El truc: espionatge per la porta del darrere
El principi és esgarrifosament senzill i aprofita una funció que els serveis de missatgeria van incorporar per facilitar la vida als usuaris: la vinculació de dispositius addicionals (com ara WhatsApp Web). Si algú té accés físic al vostre telèfon intel·ligent desbloquejat durant només uns segons, pot vincular un altre dispositiu —com ara un ordinador o una tauleta— al vostre compte mitjançant un codi QR o un codi de confirmació enviat per SMS. Les autoritats que duen a terme investigacions ja fan servir aquesta tàctica en interrogatoris, quan se’ls lliuren voluntàriament els telèfons intel·ligents. Però el perill no prové només dels organismes estatals: la parella gelosa, al vespre al sofà, o el cap, a l’oficina, també poden aprofitar un moment de distracció per fer una ràpida «vinculació fantasma». Les conseqüències nefastes d’aquesta vinculació:
- Vigilància en temps real: L’atacant veu a la seva pantalla, al mateix moment, cada missatge nou que envieu o rebeu.
- Sincronització de converses antigues: Segons el servei de missatgeria, en vincular el dispositiu també s’hi descarreguen els historials de converses anteriors que ja hi havia al vostre compte.
- Manipulació desapercebuda: Un dispositiu vinculat no només permet llegir els missatges de manera passiva, sinó que sovint també permet redactar-ne i enviar-ne des del vostre compte, cosa que pot desvirtuar completament el valor probatori de les converses en cas de conflicte.
Per què el xifratge no funciona en aquest cas
Ni el millor xifratge d’extrem a extrem no serveix de res contra aquest mètode. Per al sistema, el dispositiu de l’atacant no és un tercer no autoritzat, sinó un canal secundari oficial que vosaltres heu autoritzat. Per tant, el mecanisme de protecció no es trenca, sinó que simplement s’eludeix per una via legítima. És cert que el mètode queda al descobert tan bon punt es revisen les sessions actives a la configuració de l’aplicació, però siguem sincers: qui consulta aquesta llista cada dia? Els tafaners compten precisament amb això. Sovint, qui llegeix els missatges d’amagat no és descobert fins al cap d’hores, dies o fins i tot setmanes.
El risc per a les empreses: informàtica a l’ombra i espionatge industrial
En l’àmbit empresarial, aquest problema s’agreuja dràsticament. Quan els empleats intercanvien informació interna de l’empresa, dades de clients o detalls de projectes a través de canals de missatgeria personals o insuficientment protegits, les empreses s’exposen a filtracions massives de dades:
- Pèrdua de secrets empresarials: Un dispositiu vinculat sense que ningú se n’adoni pot fer que acords confidencials arribin directament a la competència o a tercers no autoritzats.
- Incompliments normatius i infraccions de l’RGPD: La sincronització sense xifratge de converses de feina amb dispositius particulars de tercers vulnera les normes vigents de protecció de dades i pot comportar conseqüències legals molt costoses per a les empreses.
Com protegir-vos de manera eficaç
(Normes de seguretat per al dia a dia)
Com a soci tecnològic de confiança, recomanem fermament tant a les empreses com als particulars que incorporin les normes de seguretat següents als seus hàbits quotidians i les segueixin rigorosament:
- Reviseu periòdicament els dispositius vinculats: Consulteu l’apartat «Dispositius vinculats» o «Sessions» de la configuració de les vostres aplicacions (WhatsApp, Telegram, Signal). Elimineu immediatament qualsevol dispositiu que no tingueu la certesa absoluta d’haver configurat personalment.
- Protegiu l’accés al mòbil: No deixeu mai el telèfon intel·ligent desbloquejat i sense vigilància, ni a casa ni a la feina. Feu servir codis PIN segurs, Face-ID o el bloqueig amb empremta dactilar.
- Activeu el bloqueig de l’aplicació: Moltes aplicacions de missatgeria ofereixen, a la configuració de privadesa, l’opció d’afegir un nivell de protecció a l’aplicació amb un codi independent o un sistema biomètric. Activeu aquesta funció!
- Aneu amb compte amb els codis SMS: No compartiu mai els codis de verificació que rebeu per SMS i vigileu que ningú no pugui veure la vostra pantalla sense el vostre control.
- Establiu normes clares sobre l’ús de la missatgeria a l’empresa: Per a les comunicacions de feina, feu servir exclusivament aplicacions de missatgeria empresarial específiques autoritzades pel proveïdor de serveis informàtics i prohibiu la transmissió de dades de l’empresa a través d’aplicacions de xat d’ús estrictament personal.
La privadesa digital comença amb un ús conscient dels dispositius. Si necessiteu ajuda per protegir les comunicacions de la vostra empresa o per organitzar canals de comunicació segurs per al vostre personal, com a proveïdor de serveis informàtics som sempre al vostre costat per assessorar-vos.
Escriviu aquí …