Um grupo de pesquisadores de segurança descobriu uma vulnerabilidade alarmante nos sistemas operacionais da Apple, iOS e OS X, que permite que hackers roubem dados e senhas dos usuários. Os pesquisadores explicaram que foram capazes de "roubar informações confidenciais, tais como senhas do iCloud, e-mail e banco e também os tokens do Evernote".
Basicamente, esses pesquisadores criaram um malware e o carregaram para a App Store, da Apple, na forma de um aplicativo comum. Durante os testes, o app então conseguiu roubar as credenciais dos aplicativos já existentes em seus telefones. Essas credenciais incluem senhas e outros dados delicados presentes nos aplicativos.
Os testes desse malware foram realizados com uma enorme quantidade de aplicativos da Apple e o resultado mostrou que mais de 88,6% estavam completamente expostos. A lista inclui aplicativos extremamente populares, como o gerenciador de senhas 1Password e Google Chrome.
Já nos dispositivos da Samsung, a falha aconteceu teclado SwiftKey, que colocou cerca de 600 milhões de smartphones em situação vulnerável. O exploit atinge dispositivos que já vêm com o SwiftKey pré-instalado, incluindo o novo Galaxy S6.
A vulnerabilidade surge quando o SwiftKey procura atualizações para seus pacotes de idiomas por meio de linhas de código não criptografadas, em texto simples. Nessa hora, os hackers podem criar um servidor proxy falso e enviar atualizações de segurança maliciosas para os dispositivos afetados, juntamente com uma validação de dados para garantir que o malware permanece instalado no dispositivo. Isso dá gancho para que os criminosos encontrem maneiras de escalonar o ataque e explorar o dispositivo sem o conhecimento dos usuários.
O pesquisador Ryan Welton, da NowSecure, descobriu o bug no final do ano passado e alertou a Samsung e a equipe de segurança do Android. Pouco tempo depois, a Samsung liberou um patch para as operadoras de telefonia móvel, mas não está claro se as empresas passaram a correção para todos os seus clientes por meio de suas redes móveis.
Como o SwiftKey é um teclado padrão, não existe como desinstalá-lo. Mesmo se o teclado não estiver sendo usado, ele ainda deixa o telefone vulnerável. Usuários móveis da Samsung estão sendo aconselhados a perguntar à sua operadora de telefonia móvel se o patch de rede está disponível. Caso a resposta seja negativa, o melhor a fazer é ficar longe de redes Wi-Fi desconhecidas.