Falha de segurança no teclado SwiftKey deixa dispositivos da Samsung vulneráveis
Por Joyce Macedo | 17 de Junho de 2015 às 11h16
Um especialista em segurança móvel descobriu uma falha no teclado SwiftKey que coloca cerca de 600 milhões de telefones da Samsung em situação vulnerável. O exploit atinge dispositivos que já vêm com o SwiftKey pré-instalado, incluindo o novo Galaxy S6.
A vulnerabilidade surge quando o SwiftKey procura atualizações para seus pacotes de idiomas por meio de linhas de código não criptografadas, em texto simples. Nessa hora, os hackers podem criar um servidor proxy falso e enviar atualizações de segurança maliciosas para os dispositivos afetados, juntamente com uma validação de dados para garantir que o malware permanece instalado no dispositivo. Isso dá gancho para que os criminosos encontrem maneiras de escalonar o ataque e explorar o dispositivo sem o conhecimento dos usuários.
O exploit pode ser usado para dar privilégios de usuário ao invasor, permitindo-lhe desviar dados de contatos, mensagens de texto, logins bancários e mais informações que a vítima considere privadas. A vulnerabilidade ainda permite que o dispositivo seja monitorado remotamente.
O pesquisador Ryan Welton, da NowSecure, descobriu o bug no final do ano passado e alertou a Samsung e a equipe de segurança do Android. Pouco tempo depois, a Samsung liberou um patch para as operadoras de telefonia móvel, mas não está claro se as empresas passaram a correção para todos os seus clientes por meio de suas redes móveis.
"Nós podemos confirmar que encontramos a falha ainda não corrigida no Galaxy S6 para as redes da Verizon e Sprint em testes que fizemos ao longo dos últimos dois dias", afirmou a NowSecure. Um porta-voz do SwiftKey tentou acalmar os usuários dizendo que viu "relatos de um problema de segurança relacionado ao teclado da Samsung" e garantiu que "os aplicativos SwiftKey disponíveis na Google Play Store e na App Store da Apple não são afetados por essa vulnerabilidade".
Como o SwiftKey é um teclado padrão, não existe como desinstalá-lo. Mesmo se o teclado não estiver sendo usado, ele ainda deixa o telefone vulnerável. Usuários móveis da Samsung estão sendo aconselhados a perguntar à sua operadora de telefonia móvel se o patch de rede está disponível. Caso a resposta seja negativa, o melhor a fazer é ficar longe de redes Wi-Fi desconhecidas.
Confira o hack em ação:
Fonte: Forbes