2007 será el año de la (in)seguridad en los terminales móviles. Por un lado, crece vertiginosamente el número de amenazas de software malicioso detectadas. Y por otro, se descubren nuevos puntos débiles, como la posibilidad de utilizar los SMS de servicio de las operadoras para propagar infecciones de virus.

por Xavier Caballé

Si ha seguido las predicciones para el año 2007 que se publican aquí y allí durante estas fechas, seguro que en más de un lugar habrá leído que los teléfonos móviles darán de hablar en temas de seguridad informática. Y mucho me temo que realmente será así.

En estos momentos se cumplen ya dos prerrequisitos para permitir la proliferación de virus en los teléfonos móviles.

En primer lugar, los teléfonos móviles son equipos con la suficiente potencia de proceso para permitir hacer cosas interesantes. De hecho, cualquier teléfono móvil actual tiene como mínimo la misma capacidad de proceso que la de un ordenador personal de hace unos pocos años.

En segundo lugar, tenemos la estandarización de sus sistemas operativos. Hasta la fecha, cada modelo de teléfono de cada fabricante disponía de su único y particular sistema operativo. Esto impedía, por la simple regla del número de víctimas potenciales, la proliferación de ataques masivos. Si un equipo concreto era vulnerable de alguna forma, su número de usuarios (siempre reducido comparado con el global) hacía que no hubiera alicientes para los autores de virus, por lo que continuaban concentrándose allí donde sus acciones continuaban siendo más conocidas.

Hoy en día, los teléfonos móviles empiezan a mostrar una unificación en su software de base. La mayoría de teléfonos avanzados actuales ya utilizan alguno de estos tres sistemas operativos: Symbian, Windows Mobile, Java (J2ME) o bien Palm OS.

Si a todo esto le sumamos el interés que despierta la propagación de virus y gusanos en los teléfonos móviles, el cóctel explosivo está agitándose... y en breve será servido.

Recopilemos algunos datos. Hace unas semanas, el fabricante de antivirus F-Secure realizaba un recuento del software malicioso ya existente para las diversas plataformas móviles y constataba el importante aumento: de 27 especimenes identificados en el 2004 hemos pasado 334 el pasado 2006. Destaca especialmente la explosión de malware para el sistema operativo Symbian, que representa el 98% del total.

Tenemos por tanto, la demostración del interés de los autores de virus en desarrollar código malicioso para teléfonos móviles.

Existe otro problema para completar la amenaza: como distribuimos el gusano. Bien, un investigador alemán ya ha conseguido solucionarlo. Se trata de utilizar los mensajes de servicio que envían los operadores de la red para configurar los teléfonos de los usuarios. Son ideales para este objetivo: cuando el teléfono recibe uno de estos mensajes, lo ejecuta sin verificar quien lo está enviando. En algunos casos, requiere que el usuario lea el mensaje (algo que hacemos todos cuando el teléfono emite los dos bips cortos) antes de ejecutar el programa asociado. En otros teléfonos, se ejecuta automáticamente nada más recibirlo.

Por tanto, es cuestión de tiempo que se descubra algún método para forzar el envío de estos mensajes de servicio y utilizarlos para la difusión masiva de gusanos o virus. No cuesta mucho imaginar un gusano que, cuando infecte un teléfono, empiece a enviar copias de él mismo a todos los contactos de nuestra agenda... o, incluso más radical, que llame envíe los mensajes de forma aleatoria a cualquier número de teléfono. Esto causaría pánico en nuestra factura telefónica y, más todavía, en las compañías telefónicas que verían como sus redes son incapaces de aguantar el alud de mensajes enviados de forma indiscriminada.

Definitivamente, el año 2007 será el de la seguridad en los teléfonos móviles!