La agencia federal NIST y el investigador de seguridad Mohamed Baset han descubierto una grave vulnerabilidad en el servicio Encontrar Mi Móvil para terminales Samsung. Aprovechando las propias características de esta funcionalidad, el
exploit permite a terceros realizar llamadas o bloquear y desbloquear el dispositivo de forma remota.
Según señala NIST en su
informe, los controles remotos de Encontrar Mi Móvil "no validan la fuente de los códigos de bloqueo recibidos a través de una red, lo que hace más fácil para atacantes remotos causar una denegación de servicio". Debido a la relativa facilidad para ejecutar un ataque DoS, NIST ha otorgado al
exploit un índice de gravedad general situado en 7,8 sobre 10 puntos.
El servicio Encontrar Mi Móvil no viene activado por defecto en los teléfonos nuevos, pero sí que se activa automáticamente al registrar una cuenta de Samsung. Para desactivar las opciones potencialmente peligrosas es necesario modificar en consecuencia la configuración dentro de Ajustes / Más / Encontrar Mi Móvil / Controles Remotos.
Encontrar Mi Móvil ofrece todo un abanico de utilidades remotas para localizar un móvil perdido, incluyendo la realización de llamadas a máximo volumen (pese a tener el teléfono en vibración), envío de mensajes, geolocalización, formateo y bloqueo. Baset demuestra en su canal de YouTube el acceso a
algunas de estas opciones haciendo uso del
exploit.
De momento Samsung no ha realizado ninguna declaración sobre la vulnerabilidad, pero la
web oficial del servicio permite conocer una lista parcial de dispositivos vulnerables. Entre estos se encuentran Galaxy Note 3, Galaxy Note II, Galaxy S4, Galaxy S III, Galaxy S5, Galaxy Note 10.1 y Galaxy Note 8.
