solucionarlo ya ..

  2. luis suarez agudo
    5 de Abril, 2016
    Responder

    en el 5S tambien pasa lo acabo de probar y abre con siri espero que lo soluciones pronto por que entonces para que tanta contraseña….

  3. 6 de Abril, 2016
    Responder

    Oh por Dios también funciona en iPhone 5s muy grave !!!!

  4. 6 de Abril, 2016
    Responder

    Corrección, luego de pensarlo bien, no hay fallo en 5s, al presionar el botón para que Siri funcione ya nos ha reconocido la huella, probé con un dedo que no tenía registrado y ya no funcionó, lamentó mi comentario anterior y me alegro que el bug no esté presente en el 5s

  5. @dereck
    17 de Abril, 2016
    Responder

    probe en mi iPhone 6s con iOS 9.3 y hice lo mismos que en el vídeo pero me pide que desbloque el iPhone

Contestar

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *