Si eres de los que guardan y tienen sus contraseñas móviles con algún servicio como LastPass, 1Password o Keeper en Android, entonces tendrás que estar muy atento, ya que una vulnerabilidad de seguridad podría estar poniendo en riesgo a tu celular.
La vulnerabilidad, denominada «AutoSpill», puede exponer las credenciales guardadas de los usuarios de los administradores de contraseñas móviles al eludir el mecanismo seguro de autocompletado de Android, según investigadores universitarios del IIIT Hyderabad, que descubrieron la vulnerabilidad y presentaron su investigación en Black Hat Europe esta semana.
Los investigadores, Ankit Gangwal, Shubham Singh y Abhijeet Srivastava, descubrieron que cuando una aplicación de Android carga una página de inicio de sesión en WebView, los administradores de contraseñas pueden «desorientarse» sobre dónde deben apuntar la información de inicio de sesión del usuario y, en cambio, exponer sus credenciales a los campos nativos de la aplicación subyacente, dijeron. Esto se debe a que WebView, el motor preinstalado de Google, permite a los desarrolladores mostrar contenido web en la aplicación sin iniciar un navegador web, y se genera una solicitud de autocompletar.
«Digamos que estás intentando iniciar sesión en tu aplicación de música favorita en tu dispositivo móvil y usas la opción de ‘iniciar sesión a través de Google o Facebook’. La aplicación de música abrirá una página de inicio de sesión de Google o Facebook dentro de sí misma a través de WebView», explicó Gangwal a TechCrunch.
«Cuando se invoca el administrador de contraseñas para autocompletar las credenciales, idealmente, debería autocompletarse solo en la página de Google o Facebook que se ha cargado. Pero descubrimos que la operación de autocompletar podría exponer accidentalmente las credenciales a la aplicación base».
Gangwal señala que las ramificaciones de esta vulnerabilidad, particularmente en un escenario en el que la aplicación base es maliciosa, son significativas. Y añadió: «Incluso sin phishing, cualquier aplicación maliciosa que te pida que inicies sesión a través de otro sitio, como Google o Facebook, puede acceder automáticamente a información sensible».
La plataforma Keeper dijo que «salvaguarda para proteger a los usuarios contra el llenado automático de credenciales en una aplicación no confiable o un sitio que no fue autorizado explícitamente por el usuario», y recomendó que el investigador envíe su informe a Google «ya que está específicamente relacionado con la plataforma Android».
