Google le pagó US$ 70.000 a un ingeniero que descubrió una falla de seguridad grave

Los problemáticos smartphones Pixel siguen dándole dolores de cabeza a Google. Y ahora también golpean sus bolsillos ya que la empresa ha decidido pagarle 70.000 dólares a un especialista que descubrió de casualidad un importante fallo de seguridad en el dispositivo.

Se trata de David Schütz, hacker profesional, quien recibió la recompensa por haber sacado a la luz una debilidad que permitía a cualquier persona con conocimientos técnicos básicos ingresar a un smartphone Pixel sin conocer la clave de desbloqueo.

Luego de solucionar la falla con una actualización de software, Google permitió a Schütz hacer público su descubrimiento y lo recompensó con 70.000 dólares.

La vulnerabilidad descubierta de casualidad por el especialista en seguridad informática permitía eludir las protecciones de la pantalla de bloqueo, como la autenticación mediante huella dactilar o con un PIN, y obtener el acceso físico a un dispositivo y todos los datos del dueño.

El hackeo podía llevarse a cabo con un mínimo de conocimientos técnicos simplemente siguiendo una serie de pasos.

Según explicó Schütz, encontró el problema de casualidad cuando olvidó el código PIN de su teléfono Pixel y tuvo que utilizar el código PUK para recuperar el acceso. Después de completar con éxito el proceso, notó algo raro en la pantalla de bloqueo de su celular. 

“En lugar del icono de bloqueo habitual, apareció el icono de la huella dactilar”, explicó Schütz. “El celular aceptó mi dedo, cosa que no debería ocurrir, ya que después de un reinicio, se debe introducir el PIN o la contraseña de la pantalla de bloqueo al menos una vez para poder acceder al dispositivo”.

Tras aceptar su huella, el dispositivo mostró el mensaje de “Pixel está iniciando...”, y se bloqueó. Schütz realizó un inicio forzado y lo solucionó.

Durante los días siguientes, Schütz se dedicó a investigar el problema. En una ocasión se olvidó de reiniciar el teléfono, y simplemente comenzó desde un estado normal desbloqueado, bloqueó el dispositivo, y cambió la SIM, antes de llevar a cabo el proceso de restablecimiento del PUK.

Tras seguir esta secuencia, antes de introducir el PUK y elegir un nuevo PIN, Schütz se encontró con la pantalla de inicio desbloqueada.

Así, el hombre se dio cuenta de que había conseguido saltear la pantalla de bloqueo en el Pixel 6.

Schütz se dio cuenta de que el hackeo sería fácilmente aprovechado por cualquiera, desde espías hasta ladrones y parejas celosas.

“Dado que cualquier persona podría simplemente usar su propia tarjeta SIM bloqueada con PIN, no se requería nada más que el acceso físico para el hackeo: con solo cambiar la SIM en el dispositivo de la víctima y utilizar una tarjeta SIM que tuviera un bloqueo por PIN, se podría saltear la pantalla del bloqueo.

Schütz informó del problema a Google pero el gigante tecnológico procesó y archivó la vulnerabilidad rápidamente, desestimándola y sin responder por semanas. Schütz insistió y en un evento de cazadores de fallos organizado por Google les mostró la falla en persona.

Unos días después, Google le envió un mensaje en el que admitió que gracias al aviso comenzó a trabajar en una solución, por lo cual había decidido pagarle una recompensa de 70.000 dólares por el descubrimiento de la falla.

Cuando la empresa comunicó que la falla se había resuelto, recién en ese momento Schütz hizo público su descubrimiento.