Vulnerabilidad 'imparcheable' en iPhones y iPads antiguos expone tus datos

Una grave vulnerabilidad de seguridad ha sido descubierta en una amplia gama de dispositivos Apple más antiguos, incluyendo populares modelos de iPhone, iPad, Apple Watch e incluso el HomePod mini. Bautizado como "usbliter8", el fallo reside en el hardware de los equipos, específicamente en el código de arranque (SecureROM), lo que lo convierte en "imparcheable": no puede ser solucionado mediante una simple actualización de software.

¿Qué es la vulnerabilidad "usbliter8"?

Investigadores de la firma de seguridad Paradigm Shift descubrieron que este error se encuentra en los chips A12, A13, S4 y S5 de Apple. La falla radica en la manera en que el controlador USB de estos procesadores gestiona los datos, permitiendo que un atacante con acceso físico al dispositivo pueda ejecutar código no autorizado y saltarse las restricciones de seguridad de iOS. Esto podría permitirle a un actor malicioso instalar software espía o extraer datos almacenados en el dispositivo.

La vulnerabilidad afecta al código inmutable del dispositivo, es decir, el primer código que se ejecuta al encenderlo y que sirve como pilar de su seguridad. Al estar grabado en el chip durante su fabricación, Apple no puede modificarlo remotamente, haciendo que cualquier dispositivo con estos procesadores sea permanentemente vulnerable.

Dispositivos Afectados por la Falla

La lista de productos vulnerables es extensa y abarca dispositivos fabricados durante varios años. Si posees alguno de los siguientes modelos, tu información podría estar en riesgo:

• iPhone: iPhone XR, iPhone XS/XS Max, iPhone 11, iPhone 11 Pro/Pro Max y el iPhone SE (2ª generación).
• iPad: iPad Air (3ª gen), iPad mini (5ª gen), iPad (8ª y 9ª gen). También podrían estar afectados los modelos de iPad Pro de 2018 y 2020.
• Apple Watch: Series 4, Series 5 y SE (1ª generación).
• Otros: HomePod mini, Apple TV 4K (2ª gen) y el Studio Display.

¿Cuál es el riesgo real y cómo protegerse?

Es importante destacar que para explotar esta vulnerabilidad, un atacante necesita acceso físico al dispositivo y conectarlo a otro equipo, como un Raspberry Pi. El fallo no puede ser activado de forma remota a través de internet. Esto significa que el principal riesgo es para dispositivos robados o confiscados.

Dado que no existe una solución vía software, los expertos en seguridad son claros en su recomendación. La única mitigación efectiva es dejar de usar el hardware afectado y migrar a un dispositivo más nuevo que no contenga los chips vulnerables. Los procesadores A14 y posteriores ya corrigen este problema de diseño.

Para los usuarios de estos modelos, la existencia de "usbliter8" representa un recordatorio de que incluso los ecosistemas más seguros pueden tener fallos críticos. La seguridad de los datos personales depende tanto del software como de la integridad del hardware subyacente, y en este caso, la única garantía de protección es la actualización.