Hackers hackeados: destapan una peligrosa brecha bluetooth asaltando a expertos en ciberseguridad

Las brechas informáticas más peligrosas son aquellas que pasan desapercibidas a la vista de todo el mundo. Incluso para los mejores especialistas en ciberseguridad. Investigadores españoles han expuesto este viernes uno de esos agujeros, que permite asaltar dispositivos bluetooth y tomar su control, haciendo que el atacante pueda manejarlos a voluntad. Lo han demostrado hackeando dispositivos de los asistentes a la RootedCON, el mayor congreso de ciberseguridad de habla hispana que se celebra estos días en Madrid.

Uno de los objetivos críticos de esta prueba de concepto de la investigación, realizada por la firma de ciberseguridad española Tarlogic, son los auriculares inalámbricos. "Podemos buscar los auriculares, establecer una conexión y, sin interacción del usuario, empezar a grabar el audio que están registrando esos auriculares", han explicado.

La trampa se lanzó este jueves, en la primera jornada de la RootedCON. Mientras los especialistas en ciberseguridad asistían a las charlas y actividades del congreso, los autores activaron la prueba y realizaron un bypass en las conexiones de una veintena de cascos inalámbricos, pero también pulseras y relojes inteligentes, teclados, ratones, televisiones y hasta el router de la organización.

La acción forma parte de una "revelación responsable", como se conoce en el campo de la ciberseguridad al señalamiento de vulnerabilidades para que el resto de especialistas pueda tomar consciencia de ellas y corregirlas. En este caso, la brecha es especialmente peligrosa al permitir activar el micrófono de auriculares o altavoces bluetooth por los atacantes, lo que permite espiar a empresas y ciudadanos y pone en riesgo datos personales, financieros o secretos industriales.

Una de las claves de la vulnerabilidad, han explicado los investigadores de la firma, es que muchos dispositivos bluetooth permanecen conectados sin el conocimiento del usuario. En el caso de los dispositivos personales, suelen ser períodos cortos de tiempo, durante los cuales estos aparatos siguen buscando el móvil o el ordenador de sus propietarios con los que están emparejados. En los dispositivos corporativos, sin embargo, este período puede extenderse durante toda la jornada laboral.

Un ataque en ese momento "nos permite robar las claves de emparejamiento, hacernos pasar por ese dispositivo y conectarnos a él siempre que queramos en el futuro", han revelado durante la exposición de la brecha los expertos de Tarlogic. Durante la prueba de concepto no se ha accedido a datos personales ni usado los dispositivos para ninguna actividad irregular.

La firma también ha presentado una metodología de seguridad para mejorar las protecciones de los dispositivos bluetooth y evitar estos ataques. Está pensada para empresas y fabricantes. Para los usuarios de a pie, tomar acción es un poco más complicado, confiesan los especialistas de Tarlogic a este medio.

"Una muy buena recomendación para evitar ser víctima de esto es desconectar el bluetooth del móvil", explica a elDiario.es Antonio Vázquez, encargado de exponer la vulnerabilidad junto a Jesús María Gómez. "Pero la principal responsabilidad es corporativa. Son los fabricantes los que tienen que ponerse las pilas y asegurarse de asegurar mucho mejor las conexiones bluetooth", continúa.

Muchos de los dispositivos son vulnerables a este tipo de ataques incluso aunque pongan el foco en la seguridad. Tras la presentación de la brecha, uno de los asistentes se ha acercado a los investigadores para confesarles que uno de los aparatos hackeados durante la prueba era suyo, un reloj inteligente que su fabricante promociona como seguro al ser el que utiliza el ejército de EEUU.

"El principal problema de esta vulnerabilidad es que lleva años ahí, pero como tiene muy poca visibilidad no se le busca solución", lamenta Vázquez. "También cabe preguntarse si la conexión bluetooth es necesaria en todos los dispositivos. En la presentación hacíamos la broma de que hay hasta tenedores bluetooth, pero también ocurre con aparatos sanitarios. ¿Es realmente necesario que un marcapasos tenga bluetooth?", se pregunta el experto.

La RootedCON celebra este año su décimo cuarta edición y espera batir récord de asistencia. El evento se ha convertido en una referencia de la comunidad hacker, donde se exponen sus últimos trabajos en materia de ciberseguridad, así como de especialistas en derechos digitales.