La API de Twilio, usada en cientos de aplicaciones de mensajería tiene un agujero de seguridad denominado Eavesdropper, que permite robar los mensajes de los usuarios de manera bastante sencilla.

Nuestros mensajes en las aplicaciones de mensajería instantánea son un objetivo para los crackers, que buscan romper la seguridad para acceder a los datos que cedemos a las aplicaciones de mensajería instantánea y nuestras conversiones, para buscar datos relevantes y chantajearnos después con estos datos. Este riesgo es un hecho y se busca de mil maneras, en este caso se ha detectado una nueva amenaza, en este caso es el bug Eavesdropper, un agujero de seguridad que podría exponer millones de mensajes de las principales Apps de mensajería instantánea.

Eavesdropper es un agujero de seguridad que permite al atacante acceder a las conversaciones de las aplicaciones más importantes, como son WhatsApp, Messenger o Telegram. Mediante este problema de seguridad, el atacante tiene acceso a los mensajes de nuestras conversaciones y puede obtener todo, no solo el texto, también las fotos, los videos, los audios y cualquier contenido que mandemos. No solo afecta a las tres aplicaciones mencionadas, este agujero de seguridad afecta a más de 700 aplicaciones, por lo que el problema es monumental.

La cifra es mareante y es que todas las aplicaciones vulnerables, en su versión de Android se han descargado nada menos que 180 millones de veces. La vulnerabilidad se encuentra en una utilidad que usan muchas aplicaciones, en Twilio y más concretamente en su API. Lo más fuerte de esto es que el problema de seguridad se arrastra desde 2011, aunque la compañía ha sido informada en a mediados de este año. Vamos, que no la han encontrado ellos, sino que después de seis años, les han dicho: ‘Eh!, que tienes un boquete de seguridad aquí, amijo’

Hay tres pasos en este ataque: reconocimiento, explotación y extracción. El primer paso es buscar todas las aplicaciones que hacen uso de la API de Twilio. El segundo se basa en hacer uso de utilidades que puedan leer e identificar las líneas problemáticas de dentro del código. Una vez tienes el punto de acceso, se usan otras herramientas para acceder y obtener los datos de los usuarios. Los audios además se pueden pasar a formato texto.

Quienes se han visto más afectados por Eavesdropper, son las empresas, que habrían visto vulneradas sus comunicaciones internas y se podrían haber robado datos fundamentales, que se podrían vender en el mercado negro o bien, podrían poner en riesgo a grandes compañías.