Bug de SMS no iPhone não existe na maioria dos concorrentes

O pesquisador pod2g encontrou na semana passada uma falha de segurança no iPhone que facilita o roubo de informações por meio de mensagens de texto. Como a vulnerabilidade se aproveita de uma alteração no cabeçalho do SMS, a brecha também poderia existir em outros celulares. Mas como saber quais aparelhos são afetados? A empresa de segurança móvel AdaptiveMobile foi pesquisar e descobriu que a maioria não possui o problema.

Relembrando: a falha existe no iPhone há cinco anos e consiste em enviar um SMS de um número mas de uma forma que aparente ser de outro. Num ataque bem sucedido, a vítima visualizaria uma mensagem vindo de um número conhecido e, ao responder ao SMS, a resposta chegaria a um número malicioso. Procurado pela imprensa, o porta-voz da Apple simplesmente sugeriu que as pessoas usassem o iMessage.

A AdaptiveMobile tentou simular o envio de SMS em uma série de smartphones com Android, Windows Mobile, BlackBerry e Symbian. A alteração do número de resposta no cabeçalho do SMS não fez diferença alguma para a maioria dos aparelhos. Isso porque esses sistemas simplesmente ignoram a existência do cabeçalho Reply-Address e enviam a mensagem de resposta para o número que aparece na tela, evitando o problema.

O BlackBerry possui uma implementação bem interessante. Ele considera o cabeçalho Reply-Address, mas exibe claramente ao usuário para qual número ele está enviando sua mensagem, como recomendado pelo padrão 3GPP, no qual o GSM é baseado. A própria especificação do SMS já diz que o Reply-Address “pode abrir portas para potenciais abusos”.

A falha ainda não foi corrigida no iOS, nem mesmo na última versão beta. A maçã, infelizmente, ainda não deu sinais de que vai consertar o problema. Não, Apple, nem todo mundo tem iPhone para usar iMessage e sua recomendação não corrige a vulnerabilidade, só joga o problema para baixo do tapete.

Com informações: SlashGear.

Receba mais notícias do Tecnoblog na sua caixa de entrada

E-mail:

* ao se inscrever você aceita a nossa política de privacidade