Muchas empresas optan por gastar más en teléfonos inteligentes y computadoras de Apple porque se supone que son más seguras que las alternativas más asequibles que ejecutan Android o Windows. Pero no son completamente a prueba de balas.
Los investigadores han descubierto una falla preocupante en un servicio de Apple que permite a los piratas informáticos robar contraseñas comerciales de dispositivos macOS e iOS.
Apple ha hecho de los clientes comerciales un gran enfoque en los últimos años, ya que busca robar participación de mercado a sus rivales. Incluso se ha asociado con empresas como IBM, Accenture, y Fuerza de ventas para crear mejores aplicaciones empresariales.
Sin embargo, parece que debe tener cuidado con el uso de dispositivos Apple en los negocios en este momento.
Fallo de seguridad descubierto en el Programa de inscripción de dispositivos de Apple
Los investigadores de Duo Security han descubierto una falla en el Programa de inscripción de dispositivos (DEP) de Apple, lo que ayuda empresas administran y protegen sus dispositivos Mac e iOS, lo que hace posible robar Wi-Fi y aplicaciones contraseñas.
El truco implica inscribir un dispositivo no autorizado en el sistema DEP y luego registrarlo en el servidor de administración de dispositivos móviles (MDM) de una empresa. Hay varios métodos que se pueden utilizar para hacer esto.
Hackear un servidor MDM
Un método sería que los piratas informáticos encontraran un número de serie ya registrado en el sistema DEP, pero aún no configurado en el servidor de la empresa, utilizando ingeniería social. Todos sabemos lo fácil que puede ser para los piratas informáticos convencer a los usuarios desprevenidos de que proporcionen información.
Alternativamente, los piratas informáticos podrían buscar foros de productos MDM donde los empleados publican con frecuencia números de serie para obtener soporte, dice Duo Security. Otro método sería utilizar un software de "fuerza bruta" para recorrer innumerables números de serie hasta que se encuentre una coincidencia.
Una vez que tienen un dispositivo inscrito en un servidor MDM, es posible recuperar contraseñas para aplicaciones y redes Wi-Fi utilizadas en toda la empresa.
Hay salvedades
Podría pensar que es casi imposible que se produzca este tipo de ataque. Y hay salvedades.
"El atacante tiene que inscribir su dispositivo en el servidor MDM de la empresa antes de que lo haga el empleado legítimo", explica. Forbes. "Solo aceptará el número de serie requerido una vez".
Sin embargo, según los investigadores de Duo, no es tan difícil como parece. Todo lo que los hackers tienen que hacer es buscar números de serie de productos fabricados en los últimos 90 días. "Definitivamente es factible que encuentre dispositivos que aún no se hayan inscrito", dice el investigador James Barclay.
Esto no significa que deba evitar el sistema DEP de Apple o MDM, dice Barclay. “Los beneficios superan los riesgos inherentes aquí. Pero hay pasos que Apple y los clientes podrían tomar para mitigar ".
Duo recomienda que las empresas utilicen tecnología de encriptación en los chips de los dispositivos para identificarlos de forma única cuando se inscriban en el DEP. Apple también podría implementar una autenticación más fuerte y forzada, añaden.
Apple es consciente del problema
Duo ha informado de este problema a Apple, lo hizo en mayo, pero Apple no ha confirmado si se haría algo al respecto.
Apple dijo Forbes que los posibles ataques no aprovechan una vulnerabilidad en sus propios productos, y la empresa recomienda que las empresas utilicen la autenticación. Sin embargo, Barclay está "confiado en que se realizarán algunos cambios".