Spoofing de direcciones web: factible en navegadores móviles

Ocultar las huellas es siempre un punto clave para los ciberdelincuentes, y es por ello que el spoofing (ocultación de elementos de identidad relevantes) es un recurso empleado de manera muy habitual. Suplantar una identidad legítima siempre es una buena técnica, puesto que así se avala la acción ilegítima mediante un nombre fiable y confiable. El spoofing se puede dar con nombres, con cuentas de correo, con direcciones web, todo vale para hacerse pasar por una persona, empresa o entidad de confianza.

Así, los ciberdelincuentes no dejan de explorar nuevas técnicas con las que hacer spoofing, y los investigadores y empresas de seguridad trabajan constantemente en la búsqueda de agujeros de seguridad que puedan ser empleados para ese fin. El último ejemplo de ello lo tenemos por una investigación llevada a cabo por Rapid7, y que ha dado con la identificación de una vulnerabilidad que afecta a múltiples navegadores web móviles, y que permite modificar la dirección web que se muestra en la barra de direcciones.

El problema, del que fueron informados los responsables de los navegadores, muchos de los

uales ya la han solucionado, se apoya en Javascript y una extraña condición del contenido que se muestra en la barra de direcciones. Y es que, en determinadas condiciones, se puede forzar al navegador para que muestre una URL concreta en la misma, pese a que se esté cargando una página distinta. Algo particularmente peligroso, porque el usuario no tiene manera de comprobarlo a no ser que pulse en la barra de direcciones para asegurarse de que se está cargando la página que debería. De otro modo, la apariencia será de que todo va bien.

Apple Safari y Opera Touch son dos de los navegadores afectados por este problema de spoofing. En el caso de Safari, Apple afirma haber solucionado ya el problema, mientras que Opera afirma que una versión actualizada y libre de este problema será publicada el próximo 11 de noviembre. Otros navegadores afectados incluyen  RITS Browser, Yandex Browser, Bolt Browser y UCWeb. Con respecto a estos dos últimos, de momento no hay constancia de que vayan a solucionar el problema, que todavía sigue presente.

La investigación también encontró que la versión macOS X de Safari es vulnerable al mismo error. Según Rapid7 el problema se ha resuelto en una actualización de macOS de Big Sur lanzada la semana pasada. Esta no es la primera vez que se detecta una vulnerabilidad de este tipo en Safari. En 2018, se reveló un tipo similar de spoofing en la barra de direcciones que hizo que el navegador conservara la dirección suplantada y cargara el contenido de la página falsificada gracias, también, a JavaScript.

Imagen: Bicanski