ASUS sufre el robo del código fuente de sus cámaras ¿Sus portátiles o smartphones podrán espiarte?

Si tienes un dispositivo de ASUS con cámara, mucho ojito, y es que la compañía taiwanesa ha reconocido en un comunicado oficial del robo de “parte del código fuente de cámaras para teléfonos ASUS”. En concreto, la compañía indica que este robo está ligado a un proveedor suyo que sufrió un “acceso no autorizado de terceros”.

Esta información la hizo oficial después de que el grupo de ransomware Everest Ransomware Group reclamara haber comprometido la infraestructura de ASUS, además de haber filtrado más de 1 TB de información. Información entre la que se encuentran aspectos tan valiosos como el "código fuente de cámaras". De esta forma, ASUS tuvo que pronunciarse oficialmente para confirmar no solo la auditoría del robo. Sino también intentar calmar las aguas indicando que este robo lo sufrió uno de sus socios.

La gran preocupación está ligada en saber qué sucederá con las cámaras que utiliza ASUS en sus dispositivos tras filtrarse el código fuente

ASUS indica que es una "parte del código fuente" de las cámaras de teléfonos ASUS. Aunque la fuente original, el propio grupo que filtra la información, habla de una forma más amplia indicando "código fuente de cámaras”, sin mencionar unos dispositivos en concreto. Según ASUS, este robo no afectaría directamente a webcams de portátiles o productos finales. De ser cierto, el riesgo de problemas de privacidad para usuarios de portátiles ASUS con webcam integrada es muy bajo si nos ceñimos a la versión oficial, pero ASUS también deja ciertas incertidumbres.

La información es muy vaga, hablamos del código fuente de la cámara, desconociendo si hablamos de los controladores, módulos de firmware o sensores, que se pueden utilizar en una gran variedad de dispositivos. Desde un móvil, hasta un portátil o la propia cámara que integra su consola ROG Ally. Si bien ASUS niega impacto en productos finales, la filtración del código fuente permitiría a terceros hacer ingeniería inversa. Esto implica investigar vulnerabilidades que en algún momento podrían explotarse en futuros productos o revisiones.

Evidentemente, no sabemos más información. Pero la lógica indica que si tienes un portátil de ASUS, no estaría mal ponerte una alarma para dentro de, digamos, en uno o un par de meses. Una vez suene la alarma, lo recomendable sería acceder a la web oficial, buscar tu modelo, y revisar si ha habido alguna actualización de firmware o BIOS para tu portátil. Además de revisar si la cámara o webcam de tu dispositivo ha recibido una actualización de software. Suponemos que si esto sucede, alguien dará la voz de alarma y se dará a conocer de forma pública.

ASUS quiere dejar claro que el impacto en usuarios ha sido nulo

ASUS descartó un impacto directo en los sistemas de sus usuarios o su privacidad, pero volvemos al quid de la cuestión, que si un atacante posee el código fuente de los módulos de la cámara, en el futuro esta historia podría ser completamente distinta. También hay que tener en cuenta que se habla de más de 1 TB de información robada. Hablamos de un volumen muy importante, lo que evidentemente confirma un acceso masivo o prolongado en el tiempo a la información de este socio de ASUS.

Declaración pública sobre el acceso no autorizado a datos por parte de terceros

Un proveedor de ASUS fue víctima de un ataque informático. Esto afectó a parte del código fuente de la cámara de los teléfonos ASUS. Este incidente no ha tenido repercusiones en los productos de ASUS, los sistemas internos de la empresa ni la privacidad de los usuarios. ASUS sigue reforzando la seguridad de la cadena de suministro de conformidad con las normas de ciberseguridad.

Dejando de lado el escueto comunicado de prensa de ASUS. La compañía deberá realizar una auditoría de su cadena de suministro, identificar al proveedor afectado, aplicar revisiones de seguridad, y posiblemente, revelar con mayor detalle si datos personales de clientes internos o externos fueron afectados. En cuanto a la ley europea de privacidad (GDPR), ASUS afirma que la privacidad de los usuarios no se vio afectada. Entonces, si no ha existido una brecha de datos personales, no tienen ninguna obligación de notificar el ataque a las autoridades de protección de datos.