En la actualidad, los navegadores móviles juegan un papel fundamental en la forma en que accedemos, consumimos y generamos contenido en línea. Estos navegadores son aplicaciones diseñadas específicamente para permitir a los usuarios visualizar contenido web en dispositivos con pantallas más pequeñas, como teléfonos inteligentes y tabletas, en comparación con los tradicionales equipos de escritorio. Sin embargo, su creciente popularidad y uso también ha generado un escenario favorable para los ciberdelincuentes, quienes encuentran en las vulnerabilidades de estos navegadores una vía para ejecutar ataques y comprometer la seguridad de los usuarios. Según ESET, empresa líder en detección proactiva de amenazas, durante el segundo semestre de 2024, varias vulnerabilidades en los navegadores móviles más populares han sido explotadas con fines maliciosos.
David González Cuautle, investigador de ciberseguridad de ESET Latinoamérica, advierte que aunque los usuarios busquen navegadores que ofrezcan una experiencia fluida y eficiente, es crucial tener en cuenta que estos mismos navegadores pueden convertirse en una puerta de acceso para los ciberdelincuentes. Sin las actualizaciones correspondientes o descargando archivos infectados, los dispositivos móviles pueden quedar expuestos a malware, robando información confidencial o afectando la integridad del sistema operativo. En este contexto, es esencial mantener los navegadores actualizados para prevenir estos riesgos.
El Dominio de los Navegadores Móviles
Según un informe de GS.statcounter, en 2024, Google Chrome es el navegador móvil más utilizado a nivel mundial, con una participación de mercado del 65,75%. Su prevalencia se debe a su amplia adopción en dispositivos Android, así como a su capacidad para sincronizarse fácilmente con las cuentas de Google. En segundo lugar, se encuentra Safari, con un 21,47% de participación, destacándose en los dispositivos Apple, especialmente en iPhones. Samsung Internet ocupa el tercer puesto con una participación del 3,54%, mientras que Opera mantiene una cuota del mercado del 1,63%.
A pesar de su popularidad, ESET destaca que la falta de actualizaciones frecuentes no implica que estos navegadores estén exentos de vulnerabilidades. Aunque navegadores como Samsung Internet y Opera han registrado pocas vulnerabilidades en los últimos años, la ausencia de registros recientes no significa que sean completamente seguros, ya que las amenazas cambian rápidamente y dependen del uso que les den los usuarios.
Las Vulnerabilidades Más Explotadas en 2024
A continuación, ESET detalla las vulnerabilidades más relevantes que han sido explotadas en los navegadores móviles más utilizados durante el segundo semestre de 2024.
Navegador Google Chrome
- CVE-2024-9956: Esta vulnerabilidad, publicada el 10 de octubre de 2024, afecta a la implementación de WebAuthentication en Google Chrome para Android. Permite que un atacante local realice una escalación de privilegios mediante una página HTML especialmente diseñada. Esta vulnerabilidad podría ser utilizada para instalar malware, como infostealers o troyanos, en dispositivos que no se encuentren actualizados.
- CVE-2024-8907: Detectada en septiembre de 2024, esta vulnerabilidad se refiere a una validación insuficiente de datos en la barra de direcciones (Omnibox) de Google Chrome en Android. Permite a un atacante remoto inducir a la víctima a realizar gestos específicos que podrían inyectar scripts arbitrarios o HTML, permitiendo ataques XSS (Cross-Site Scripting).
- CVE-2024-8639: Publicada el 11 de septiembre, esta vulnerabilidad se centra en la función de autocompletado de Google Chrome. Los atacantes podrían explotar esta falla mediante la suplantación de páginas HTML maliciosas, afectando a dispositivos con versiones no actualizadas de Chrome en Android.
- CVE-2024-8637: Esta vulnerabilidad, también publicada en septiembre, afecta el servicio de Chrome que permite enviar contenido a un dispositivo habilitado para Chromecast. Las versiones anteriores a la 128.0.6613.137 permiten a los atacantes explotar esta falla para ejecutar ataques a través de la suplantación de páginas HTML.
- CVE-2024-8034: Detectada en agosto de 2024, esta vulnerabilidad se refiere a una implementación incorrecta de las pestañas personalizadas en Google Chrome para Android. Permite a los atacantes explotar esta falla de manera remota para generar un número excesivo de pestañas maliciosas, afectando a los dispositivos no actualizados.
Navegador Safari
- CVE-2024-54534: Esta vulnerabilidad, publicada en diciembre de 2024, afecta a varios dispositivos Apple, incluyendo iPhones, iPads y MacBooks. Si el navegador no está actualizado, una aplicación maliciosa puede acceder a información sensible del usuario mediante fallos en la gestión de memoria, lo que podría permitir la escalación de privilegios y la alteración del tráfico de red.
- CVE-2024-54508: Detectada también en diciembre de 2024, esta vulnerabilidad afecta a dispositivos como iPhones y MacBooks. Al igual que la anterior, permite que una aplicación maliciosa acceda a información sensible debido a fallos de memoria. Además, el atacante puede alterar el tráfico de red y generar un ataque de denegación de servicio (DoS).
- CVE-2024-54505: Publicada en diciembre, esta vulnerabilidad permite que un atacante acceda a información privada y sensible mediante fallos de memoria en Safari. También puede alterar el tráfico de red y realizar ataques de denegación de servicio, afectando a dispositivos con versiones no actualizadas de iOS y macOS.
- CVE-2024-44309: Detectada en noviembre de 2024, esta vulnerabilidad afecta a Safari en dispositivos con macOS e iOS. Permite a los atacantes procesar contenido web para ejecutar código arbitrario, lo que representa un riesgo significativo para la seguridad del dispositivo afectado.
- CVE-2024-44259: Esta vulnerabilidad, publicada en octubre de 2024, permite a los atacantes explotar una relación de confianza para descargar contenido malicioso. Afecta a dispositivos con versiones anteriores de Safari en iOS, iPadOS y macOS.
Navegador Firefox
- CVE-2024-9680: Reportada en noviembre de 2024, esta vulnerabilidad afecta a la animación de líneas de tiempo en Firefox. Los atacantes pueden ejecutar código arbitrario explotando esta falla, afectando tanto a dispositivos Android como PC.
- CVE-2024-9936: Detectada en octubre de 2024, esta vulnerabilidad permite que un atacante manipule el nodo de la memoria caché en Firefox, lo que puede generar comportamientos anómalos y permitir la explotación de otras características del navegador.
- CVE-2024-9397: Publicada en octubre, esta vulnerabilidad permite que un atacante engañe a un usuario mediante un ataque de clickjacking, obteniendo permisos de acceso a través de una interfaz de usuario manipulada.
- CVE-2024-9403: Detectada en octubre, esta vulnerabilidad afecta a Firefox debido a errores en la memoria. Estos errores pueden ser explotados para ejecutar código arbitrario en dispositivos Android y PC.
- CVE-2024-9400: También publicada en octubre, esta vulnerabilidad afecta a Firefox debido a un proceso llamado “Out Of Memory Killer” (OOM). Los atacantes pueden aprovechar la corrupción de memoria para desencadenar un fallo en el sistema.
La Importancia de la Concientización y la Actualización Constante
Las vulnerabilidades en navegadores móviles continúan siendo una amenaza persistente que puede comprometer la seguridad de los usuarios. ESET subraya que, aunque algunos navegadores como Chrome, Safari y Firefox han corregido muchas de estas vulnerabilidades, la clave para mantener la seguridad en los dispositivos móviles reside en las buenas prácticas de seguridad por parte de los usuarios.
David González Cuautle, de ESET Latinoamérica, concluye que la falta de actualización de aplicaciones y sistemas operativos es uno de los principales factores que facilitan el robo de información. Las vulnerabilidades de bajo impacto también pueden ser aprovechadas por ciberdelincuentes para comprometer la seguridad de nuestros dispositivos. Por lo tanto, es esencial estar informado sobre las amenazas emergentes y tomar medidas preventivas, como mantener los navegadores y sistemas operativos actualizados, descargar aplicaciones solo de fuentes confiables y ser cautelosos con los archivos adjuntos y enlaces de origen desconocido.
La educación y la conciencia sobre la seguridad digital son fundamentales para mitigar los riesgos asociados con las vulnerabilidades en los navegadores móviles y, en última instancia, proteger la privacidad y la información personal en línea.