Apple dio 288,500 dólares a unos hackers por informar sobre 55 errores
- Cinco hackers «de sombrero blanco», o éticos, pasaron tres meses pirateando a Apple y descubrieron 55 vulnerabilidades.
- Ganaron 288,500 dólares en recompensas de Apple a cambio de revelar los errores.
- Once de esas vulnerabilidades fueron etiquetadas como «críticas», incluida una que habría permitido a los hackers robar todos los archivos y fotos almacenados en la cuenta de iCloud de una víctima antes de infectar los contactos de esa persona.
- Apple corrigió las vulnerabilidades casi inmediatamente después de que fueron reveladas, dijeron los hackers.
Un grupo de hackers pasó meses apuntando a la extensa infraestructura en línea de Apple y encontró una gran cantidad de vulnerabilidades. Entre ellas, una que habría permitido a los hackers robar archivos de cuentas de iCloud, anunciaron en una publicación de blog esta semana.
Operaban como hackers de «sombrero blanco», lo que significa que su objetivo era alertar a Apple sobre las vulnerabilidades, en lugar de robar información. El equipo estaba dirigido por Sam Curry, de 20 años, que trabajó junto a Brett Buerhaus, Ben Sadeghipour, Samuel Erb y Tanner Barnes.
«Nunca había trabajado en el programa de recompensas por errores de Apple, así que realmente no tenía idea de qué esperar; sin embargo, decidí probar suerte y ver qué podía encontrar», dijo Curry. «Aunque no había ninguna garantía con respecto a los pagos ni una comprensión de cómo funcionaba el programa, todos dijeron que sí y comenzamos a hackear a Apple».
Apple ya pagó al grupo 288,500 dólares a través de su programa de recompensas por revelar 55 vulnerabilidades; 11 de las cuales fueron etiquetadas como «severas». Curry dijo que una vez que Apple procese y recompense todos los errores que informó el grupo, su pago total puede superar los 500,000 dólares.
Una de las vulnerabilidades más atroces que encontró el grupo habría permitido a los hackers crear un gusano que roba los archivos de iCloud de una persona antes de infectar las cuentas de sus contactos. La vulnerabilidad depende del hecho de que Apple Mail es compatible con iCloud. Los hackers de sombrero blanco pudieron comprometer las cuentas de iCloud después de enviar un correo electrónico a una dirección de iCloud.com que contenía código malicioso.
Apple reparó todas las vulnerabilidades poco después de que se informaron, dijo Curry.
En el proceso de búsqueda de errores, Curry y su equipo obtuvieron información sobre la escala masiva de la infraestructura en línea de Apple. Apple posee más de 25,000 servidores web, que pertenecen a Apple.com, iCloud.com y más de 7,000 otros dominios únicos, encontraron los investigadores. Muchas de las vulnerabilidades se descubrieron al buscar a través de oscuros servidores web propiedad de Apple, como su sitio Distinguished Educators.
Apple está agradecido con este grupo de hackers
Los expertos en ciberseguridad que revisaron la investigación del equipo de Curry dijeron que, si bien algunas de las vulnerabilidades graves eran preocupantes, reflejaban desafíos inherentes que deberían esperarse para una empresa que mantiene una infraestructura en línea tan enorme.
«La amplitud de los problemas identificados dentro de la vasta presencia en línea de Apple … en realidad es más evidencia de lo difícil que es mantenerse al tanto de todos los problemas de seguridad a medida que las organizaciones crecen que un reflejo negativo de las prácticas de seguridad dentro de Apple», dijo Tim Mackey, el principal estratega de seguridad del Synopsys Cybersecurity Research Center, a Business Insider.
Apple dijo a Business Insider que apreciaba el trabajo de los hackers de sombrero blanco. También agregó que las vulnerabilidades habían sido reparadas y no había evidencia de que fueran explotadas por actores maliciosos.
«En Apple, protegemos atentamente nuestras redes y contamos con equipos de profesionales de seguridad de la información que trabajan para detectar y responder a las amenazas. Tan pronto como los investigadores nos alertaron sobre los problemas que detallan en su informe, solucionamos de inmediato las vulnerabilidades y tomamos medidas para prevenir problemas futuros de este tipo «, dijo el portavoz de Apple.
«Valoramos nuestra colaboración con los investigadores de seguridad para ayudar a mantener seguros a nuestros usuario. Les hemos dado crédito al equipo por su ayuda y los recompensaremos con el programa Apple Security Bounty».
Lee el informe completo sobre los hallazgos del equipo de hackers de sombrero blanco aquí.
AHORA LEE: Hackers vinculados a Rusia y China están atacando las campañas presidenciales de Biden y Trump, advierte Microsoft
TAMBIÉN LEE: 5 errores de seguridad que cometes con tus datos personales y financieros – y que les facilitan la vida a los hackers