(cc) Bastien Vaucher

La semana pasada, un grupo de hackers parte del movimiento #AntiSec publicó un millón de códigos identificadores de dispositivos iOS, que según ellos, habían robado desde un laptop de un agente del FBI. Luego que el FBI y Apple desmintieran ser la fuente desde donde se obtuvieron las ID robadas, una compañía llamada BlueToad en Estados Unidos se atribuyó ser la causa de esta filtración.

BlueToad se disculpó públicamente por el incidente en una serie de entrevistas en diversos medios, explicando que los hackers entraron en los sistemas de la compañía para robar el archivo. Sin embargo, aseguraron que ese archivo está muy lejos de contener los 12 millones de UDID (unique device identifiers) que aseguraron los hackers dijeron tener en su poder.

Según la empresa, pudieron hacer calzar sus datos con la lista publicada por AntiSec la semana pasada, con un 98% de correlación. “Cuando nos dimos cuenta que estábamos involucrados y habíamos sido víctimas, nos acercamos a las autoridades policiales apropiadas y comenzamos a tomar pasos para dar a conocer la situación, limpiar los registros y asumir la responsabilidad por esto”, dijo Paul DeHart, CEO de BlueToad a NBC.

La información contradice lo que había asegurado AntiSec la semana pasada, cuando dijeron que habían hackeado un laptop del FBI. Supuestamente, la agencia estaría usando para algo esa información. Despúes de que el FBI negara la acusación, y que Apple asegurara que no le había entregado información al FBI, se comenzó a sospechar que la información podría provenir de empresas desarrolladoras de aplicaciones.

Las UDID simplemente son una seguidilla de caracteres que sirven para identificar un iPhone, iPad o iPod Touch particular, y casi todos los desarrolladores que ofrecen algo en la App Store tienen una lista de UDID almacenada en alguna parte. Una UDID por sí sola no puede revelar mucha información sobre un usuario, sin embargo, muchos desarrolladores de apps recolectaron información sensible de los usuarios y las asociaron directamente con una UDID, de modo que hay maneras de conseguir información personal partiendo con este código si se hacen algunas búsquedas en internet.

Por esta razón Apple decidió terminar con el uso de UDID tras el lanzamiento de iOS 5, solicitando a los desarrolladores generar un identificador único que sólo sea accesible para una sola aplicación cuando fuera necesario. Apple empezó a rechazar aplicaciones que usen la UDID durante este año.

Aún así, las compañías todavía tienen bases de datos con esta información guardadas en sus sistemas. Puede que los hackers de AntiSec hayan entrado a más de una empresa como BlueToad, de donde provendrían el resto de las 12 millones de UDID que dicen tener. Hasta ahora, los hackers no se han referido a BlueToad, ni tampoco han respondido a Apple o el FBI.

Links:
- Exclusive: The real source of Apple device IDs leaked by Anonymous last week (NBC)
- AntiSec filtra datos de 1 millón de equipos Apple, dice que el FBI los está rastreando (FayerWayer)
- El FBI desmiente que AntiSec robara millones de ID de Apple del portátil de un agente (FayerWayer)
- Apple niega haber entregado información de equipos iOS al FBI (FayerWayer)