El famoso sistema de localización de Apple, conocido como «Buscar» o «Find My», ha sido tradicionalmente visto como una herramienta segura para ayudar a los usuarios a localizar sus dispositivos. Sin embargo, un grupo de investigadores de la Universidad George Mason en Virginia ha demostrado que este servicio podría ser utilizado de manera maliciosa para rastrear dispositivos Bluetooth que ni siquiera están vinculados al ecosistema de Apple.
Los expertos, Qiang Zeng y Lisa Luo, han presentado un estudio titulado «Find My Hacker«, donde explican cómo han logrado seguir el rastro de prácticamente cualquier computadora o dispositivo móvil. La clave de este exploit, llamado «nRootTag«, radica en manipular las claves criptográficas que Apple utiliza para autenticar sus dispositivos, haciéndolos parecer como si fueran un AirTag, el popular localizador de la compañía.
¿Cómo funciona el ataque?
El proceso es aterradoramente sencillo. Los investigadores han encontrado una forma de que dispositivos Bluetooth convencionales se comporten como AirTags, logrando un 90% de éxito en sus intentos.
Imagina que alguien puede rastrear la ubicación de tu cerradura inteligente sin que tú lo sepas. Este ataque no requiere permisos especiales ni escalada de privilegios; simplemente se aprovecha de la confianza que el sistema «Buscar» tiene en las señales de los dispositivos.
La técnica empleada por Luo y Zeng involucra un método eficiente de búsqueda de claves que les permite encontrar la clave correspondiente a una dirección Bluetooth única en todo el mundo. Esto significa que no importa si están en la misma habitación o a miles de kilómetros de distancia; el atacante podría acceder a la ubicación del dispositivo con un costo que apenas supera unos pocos dólares.
Implicaciones y posibles soluciones
Este hallazgo podría tener repercusiones serias, no solo para los usuarios individuales, sino también para empresas y organizaciones que dependen de la seguridad de sus dispositivos. Según Junming Chen, otro de los autores del estudio, incluso las empresas de publicidad podrían verse tentadas a utilizar esta técnica para rastrear dispositivos a larga distancia.
Los investigadores han alertado a Apple sobre esta vulnerabilidad desde el verano de 2024, sugiriendo que la solución pasa por reforzar la verificación de los dispositivos en su red. Sin embargo, el problema radica en que no todos los usuarios actualizan su software regularmente, lo que significa que esta brecha podría persistir durante años. Por lo tanto, el sistema «Buscar» seguirá siendo vulnerable y, con ello, la posibilidad de que se utilice para rastrear dispositivos ajenos.
A medida que la tecnología avanza y se integra más en nuestras vidas, es crucial estar al tanto de las implicaciones de seguridad que conlleva. La cuestión no es solo si Apple puede hacer un buen trabajo protegiendo sus dispositivos, sino también cómo se están utilizando sus sistemas por aquellos que buscan aprovecharse de ellos.