Alguien ha hackeado el nuevo iPhone y reivindica el millón de dólares de recompensa

Este artículo fue publicado originalmente en Motherboard.

Los dispositivos de la marca Apple se consideran extremadamente seguros y difíciles de hackear. Claro que como bien dice el proverbio de internet, "todo puede ser hackeado — hasta el nuevo iphone.

A principios de noviembre alguien aseguró haber resuelto el enigma para hacerse con la recompensa de 1 millón de dólares propuesta por el fundador de la startup Zerodium. Su fundador, Chaouki Bekar, un popular marchante de lo desconocido, que propuso descubrir la primera vulnerabilidad conocida en los dispositivos de la marca fundada por Steve Jobs.

Our iOS — Zerodium (@Zerodium)noviembre 2, 2015

"Nuestra recompensa iOS #0días ha caducado y tenemos una equipo ganador que hizo un iOS basado en el navegador remoto 9.1 / #jailbreak 9.2b (sin ataduras). ¡Enhorabuena!"

El desafío propuesto por Bekar no era otra que encontrar una manera de infiltrarse remotamente en un iPhone o en un iPad que funcionen con el más reciente sistema operativo de la corporación californiana, el iOS 9.1 o 9.2b. La propuesta de Bekar era desafiar a que el pirata o la pirata instalaran cualquier aplicación dentro del sistema mencionado. El abuso, según dictaban los términos del desafío, tenía que se infligido a través de los buscadores Safari o Google Chrome, o a través de un mensaje de texto multimedia.

Todo lo cual, significa, básicamente, que los participantes tenían que encontrar una serie o una cadena de virus que revelaran una vulnerabilidad en el sistema desconocida. No se trataba de encontrar solo una, sino varias, explica Patrick Wardle, un investigador que trabaja para la firma Synack. Por ejemplo, el equipo de hackers éticos Pangu ha anunciado que ha descubierto una manera de hackear el nuevo iPhone, sin embargo se trataría de un sistema que no funciona a nivel remoto.

En otras palabras, el desafío no era fácil. De hecho, a mitad de octubre, Bekar ya anunció a que todavía nadie había reivindicado el premio, a pesar de que Zerodium estaba en contacto con dos equipos distintos que estaban trabajando de manera independiente. Ambos, según explicó, se habían quedado atascados en el mismo punto.

"Conseguir infiltrarse en el nuevo sistema operativo de Apple remotamente a través de Safari o de Google Chrome, exige, como mínimo, dos o tres infiltraciones extra", explica Bekar a través de un mensaje directo vía Twitter. Según cuenta, estaría considerando ampliar el desafío.

Sin embargo, uno de los equipos ha conseguido, finalmente, encontrar una manera.

"El equipo ganador ha presentado las soluciones apenas unas horas antes de que haya terminado el plazo para reclamar la recompensa", eplica Bekar.

Relata que el equipo ganador ha encontrado "una serie de vulnerabilidades" en el explorador Chrome y en el sistema iOS para sortear "casi todos los obstáculos" y conseguir "penetrar completa y remotamente en el sistema operativo a través de un buscador remoto".

China tiene un nuevo planeador hipersónico con misiles nucleares, pero ¿pueden conducirlo?. Leer más aquí.

En caso de ser cierto, se trataría de un hallazgo sin precedentes. Nadie había encontrado la manera (al menos, eso es lo que sabemos) de meterse en una iPhone remotamente durante más de un año, desde la implantación del sistema operativo iOS 7.

Muchas compañías tecnológicas, como Facebook y Google, han lanzado programas destinados a cazar virus y han ofrecido recompensas a los hackers honestos que encuentran las vulnerabilidades y se las muestren a la compañía para que esta pueda corregirlas. Hay varios cazadores de virus que trabajan como intermediarios para las grandes corporaciones, como HackerOne y Bugcrowd. Ambas trabajan como plataformas abiertas de caza de virus [Apple no dispone de un programa de caza de virus].

Tanto Bekar como Zerodium, al igual que su predecesor, VUPEN, tienen distintos modelos de negocio. Estas ofrecen a menudo recompensas mucho más elevadas que las corporaciones tecnológicas, y no publicitan las vulnerabilidades. Tan solo se las revelan a determinados clientes del gobierno, como la NASA.

Bekar ha preferido no identificar al equipo que ha ganado el premio ni los detalles sobre las debilidades descubiertas. Tampoco ha querido revelar por cuanto pretende vender su información.

Sin embargo, no cabe duda de que para algunos la infiltración es sumamente valiosa. Las agencias de inteligencia estadounidenses, como la NSA o la CIA se han encontrado siempre con problemas cuando han intentado hackear iPhones para espiar a sus objetivos. El FBI, sin ir más lejos, lleva meses quejándose del sistema de encriptación de Apple. Si lograran infiltrarse conseguirían eludir las medidas de seguridad y meterse en el iPhone de sus objetivos para interceptar las llamadas, los mensajes y la información almacenada en el aparato en cuestión.

Una fuente que trabajaba con la NASA, reveló a VICE hace unas semanas que un millón de dólares es un buen precio por revelar la vulnerabilidad, porque "si se lo vendes a la gente adecuada, puedes conseguir muchísimo más".

Apple eludió manifestarse al respecto.

Kim Dotcom: el hombre tras Megaupload. Mira el documental aquí.

Algunos expertos, en cualquier caso, no se sorprendieron de que alguien hubiese obtenido la recompensa — a pesar de que uno de los investigadores es escéptico con la idea de que Zerodium consiga, realmente, cumplir con su promesa. "Encontrar una manera de infiltrarse no es sorprendente… lo impactante sería que, realmente, pagaran la recompensa", explica a Motherboard vía email el investigador en seguridad independiente Jonathan Zdziarski, quien lleva investigando durante años los dispositivos de Apple. ¿El precio es de un millón de dólares, verdad? No me creo que nadie se lo crea realmente hasta que lo vea. Pero vaya, todos mis respetos si lo hacen".

Bekar explicó que Zerodium sigue analizando las vulnerabilidades para asegurarse de que la cadena de revelaciones para adentrarse en el sistema operativo "respeta completamente las reglas de la recompensa".

También ha declarado estar convencido de que Apple subsanará su flaqueza "en unas semanas o en unos meses", y que los clientes de Zerodium tendrán ahora la posibilidad de aprender como se construye la seguridad del sistema operativo iOS y de "tomar mejores decisiones sobre los dispositivos móviles que usarán en el futuro (si iOS o si Android), para así protegerse lo mejor que puedan".

"Este desafío es una inmejorable campaña de publicidad para Apple, puesto que ha confirmado de nuevo que la seguridad del iOS es real y no una mera campaña de marketing", asegura Bekar. "No hay ningún otro software que merezca tan elevada recompensa por ser hackeado".

Wardle, director de investigación en Synack, una empresa que hace las veces de intermediaria y que pone en contacto a sus clientes con investigadores en seguridad, ha contado que para él, cada vez que Apple saca un producto nuevo soluciona "un millón de problemas de seguridad que tenían los anteriores", lo que significa que los dispositivos de la empresa californiana no son imposibles de hackear. Para nada.

"El sistema operativo iOS no es necesariamente un sistema con menos virus que el resto de sistemas operativos", me cuenta Wardle.

Y ahora, gracias a un grupo de hackers desconocidos, sabemos que eso es verdad.

El 'movimiento tech' cubano ante el reto del fin del embargo de Estados Unidos. Leer más aquí.

Este artículo ha sido actualizado para incorporar las declaraciones de Bekar

Sigue a VICE News En Español en Twitter: @VICENewsES