Unha empresa galega detecta unha fenda de seguridade nun microchip de só dous euros que levan millóns de dispositivos
REDE
Tarlogic Security, con sede en Teo, afirma que o microcontrolador ESP32, usado mundialmente para a conexión wifi e Bluetooth, conta cunha funcionalidade oculta que permitiría aos ciberdelincuentes suplantar identidades e infectar aparellos
14 mar 2025 . Actualizado á 05:00 h.A empresa galega Tarlogic Security anunciou que detectou unha funcionalidade oculta no ESP32, un microcontrolador que permite a conexión wifi e Bluetooth e que está presente en millóns de dispositivos de consumo masivo. A explotación desta funcionalidade permitiría aos ciberdelincuentes realizar ataques de suplantación de identidade e infectar aparellos sensibles, como móbiles, computadores, fechaduras intelixentes ou equipamentos médicos, saltándose controis de auditoría de código.
Este descubrimento enmárcase dentro das investigacións que leva a cabo o departamento de innovación de Tarlogic sobre o estándar Bluetooth. A compaña tamén presentou na RootedCON, o maior congreso de ciberseguridade en español do mundo, BluetoothUSB, unha ferramenta gratuíta e libre que permite o desenvolvemento de probas para auditorías de seguridade sen importar o sistema operativo dos dispositivos.
A solución foi presentada por Miguel Tarascó, director de innovación de Tarlogic, e Antonio Vázquez, investigador deste departamento. Buscan «democratizar a execución de probas de seguridade de dispositivos Bluetooth e axudar a fabricantes e expertos en ciberseguridade a protexer toda clase de gadgets e equipamentos tecnolóxicos fronte aos ataques que teñen como fin espiar a cidadáns e empresas e tomar o control de dispositivos esenciais no día a día», apuntan desde a compaña.
Os investigadores da firma de ciberseguridade revisaron múltiples dispositivos Bluetooth usando a metodoloxía BSAM, presentada por Tarlogic hai un ano, que sistematiza a realización de auditorías de seguridade Bluetooth. No transcurso da investigación descubriuse a citada funcionalidade oculta no chip ESP32, usado en millóns de dispositivos IoT (Internet das cousas) e que se pode adquirir nos ecommerce máis famosos do mundo por só dous euros.
Debido ao seu baixo custo, está presente na gran maioría de dispositivos IoT Bluetooth de uso doméstico. No 2023, o fabricante Espressif informou nun comunicado que ata ese momento vendéranse mil millóns de unidades deste chip en todo o mundo. Tras o descubrimento de Tarlogic, Espressif tivo que saír pásoa para afirmar que eliminará os comandos de depuración nunha futura actualización de software.
Tarlogic afirma que os chips ESP32, que permiten a conectividade a través de wifi ou Bluetooth, contan con comandos ocultos non documentados polo fabricante, que permitirían modificar os chips de xeito arbitrario para desbloquear funcionalidades adicionais, infectalos con código malicioso e chegar a realizar ataques de suplantación de identidade de dispositivos. «De tal forma que os ciberdelincuentes poderían facerse pasar por dispositivos coñecidos para conectarse a móbiles, computadores e dispositivos intelixentes, aínda que estean en modo de non conexión», afirman desde a empresa de Teo.
Máis actividade
Os expertos en ciberseguridade deron a coñecer o pasado ano BlueTrust, unha vulnerabilidade que permite identificar e vincular dispositivos Bluetooth entre si e que se pode explotar para inferir datos persoais como nomes, direccións ou números de teléfono. Con que fin? Levar a cabo ataques e fraudes. Tamén presentou, no 2024, BSAM, a primeira metodoloxía para realizar auditorías de seguridade de Bluetooth e detectar debilidades e vulnerabilidades nos dispositivos que empregan este estándar.
Agora, «vaise un paso máis aló na tarefa de fortalecer a seguridade de millóns de gadgets», xa que, indican, BluetoothUSB «é unha ferramenta que permite desenvolver todos os controis de seguridade de BSAM e levar a cabo avaliacións integrais dos gadgets sen ter que recorrer a múltiples software e hardware. O que supón un aforro maiúsculo de tempo, esforzo e investimento».