Fabricante contestou alegação de que hackers estariam explorando brecha para atacar usuários. Empresa alertou para vulnerabilidade grave no Mail, mas Apple afirma que usuários não estão em risco.
Thomas Peter/Reuters
A empresa de segurança ZecOps divulgou a existência de uma vulnerabilidade crítica no aplicativo Mail, usado para o acesso a e-mails no iPhone. De acordo com os especialistas, a falha pode ser explorada sem nenhuma ação específica das vítimas – o processamento da mensagem para a exibição da notificação é suficiente para ativar a brecha e comprometer a segurança do smartphone, ao menos no iOS 13.
Embora o problema seja grave, a descoberta de falhas em softwares é comum. O que é realmente preocupante é uma falha inédita estar na mão de hackers que possam tirar proveito do erro para atacar usuários. Segundo a ZecOps, é exatamente isso que está acontecendo.
A Apple, no entanto, contestou a alegação. A fabricante do iPhone afirmou que não encontrou evidências de que a vulnerabilidade estaria sendo explorada por hackers e que ela, por si só, não é sequer suficiente para montar um ataque.
Sendo assim, a conclusão da Apple é que "não há risco imediato para os usuários". Por enquanto, a ZecOps não divulgou todos os detalhes técnico necessários para comprovar a existência do problema.
Embora seja uma postura comum, já que as informações poderiam auxiliar os criminosos, outros especialistas não podem validar as alegações da companhia sem esses dados.
A ZecOps prometeu que vai revelar tudo quando o iOS for atualizado para eliminar a vulnerabilidade, o que deve acontecer nas próximas semanas.
O problema já foi corrigido em uma versão beta do iOS, a iOS 13.4.5.
Metodologia incomum
A ZecOps concluiu que pessoas foram atacadas através da falha consultando relatórios de erro do iPhone. Quando uma brecha é explorada, não é incomum que apps congelem ou apresentem outros problemas de funcionamento – o que leva o sistema a produzir um relatório contendo informações sobre o incidente.
Esses relatórios podem ajudar a identificar bugs e corrigi-los e, em muitos casos, fornecem indícios de que uma falha foi explorada.
O método mais usual para identificar a exploração de uma brecha, no entanto, é encontrar o próprio vetor de ataque – no caso, o próprio e-mail enviado pelo hacker. Mas a ZecOps não identificou essas mensagens, preferindo tentar "reproduzir" o que foi observado nos relatórios de erro.
A empresa levantou a hipótese de que os hackers teriam apagado os e-mails para esconder seus rastros, mas essa explicação não convenceu outros especialistas, que continuam céticos quanto às alegações.
Segundo o relatório da ZecOps, teriam sido atacados usuários na América do Norte, no Japão, na Alemanha, na Arábia Saudita, em Israel e na Suíça. Em geral, os alvos eram executivos, mas ao menos um deles era jornalista.
Dúvidas sobre segurança, hackers e vírus? Envie para
[email protected] 
