¿Telegram es una aplicación segura? Estos dos rusos no están tan convencidos

El 29 de abril, dos activistas opositores rusos reportaron que sus cuentas de Telegram habían sufrido un ataque remoto. Georgy Alburov, líder de la Fundación Anticorrupción, y Oleg Kozlovsky, director del Vision of Tomorrow Center en Moscú, creen que el acceso no autorizado a sus cuentas fue obtenido mediante la manipulación del login SMS de la aplicación. Sospechan que el gobierno ruso pueda haber estado involucrado en el hackeo. (Lea "Entérese qué está pasando en el mundo acerca de ciberseguridad y derechos digitales")

¿Qué sucedió exactamente?

Los activistas destacaron, que según los mensajes que recibieron, los intentos de acceso no autorizado del 29 de abril se originaron en la misma dirección IP de Nueva York. Alburov también señaló que los hackers usaron una línea de comandos poco conocida de Telegram, TelegramCli, para acceder a sus cuentas.

Aunque a ambos activistas eventualmente les llegaron notificaciones de login sospechosas, no recibieron avisos de solicitud de cambio de contraseña ni pedidos de autenticación, y recién se enteraron de los intentos de acceso cuando Telegram los alertó de que habían accedido a sus cuentas desde un nuevo dispositivo.

Entonces ¿cómo consiguieron los hackers acceder a Telegram?

Alburov y Kozlovsky recurrieron al servicio de asistencia de Telegram, y recibieron una respuesta que decía que habían accedido a sus cuentas mediante autorización basada en texto, que permite a los usuarios conectar nuevos dispositivos a cuentas de Telegram con solo ingresar un código de verificación recibido vía mensaje de texto. Como ni Alburov ni Kozlovsky tenían activada la verificación en dos pasos en sus cuentas, los hackers lograron acceder.

El interrogante permanece: ¿cómo consiguieron el mensaje de texto los hackers sin que los titulares de las cuentas lo notaran? Kozlovsky sometió a un implacable interrogatorio al equipo de asistencia técnica de MTS, uno de los principales proveedores de telefonía celular de Rusia, y descubrió que el servicio de envío de mensaje de texto para su tarjeta SIM permaneció desactivado durante varias horas la noche en que su cuenta de Telegram fue hackeada.

Pese a que un vocero de MTS luego negó que haya existido actividad “intencional” orientada a desactivar servicios, Kozlovsky considera que la empresa proveedora está directamente implicada en el incidente. El activista resumió sus hallazgos en una publicación en Facebook en la que intentó reconstruir los hechos:

“A las 2:25 a.m. el departamento de seguridad técnica de MTS desactiva el servicio de envío de mensajes de texto para mi número. Quince minutos después, a las 2:40 a.m., alguien usa una consola Unix con la dirección IP 162.247.72.27 (este es un nodo de salida Tor para navegar en modo anónimo) para enviar a Telegram una solicitud de autorización para que un nuevo dispositivo opere con mi número telefónico. Luego me envían un mensaje de texto con el código, que nunca recibí (porque el servicio estaba desactivado para mí). A las 3:08 a.m., el hacker ingresa el nuevo código de autorización y accede a mi cuenta. Telegram me envía una notificación automática (que recién vi la mañana siguiente). A las 3:12 am la cuenta de Zhora Alburov es hackeada de modo similar desde la misma dirección IP (y desde la misma sesión en Tor). A las 4:55 a.m. el departamento de seguridad técnica de MTS reactiva el servicio de envío de mensajes de texto para mi número. MTS se negó a señalar la causa por la que desactivó y reactivó el servicio para mi número y sugirió que presentara una solicitud de información por escrito”.

Lo que aún no queda claro es cómo los hackers lograron interceptar el mensaje de texto que contenía el nuevo código de autorización. Según Vladislav Zdolnikov, experto en tecnología que trabaja en la Fundación Anticorrupción, el ataque pudo haber sido orquestado por el Servicio Estatal de Seguridad ruso (FSB) junto con MTS, con el propósito de acceder a los registros de conversaciones de los activistas. Zdolnikov especula que el mensaje de texto pudo haber sido interceptado usando una tarjeta SIM clonada o directamente en la puerta de acceso SMS perteneciente a MTS.

“No existen dudas acerca de que toda esta operación especial fue organizada y ejecutada en parte por FSB. Ninguna otra organización tiene la capacidad para desactivar mensajes de texto de noche a través del departamento de seguridad técnica de un operador federal de telecomunicaciones”, dijo Zdolnikov.

En abril pasado, numerosos periodistas rusos, incluso Roman Shleynov que trabajó con OCCRP en la investigación de los Panama Papers, y Oleg Kashin, mencionaron haber recibido advertencias de seguridad de Google acerca de posibles intentos aprobados por el estado de hackear sus cuentas de correo electrónico. En setiembre de 2015, un editor y un periodista del periódico Novaya Gazeta reportaron que sus cuentas de correo habían sido hackeadas por personas que obtuvieron duplicados no autorizados de sus tarjetas SIM de las compañías de telefonía móvil.

El fundador de Telegram Pavel Durov reaccionó ante la noticia: “Usuarios de países conflictivos: asegúrense de tener activada la verificación en dos pasos – en Telegram y demás servicios”.

¿Cómo pueden protegerse los usuarios de Telegram?

En respuesta a la noticia del hackeo, Frederick Jacobs, colaborador de Bellingcat, se refirió a casos similares de manipulación del login en SMS para atentar contra cuentas de Telegram ocurridos en Irán a principios de este año.

“Los SMS son fáciles de interceptar para tu proveedor de servicio de comunicaciones. Y en casi todos los países, esas empresas están cooperando activamente con el estado para interceptar mensajes de texto y llamadas telefónicas. […] Si un solo SMS permite acceder a la cuenta e información de un usuario, diseñaste tu sistema con una puerta trasera que cualquier adversario serio puede abrir”.

Jacobs considera que los usuarios en ambientes represivos deben ser incluso más cautos y harían bien en “usar siempre encriptación de punto-a-punto” y “verificación por huellas digitales para comunicaciones importantes”, para evitar los peligros de la falsificación de cuentas. 

*La versión original de este texto fue publicada por Global Voices. La traducción es de Cecilia Cárdenas. Licencia Creative Commons.

El 29 de abril, dos activistas opositores rusos reportaron que sus cuentas de Telegram habían sufrido un ataque remoto. Georgy Alburov, líder de la Fundación Anticorrupción, y Oleg Kozlovsky, director del Vision of Tomorrow Center en Moscú, creen que el acceso no autorizado a sus cuentas fue obtenido mediante la manipulación del login SMS de la aplicación. Sospechan que el gobierno ruso pueda haber estado involucrado en el hackeo. (Lea "Entérese qué está pasando en el mundo acerca de ciberseguridad y derechos digitales")

¿Qué sucedió exactamente?

Los activistas destacaron, que según los mensajes que recibieron, los intentos de acceso no autorizado del 29 de abril se originaron en la misma dirección IP de Nueva York. Alburov también señaló que los hackers usaron una línea de comandos poco conocida de Telegram, TelegramCli, para acceder a sus cuentas.

Aunque a ambos activistas eventualmente les llegaron notificaciones de login sospechosas, no recibieron avisos de solicitud de cambio de contraseña ni pedidos de autenticación, y recién se enteraron de los intentos de acceso cuando Telegram los alertó de que habían accedido a sus cuentas desde un nuevo dispositivo.

Entonces ¿cómo consiguieron los hackers acceder a Telegram?

Alburov y Kozlovsky recurrieron al servicio de asistencia de Telegram, y recibieron una respuesta que decía que habían accedido a sus cuentas mediante autorización basada en texto, que permite a los usuarios conectar nuevos dispositivos a cuentas de Telegram con solo ingresar un código de verificación recibido vía mensaje de texto. Como ni Alburov ni Kozlovsky tenían activada la verificación en dos pasos en sus cuentas, los hackers lograron acceder.

El interrogante permanece: ¿cómo consiguieron el mensaje de texto los hackers sin que los titulares de las cuentas lo notaran? Kozlovsky sometió a un implacable interrogatorio al equipo de asistencia técnica de MTS, uno de los principales proveedores de telefonía celular de Rusia, y descubrió que el servicio de envío de mensaje de texto para su tarjeta SIM permaneció desactivado durante varias horas la noche en que su cuenta de Telegram fue hackeada.

Pese a que un vocero de MTS luego negó que haya existido actividad “intencional” orientada a desactivar servicios, Kozlovsky considera que la empresa proveedora está directamente implicada en el incidente. El activista resumió sus hallazgos en una publicación en Facebook en la que intentó reconstruir los hechos:

“A las 2:25 a.m. el departamento de seguridad técnica de MTS desactiva el servicio de envío de mensajes de texto para mi número. Quince minutos después, a las 2:40 a.m., alguien usa una consola Unix con la dirección IP 162.247.72.27 (este es un nodo de salida Tor para navegar en modo anónimo) para enviar a Telegram una solicitud de autorización para que un nuevo dispositivo opere con mi número telefónico. Luego me envían un mensaje de texto con el código, que nunca recibí (porque el servicio estaba desactivado para mí). A las 3:08 a.m., el hacker ingresa el nuevo código de autorización y accede a mi cuenta. Telegram me envía una notificación automática (que recién vi la mañana siguiente). A las 3:12 am la cuenta de Zhora Alburov es hackeada de modo similar desde la misma dirección IP (y desde la misma sesión en Tor). A las 4:55 a.m. el departamento de seguridad técnica de MTS reactiva el servicio de envío de mensajes de texto para mi número. MTS se negó a señalar la causa por la que desactivó y reactivó el servicio para mi número y sugirió que presentara una solicitud de información por escrito”.

Lo que aún no queda claro es cómo los hackers lograron interceptar el mensaje de texto que contenía el nuevo código de autorización. Según Vladislav Zdolnikov, experto en tecnología que trabaja en la Fundación Anticorrupción, el ataque pudo haber sido orquestado por el Servicio Estatal de Seguridad ruso (FSB) junto con MTS, con el propósito de acceder a los registros de conversaciones de los activistas. Zdolnikov especula que el mensaje de texto pudo haber sido interceptado usando una tarjeta SIM clonada o directamente en la puerta de acceso SMS perteneciente a MTS.

“No existen dudas acerca de que toda esta operación especial fue organizada y ejecutada en parte por FSB. Ninguna otra organización tiene la capacidad para desactivar mensajes de texto de noche a través del departamento de seguridad técnica de un operador federal de telecomunicaciones”, dijo Zdolnikov.

En abril pasado, numerosos periodistas rusos, incluso Roman Shleynov que trabajó con OCCRP en la investigación de los Panama Papers, y Oleg Kashin, mencionaron haber recibido advertencias de seguridad de Google acerca de posibles intentos aprobados por el estado de hackear sus cuentas de correo electrónico. En setiembre de 2015, un editor y un periodista del periódico Novaya Gazeta reportaron que sus cuentas de correo habían sido hackeadas por personas que obtuvieron duplicados no autorizados de sus tarjetas SIM de las compañías de telefonía móvil.

El fundador de Telegram Pavel Durov reaccionó ante la noticia: “Usuarios de países conflictivos: asegúrense de tener activada la verificación en dos pasos – en Telegram y demás servicios”.

¿Cómo pueden protegerse los usuarios de Telegram?

En respuesta a la noticia del hackeo, Frederick Jacobs, colaborador de Bellingcat, se refirió a casos similares de manipulación del login en SMS para atentar contra cuentas de Telegram ocurridos en Irán a principios de este año.

“Los SMS son fáciles de interceptar para tu proveedor de servicio de comunicaciones. Y en casi todos los países, esas empresas están cooperando activamente con el estado para interceptar mensajes de texto y llamadas telefónicas. […] Si un solo SMS permite acceder a la cuenta e información de un usuario, diseñaste tu sistema con una puerta trasera que cualquier adversario serio puede abrir”.

Jacobs considera que los usuarios en ambientes represivos deben ser incluso más cautos y harían bien en “usar siempre encriptación de punto-a-punto” y “verificación por huellas digitales para comunicaciones importantes”, para evitar los peligros de la falsificación de cuentas. 

*La versión original de este texto fue publicada por Global Voices. La traducción es de Cecilia Cárdenas. Licencia Creative Commons.