Los ataques de cero clic, o ataques zero click, son una de las ciberamenazas más peligrosas que podemos encontrarnos; en este artículo explicaremos qué son los ataques de cero clic, cómo funcionan y cómo podemos protegernos ante ellos.
¿Qué es un ataque cero clic?
Un ataque cero clic es un ciberataque que aprovecha una vulnerabilidad en un software para explotarla y atacar o infectar el equipo o dispositivo de la víctima. A diferencia de otros tipos de ataques informáticos, no necesita de la intervención del usuario, es decir, el ciberataque mediante cero clic no requiere que pinchemos en un enlace o descarguemos un archivo adjunto para ejecutarse, de ahí la peligrosidad de este ataque basado en exploits de vulnerabilidades.
Aunque comparten un nombre similar, es importante no confundir los ataques zero day o de día cero con los ataques cero clic; los primeros hacen referencia a una vulnerabilidad de día cero, una vulnerabilidad que todavía no tiene solución y que puede aprovecharse para llevar a cabos diferentes tipos de ciberataques, incluido del de cero clic.
¿Cómo funcionan los ataques cero clic?
Como hemos dicho, el ataque cero clic funciona sin necesidad de que el usuario haga realmente nada, puesto que aprovechando una vulnerabilidad existente en un software, puede ejecutar diferentes ataques de malware en el dispositivo de la víctima. Por ejemplo, simplemente recibiendo una imagen infectada a través de WhatsApp.
La mención de WhatsApp no es casual, porque son este tipo de plataformas de mensajería o de llamadas de voz las que suelen estar más expuestas a los ataques cero clic, ya que permiten enviar y recibir contenidos desde fuentes desconocidas, aprovechando el cifrado de extremo a extremo, además, para ocultar el contenido malicioso.
Pero las apps de mensajería no son las únicas expuestas a este tipo de ciberataque, también son objetivos los SMS, mensajes de voz, correos electrónicos e incluso la ciberseguridad en las videollamadas puede verse comprometida por estos ataques, puesto que todos estos elementos tienen la capacidad de explotar una vulnerabilidad existente en la aplicación encargada de procesar los datos.
Además, como un malware polifórmico, los ataques cero clic también son hábiles evitando la detección por parte de soluciones de seguridad, como los antivirus o los firewall, puesto que se ejecutan en segundo plano y consiguen pasar en la mayoría de los casos desapercibidos.
Alcance y consecuencias de un ataque cero clic
Por su capacidad de explotar diferentes tipos de vulnerabilidades en ciberseguridad, así como su capacidad para no dejar apenas rastro y no necesitar recurrir a técnicas de ingeniería social para atraer a las víctimas, los ataques de cero clic se han convertido en una de las ciberamenazas más serias actualmente, especialmente porque es un tipo de ataque usado para el espionaje y seguimiento de ciertos objetivos (como son activistas, gobiernos, corporaciones, personalidades, etc., muchas veces «vendidos» como herramienta contra terroristas y delincuentes, pero usados con fines menos éticos).
Ser víctima de un ataque cero clic, supone tener una peligrosa brecha de seguridad, que permitiría, entre otras acciones, espiar y violar la privacidad de empresas, entidades gubernamentales o ciertos usuarios particulares, puesto que el ataque deja la puerta abierta para que los ciberdelincuentes o quien esté haciendo uso del ataque pueda acceder a todo tipo de información almacenada en el dispositivo de la víctima; por ejemplo, a través de un ataque de cero clic es posible copiar todo el contenido de la bandeja de entrada del correo electrónico sin que la víctima sea consciente de ello.
Si nos vamos a casos reales, The Citizen Lab descubrió en 2020 un exploit de cero clic con el que los ciberatacantes instalaban el spyware Pegasus en los smartphones de sus objetivos mediante un PDF capaz de ejecutar código automáticamente.
¿Cómo protegernos de los ataques cero clic?
Es muy difícil evitar ser víctimas de un ataque cero clic, aunque como dato positivo cabe señalar que dado lo sofisticados y complejos que resultan este tipo de ataques, los usuarios particulares (salvo excepciones) no suelen ser el objetivo de los mismos, puesto que suelen emplearse contra grandes corporaciones, gobiernos o ciertas personalidades.
En cualquier caso, y dado que un ataque cero clic se basa en la explotación de vulnerabilidades, la mejor defensa contra ellos es mantener nuestros equipos y software siempre actualizados a la última versión disponible, ya que mediante los parches de actualización es como los desarrolladores corrigen y eliminan vulnerabilidades existentes en sus programas.
También se recomienda no descargar aplicaciones de sitios no oficiales. Así como no practicar el denominado jailbreaking o rooting de iPhones y smartphones respectivamente, ya que estas prácticas suelen poner en riesgo la seguridad de los dispositivos.