Spy vs. spy: Explorando el hackeo LetMeSpy

 

El lenguaje de una violación de datos, sin importar qué empresa se vea afectada, es en gran medida el mismo. Están los datos robados, ya sean direcciones de correo electrónico, números de tarjetas de crédito o incluso registros médicos. Están los usuarios: personas comunes y corrientes que, sin culpa propia, confían erróneamente en una empresa, plataforma o servicio para mantener su información segura. Y están, por supuesto, los criminales. Algunos operan en grupos. Algunos actúan solos. Algunos roban datos como medio de extorsión. Otros lo roban como un motivo de orgullo. Todos ellos, al parecer, toman algo que no es suyo.

Pero, ¿qué sucede si un ciberdelincuente toma algo que ya puede haber sido robado?

A fines de junio, una aplicación móvil que puede, sin consentimiento, entrometerse en mensajes de texto, monitorear registros de llamadas y rastrear el historial de ubicación GPS, advirtió a sus usuarios que sus servicios habían sido pirateados. Las direcciones de correo electrónico, los números de teléfono y el contenido de los mensajes se deslizaron, pero la forma en que se recopilaron originalmente requiere escrutinio. Esto se debe a que la aplicación en sí, llamada LetMeSpy, se anuncia como una aplicación de monitoreo de padres y empleadores, que se instalará en los dispositivos de otras personas que los usuarios de LetMeSpy desean rastrear.

¿Quieres leer los mensajes de texto de tu hijo? LetMeSpy dice que puede ayudar. ¿Quieres ver dónde están? LetMeSpy dice que también puede hacer eso. ¿Qué pasa con los empleadores que están interesados en la vaga idea de "control y seguridad" de su negocio? No busque más allá de LetMeSpy, por supuesto.

Si bien el sitio web de LetMeSpy les dice a los usuarios que "el control del teléfono sin su conocimiento y consentimiento puede ser ilegal en su país" (está en los Estados Unidos y muchos, muchos otros), la aplicación también afirma que puede ocultarse de la vista de la persona que está siendo rastreada. Y esa característica, en particular, es uno de los signos más reveladores del "stalkerware".

Stalkerware es un término utilizado por la industria de la ciberseguridad para describir aplicaciones móviles, principalmente en Android, que pueden acceder a los mensajes de texto, fotos, videos, registros de llamadas y ubicaciones GPS de un dispositivo sin que el propietario del dispositivo sepa sobre dicha vigilancia. Este tipo de aplicaciones también pueden grabar automáticamente cada llamada telefónica realizada y recibida por un dispositivo, apagar el WiFi de un dispositivo y tomar el control de la cámara y el micrófono del dispositivo para tomar fotos o grabar audio, todo sin que la víctima sepa que su teléfono ha sido comprometido.

El stalkerware representa una seria amenaza, particularmente para los sobrevivientes de abuso doméstico, y Malwarebytes ha defendido a los usuarios contra este tipo de aplicaciones durante años. Pero el hackeo de una aplicación con una funcionalidad similar plantea preguntas.

Hoy, en el podcast Lock and Code con el presentador David Ruiz, hablamos con la hacktivista y bloguera de seguridad Maia Arson Crimew sobre los datos que se revelaron en el hackeo de LetMeSpy, los esfuerzos casi torpes de los desarrolladores para hacer y comercializar estas aplicaciones en línea, y si este hack, y otros en el pasado, son "buenos".