Un bug nella tastiera pre-installata su milioni di dispositivi permetterebbe a chiunque di entrare nel sistema e prenderne il controllo
Avete presente SwiftKey, la tastiera installata di default su vari modelli di Samsung Galaxy? Bene, pare che il problema di sicurezza per circa 600 milioni di smartphone dipenda proprio da lei. Scoperto in prima battuta da Ryan Welton della società di sicurezza NowSecure, il bug risiederebbe nella modalità di ricerca dell’app di aggiornamenti dei language pack attraverso connessioni in chiaro e non crittografate. Questo permetterebbe a chiunque, e Welton lo ha fatto, di creare un server farlocco per far credere al telefono di scaricare davvero gli update dei pacchetti invece di codici maligni e malware. Con un metodo del genere un hacker capace potrebbe entrare facilmente nello smartphone e rubare file e dati personali senza che il reale possessore si accorga di nulla.
Due parole sono troppe
NowSecure ha avvisato della falla Samsung già lo scorso novembre e qualche mese fa il produttore aveva risposto affermando che per fine marzo avrebbe prodotto una patch da veicolare attraverso gli operatori internazionali. Tuttavia pare che il bug sia ancora presente e per nulla risolto. Welton ha parlato del problema al Blackhat Security Summit di Londra di martedì, mostrando come la finestra aperta nel sistema funzioni anche su dispositivi recentissimi come il Galaxy S6. “Possiamo confermare che il bug è ancora presente almeno sulle reti Verizon e Sprint dopo le prove che abbiamo effettuato nel corso degli ultimi due giorni” – ha spiegato. Secondo NowSecure il problema riguarderebbe di certo i Gaalxy S3, S4, S5, Note 3 e Note 4 ma a questo punto anche gli altri con SwiftKey di default entrerebbero di diritto nella lista (Galaxy Alpha? Galaxy A3/A5/A7?). Secondo SwiftKey il pericolo intrusione risiederebbe solo per le versioni dell’app pre-installate sui Samsung e non in quella indipendente che è possibile scaricare da Google Play e App Store: “Abbiamo accolto seriamente la segnalazione e stiamo indagando ulteriormente su come intervenire”. Secondo l’agenzia di sicurezza il problema non si risolverebbe scaricando la versione dell’app presente sugli store digitali vista la necessità di un intervento a monte per risolvere l’insicurezza individuata nel software pre-installato sugli smartphone.
