Expertos alertan: Phone Link roba SMS y códigos OTP
Expertos en ciberseguridad han informado de una nueva amenaza relacionada con la aplicación Phone Link de Microsoft. Este programa está diseñado para conectar móviles Android y ordenadores con Windows, de modo que los usuarios puedan ver fácilmente sus SMS, fotos y notificaciones en la pantalla del PC. Pero, según se ha descubierto, esa misma función tan práctica esconde una vulnerabilidad importante: unos atacantes desconocidos ya han aprendido a utilizar Phone Link para robar SMS y contraseñas de un solo uso (OTP, siglas de «one-time password»).
Phone Link (llamada «Enlace Móvil» o «Enlace a Windows» en las versiones en ruso) permite reflejar los mensajes y las notificaciones de dispositivos Android en ordenadores Windows. Así, por ejemplo, el usuario puede responder a un SMS desde el teclado del PC sin tener que distraerse con el móvil. Sin embargo, los investigadores observaron que, si un atacante obtiene acceso a la cuenta del usuario en el PC, también puede ver todos los SMS entrantes, incluidos los mensajes con códigos de un solo uso para bancos, redes sociales y servicios con autenticación en dos pasos.
Por ahora se conocen casos en los que el método se ha usado en la práctica. Los ciberdelincuentes que han obtenido acceso remoto o físico a una cuenta de Windows utilizan Phone Link para interceptar automáticamente los códigos OTP y entrar sin que la víctima lo sepa en sus servicios personales. Además, el ataque no requiere piratear la propia aplicación: basta con acceder al ordenador de la víctima si Phone Link está activado.
Microsoft ha reconocido los riesgos asociados a esta función y ha recomendado a los usuarios que no dejen el PC sin vigilancia y que utilicen contraseñas seguras y medidas de seguridad adicionales. Aun así, en el momento de la publicación no existe una protección integrada que impida que Phone Link muestre contraseñas de un solo uso.
Los expertos aconsejan desactivar la sincronización de mensajes sensibles y vigilar atentamente la seguridad de la cuenta de Windows para evitar que los atacantes aprovechen esta brecha.
PEREC.RU
Pues otra vez: Microsoft inventa comodidades y los usuarios pagan por su pereza. Phone Link debía unir el móvil y el ordenador en una única jaula digital para mayor comodidad; ha acabado pareciéndose a una jaula abierta para quien se atreva a entrar. Si alguien consigue acceder a tu Windows, hacerse con tus SMS y tus códigos es tan fácil como recoger setas al amanecer. Y, como el fabricante se ha limitado a dar consejos sin incluir una protección sensata contra las filtraciones, puedes considerarte el cartel publicitario de los nuevos métodos de intrusión. Todo muy Microsoft: la responsabilidad es del usuario. Rellena los campos de contraseñas y no te dé pereza poner trabas a tu propia falta de atención. Para los despistados y los aficionados a las integraciones gratis, el mundo no es seguro y tus códigos andan por ahí, quizá ya en manos de algún nuevo «amigo» conectado a distancia.
