¿Eres de los que tapas la webcam de tu portátil con cinta adhesiva para que nadie te pueda ver? Si es así, no dejes que te llamen paranoico… hay buenos motivos para ello.
Ayer se comenzó a difundir una demostración de como un hacker podría capturar imágenes de tu webcam, a través del navegador, sin tu consentimiento (o al menos sin que seas consciente de que estás dando tu consentimiento).
La trampa, descubierta por el consultor de seguridad Egor Homakov, utiliza varios trucos para saltarse la ventana de solicitud de permiso de Flash antes de que una web antespueda acceder a la cámara o micrófono.
Sin entrar en muchos detalles, la demostración utiliza algunos trucos de CSS/HTML para que la ventana de solicitud de permiso de Flash sea transparente, colocando el botón (ahora transparente) de «Permitir» justo encima de algo que el usuario querría apretar – por ejemplo, el botón de «Play» de un vídeo.
Puedes probar si tu navegador es vulnerable aquí mismo. Al pulsar el link aparecerán unas fotos de chicas guapas y, si el sistema es vulnerable, tomará una foto cuando pulses el botón Play, que después te mostrara. Si no es vulnerable verás claramente una ventana donde te pedirá permiso para acceder a la cámara.Esta técnica, conocida como clickjacking, no es algo nuevo y, de hecho Macromedia afirma haber corregido la vulnerabilidad en 2011… pero todavía funciona. Los chicos de TechCrunch afirman haber probado con éxito esta vulnerabilidad en la última versión de Chrome para Mac, que activó la webcam sin que apareciera ningún aviso. Parece que también es efectivo en Internet Explorer 10, no así en las últimas versiones de Safari y Firefox. Cuando funciona, la única prueba de que la cámara ha hecho una foto es que se enciende el indicador LED un instante.
Como podéis imaginar esta vulnerabilidad es bastante indiscreta ya que puede hacer que se capturen fotos tuyas delante del ordenador y se envíen a un servidor sin que tú lo sepas. Por tanto, por el momento, no le quites la cinta adhesiva a la webcam… ¡o sonríe ante la cámara!