Los ataques sin clic, o zero-click, son una de las ciberamenazas más avanzadas y peligrosas que existen hoy en día. Lo que los hace especialmente aterradores es que no requieren ninguna acción por parte del usuario: no hace falta abrir un enlace, descargar un archivo o pulsar un botón.
Estos ataques aprovechan vulnerabilidades en el software para infiltrarse en dispositivos y llevar a cabo actividades maliciosas de forma completamente silenciosa. En este artículo, te contaré cómo funcionan, por qué son tan peligrosos y, sobre todo, cómo puedes protegerte.
¿Cómo funcionan los ataques sin clic?
La clave de los ataques sin clic está en aprovechar vulnerabilidades ocultas en aplicaciones o sistemas operativos. Estas brechas permiten a los ciberdelincuentes ejecutar código malicioso sin necesidad de interacción del usuario. Por ejemplo, basta con recibir un mensaje de texto, un correo electrónico o incluso una notificación para que el ataque se active.
Las aplicaciones de mensajería como WhatsApp, iMessage o servicios similares suelen ser los principales objetivos. Estas plataformas procesan datos automáticamente, como archivos multimedia o texto, para mostrar contenido al usuario. Si el procesamiento de estos datos contiene un error o vulnerabilidad, el atacante puede explotar ese fallo para infiltrarse en el dispositivo sin que lo notes.
Dos ejemplos prácticos para que puedas entender mejor cómo funciona este tipo de ataques:
- Imagina que recibes un mensaje con un archivo malicioso oculto en una imagen o un vídeo. Aunque nunca lo abras, la aplicación lo procesa en segundo plano para mostrarte una vista previa. Si ese archivo contiene un código diseñado para aprovechar una vulnerabilidad, el atacante puede acceder a tu dispositivo, instalar software espía y borrar cualquier rastro del ataque.
- Un buffer overflow en el contexto de un ataque de cero clic funciona de la siguiente manera: Imagina que una app es un cajón de memoria que cuenta con un tamaño fijo para el procesamiento de datos, como puede ser el de una imagen. Si un atacante te envía una imagen con una serie de instrucciones ocultas (que son más grandes que el cajón en cuestión), el exceso de datos se desborda y sobrescribe el contenido con cajones que pasan a ser adyacentes. Si esos otros cajones contienen instrucciones del sistema, entonces el atacante puede reemplazarlas con su propio código malicioso. De esta manera, cuando la app intenta procesar la imagen, en realidad está ejecutando las órdenes del ciberdelincuente sin que tú hayas hecho clic en nada.
¿Por qué son tan peligrosos?
Los ataques sin clic destacan por su sigilo y efectividad. Estas son algunas de las razones por las que son una seria amenaza:
- No dejan rastro: una vez que el atacante ha accedido al dispositivo, puede borrar cualquier evidencia de que el ataque ocurrió. Esto hace que sean extremadamente difíciles de detectar.
- Acceso total al dispositivo: los atacantes pueden leer mensajes, escuchar llamadas, activar el micrófono o la cámara y extraer datos personales o profesionales.
- Objetivos de alto perfil: aunque cualquiera puede ser víctima, estos ataques suelen dirigirse a figuras de interés como periodistas, activistas, políticos o ejecutivos de empresas.
- Uso de vulnerabilidades desconocidas: la mayoría de estos ataques explotan zero-day vulnerabilities, errores en el software que los desarrolladores aún no han identificado ni corregido. Estos ataques se actualizan constantemente para evadir las nuevas medidas de seguridad, adoptando técnicas avanzadas de ocultación que dificultan la detección y la respuesta temprana.
- Propagación lateral: Una vez que el atacante compromete un dispositivo, puede utilizarlo como punto de entrada para moverse a otros sistemas conectados en la red, ampliando el alcance del ataque y comprometiendo la seguridad de toda la infraestructura, por lo que es importante tener bien configurada la red para evitar, al menos, que otros dispositivos lo sufran.
Cómo protegerse
Aunque protegerse al 100% de estos ataques es complicado, hay medidas efectivas que puedes tomar para reducir el riesgo:
- Mantén tus dispositivos actualizados: instalar las últimas actualizaciones de software es fundamental. Los fabricantes suelen lanzar parches de seguridad para corregir vulnerabilidades conocidas. Si no actualizas, estás dejando abierta una puerta para los atacantes.
- Usa aplicaciones de confianza: evita descargar aplicaciones de tiendas no oficiales o fuentes desconocidas. Estas aplicaciones pueden contener vulnerabilidades o incluso software malicioso.
- Implementa seguridad avanzada en tu dispositivo: instalar herramientas de seguridad, como antivirus y antimalware, puede ayudar a detectar comportamientos sospechosos. Algunas soluciones avanzadas pueden incluso bloquear intentos de ataque en tiempo real.
- Reinicia tu dispositivo regularmente: según expertos, reiniciar tu smartphone puede desactivar temporalmente algunos tipos de malware que no han alcanzado persistencia en el sistema.
- Cuidado con permisos y configuraciones: revisa regularmente los permisos de las aplicaciones instaladas en tu dispositivo. Deniega aquellos que no sean necesarios y desactiva la carga automática de imágenes o archivos en correos y aplicaciones de mensajería. Para esto, por ejemplo, en apps como WhatsApp puedes hacer lo siguiente: si tienes Android o iOS, ve a los ajustes, menú de privacidad y dentro busca el apartado que te permita desactivar las vistas previas de enlaces.
- Habilita la autenticación multifactor y utiliza contraseñas fuertes: no dependas solo de una contraseña. Agregar una capa extra de verificación (como códigos enviados a tu móvil o autenticadores digitales) reduce significativamente el riesgo, ya que incluso si consiguen tus contraseñas, el atacante tendrá otra barrera para acceder, por lo que no le habrá servido de nada esa información.
El checklist definitivo para protegerte frente a este tipo de ataques es el siguiente:
- Actualiza el sistema operativo y todas las apps a la última versión
- Desactiva la vista de previsualización de enlaces en apps como WhatsApp
- Configura la descarga automática de archivos multimedia en «Nunca»
- Revisa los permisos de cada una de las apps que tengas instaladas
- Habilita la autenticación de dos factores en todas las cuentas que te lo permian
Ejemplos de ataques zero-click
Os hemos contado qué son los ataques sin clic, pero creernos, no solo es una teoría. Ya ha habido casos reales y algunos muy notorios al respecto. Han afectado a personas y organizaciones de todo el mundo.
Caso Pegasus
Hablamos de un software espía creado por la empresa israelí NSO Group, Pegasus es posiblemente el spyware más conocido y que ha hecho despertar al gran público sobre lo vulnerable que puede ser nuestra privacidad.
Entre 2016 y 2023 se han descubierto campañas que explotaban vulnerabilidades zero-day en iMessage, WhatsApp y FaceTime. En España, el smartphone del propio Presidente del Gobierno y varios ministros fue comprometido en un ataque sin precedentes del que poco o nada se conoce.
BlastPas
Fue hace ya unos años (concretamente en septiembre de 2023) cuando Citizen Lab y Google Project Zero descubrieron una cadena de exploits zero-click en iMessage denominada BlastPass. En este caso, el ataque se activaba solo al recibir un mensaje malicioso que el sistema procesaba automáticamente para generar una vista previa. Y ya está. Esto es todo. Aunque parezca alucinante, el dispositivo quedaba infectado con spyware en cuestión de segundos, sin que el usuario viera nada.
Salt Typhoon
En este caso, el ataque fue atribuido a actores estatales chinos. Esta campaña aprovechó vulnerabilidades zero-click en routers y dispositivos de red empresariales. Los atacantes accedían a infraestructuras críticas sin necesidad de interacción. Los detalles técnicos son algo opacos, pero se cree que se extrayeron datos sensibles de gobiernos y empresas.
La prevención es muy importante
Los ataques sin clic son una realidad en el panorama actual de la ciberseguridad y, aunque suelen estar dirigidos a objetivos de alto perfil, cualquiera puede ser una víctima potencial. Aunque, es cierto que este tipo de ataques están dirigidos a un tipo de perfil de mayor valor, pero está claro que las vulnerabilidad que explotan a través de este ataque, lo cierto es que están presenten en millones de dispositivos.
Por eso, es importante adoptar una actitud preventiva: mantén tus dispositivos actualizados, usa herramientas de seguridad fiables y desconfía de cualquier contenido sospechoso, incluso si no necesitas interactuar con él. Recuerda, la tecnología avanza, pero también lo hacen las amenazas. Estar informado y preparado es la mejor forma de proteger tu privacidad y tus datos en un mundo cada vez más conectado.