Conocida como Nine y disponible aún en la actualidad, la aplicación permite acceder a este servicio utilizando la cuenta de Microsoft. Sin embargo, expertos en seguridad se han percatado de que las credenciales de Microsoft Exchange no son seguros y que es la propia aplicación la que se tendría que encargar de proteger los datos de los usuarios y esto no es así, permitiendo el robo de las credenciales de acceso de una forma más o menos sencilla.
Se trata de una aplicación muy popular aunque pertenezca a un tercero y no a la propia Microsoft. Tal y como ya hemos indicado, está disponible en la Google Play Store y los usuarios valoran de forma positiva la app, ya que resulta muy sencilla de utilizar y además es agradable a la vista. Pero de forma sorprendente, los expertos en seguridad han detectado que el software no protege los datos de inicio de sesión de forma correcta.
Esto significa que una tercera persona podría llevar a cabo un ataque MitM y capturar estos datos, provocando el posible robo de la cuenta. Y es que lo que no se sabía hasta el momento es que la aplicación falla a la hora de validar los certificados SSL utilizados por lo que las comunicaciones extremo a extremo no son seguras.
Esto quiere decir que un atacante en la misma red Wi-Fi a la que se encuentra conectada el dispositivo podría robar estos datos con cierta facilidad.
Nine expone los datos de Microsoft Exchange aunque se utilice Base64
Aunque viajen cifrados, el canal no es seguro, tal y como ya hemos indicado. Esto da pie a que una tercera persona se haga con las credenciales cifradas en Base64. Pero utilizando ingeniería inversa no sería complicado recuperar las credenciales de acceso, permitiendo el acceso a la cuenta y tal vez el secuestro de la misma sin que el usuario sea consciente.
La mayoría de los usuarios que hacen uso de esta app son personas que pertenecen a entornos empresariales, por lo que el daño causado sería importante.
Fuente | Softpedia
