O recurso "Localizar meu telefone" (ou "Find My Mobile", em inglês) é um apps próprios mais úteis de aparelhos Samsung: quando você perde ou dispositivo ou é vítima de assalto, basta ativá-lo remotamente para bloquear e até limpar o gadget. Mas toda essa preocupação com segurança foi por água abaixo, pois uma brecha grave no funcionamento da ferramenta foi descoberta.
A falha permite que indivíduos mal intencionados bloqueiem o aparelho, instituam uma senha, realizem chamadas, acessem relatórios de ligações e até limpem completamente o dispositivo, apagando seus dados e arquivos sem precisar de autorização — tudo de forma remota, sem a necessidade de segurar ou estar próximo do celular em si.
O problema é que a Samsung não instituiu uma forma de validar a fonte de dados enviados para o "Localizar meu telefone" via rede. Desse modo, basta encher o dispositivo com tráfego de uma rede (a famosa negação de serviço) para ganhar acesso ao recurso e controlar remotamente a função.
A descoberta foi realizada pelo órgão do governo National Institute of Standards and Technology (NIST) e pelo especialista em segurança Mohamed A. Baset, que postou duas demonstrações do caso no YouTube. No vídeo mais longo, acompanhamos em inglês uma explicação mais completa sobre o que é a falha e como explorá-la. No clipe curto, o aparelho é mostrado sendo bloqueado sem enrolação e em poucos minutos.
Até agora, a Samsung não se pronunciou sobre o caso. A atitude mais segura a ser tomada por donos de um dispositivo Galaxy é desativar a função de localização, ao menos por enquanto.
Fontes
