Una nueva vulnerabilidad (CVE-2018-9489) fue descubierta por la firma de seguridad Nightwatch Cybersecurity, la cual permite identificar y seguir cualquier dispositivo Android o versiones fork del mismo como por ejemplo FireOS y hasta ubicar a los usuarios a través de geolocalización.

De acuerdo a un artículo en su sitio web develando la vulnerabilidad, Nightwatch Cybersecurity señala que transmisiones del sistema (Android OS) expone información del dispositivo a la aplicaciones que están corriendo en el dispositivo, lo cual incluye los siguiente,

• Nombre de la red WiF
• BSSID
• Direcciones IP Locales
• Información del Servidor DNS
• Dirección MAC 

La empresa también explica que si bien la información sobre la dirección MAC en Android 6 ya no está disponible vía APIs y para obtenerlas hay que requerir permisos extras para acceder a esta información, al tener acceso a las transmisiones del sistema, cualquier aplicación del dispositivo puede capturar la información transmitida sin necesidad de permisos.

El problema con las direcciones MAC del dispositivo es que al no cambiar y estar ligadas al dispositivo, esto se puede usar no solo para identificarlo, también para hacer un seguimiento del mismo.  Además el nombre de la red WiFi y el BSSID se pueden usar para geolocalizar el terminal y por ende al usuario que lo tiene consigo.  Esto último lo hace consultando bases de datos BSSID como WiGLE o SkyHook.

También existe la posibilidad de que otras aplicaciones con malware utilicen otra información de red para investigar más y atacar la red local WiFi, a la cual esté conectado el terminal.

Google, notificado hace rato del problema, si bien arregló la vulnerabilidad en el nuevo Android 9 Pie, no tiene planes de solucionar la vulnerabilidad en versiones anteriores.

Información más detallada del problema pueden encontrarla en el sitio web de Nightwatch Cibersecurity.