Un nuevo estudio ha revelado una técnica de espionaje digital capaz de identificar el historial de navegación de los usuarios con una precisión superior al 90%, sin necesidad de instalar malware. Lo más llamativo es que, pese a su potencial, compañías como Google y Apple no lo consideran una urgencia de seguridad.
FROST: el método que usa el SSD como fuente de espionaje
Investigadores de la Universidad Tecnológica de Graz (Austria) desarrollaron el ataque denominado “Fingerprinting Remotely using OPFS-based SSD Timing” (FROST).
La técnica permite inferir qué páginas visita un usuario cuando entra a un sitio web con código JavaScript malicioso, sin necesidad de infectar el dispositivo.
Cómo funciona el ataque sin malware
FROST aprovecha la API Origin Private File System (OPFS), que permite a las aplicaciones web escribir y leer archivos directamente en el dispositivo.
El sistema crea actividad en el SSD y mide las variaciones de latencia para detectar patrones de uso del disco. Luego, una red neuronal convolucional interpreta esos datos para reconstruir el historial de navegación del usuario.
Según los investigadores, el sistema logró identificar sitios web con un 89% de precisión. En equipos Mac de Apple, el éxito sube hasta el 96%, superando a Windows en el mismo escenario.
Google y YouTube dejan “huellas digitales” únicas
El ataque funciona especialmente bien con servicios como Google o YouTube, ya que generan patrones de uso del SSD muy distintivos. Esto crea una especie de “huella digital” que facilita la identificación del usuario.
Un riesgo real, pero aún solo experimental
De momento, FROST es una prueba de concepto y no se ha detectado en ataques reales. Sin embargo, los investigadores confirman que la vulnerabilidad existe.
Posibles defensas y señales de alerta
Los investigadores sugieren dos posibles vías de defensa frente a este tipo de ataque.
La primera es detectar anomalías en el sistema, como una pérdida repentina y masiva de espacio en el disco duro, un síntoma que podría indicar actividad sospechosa.
La segunda medida sería que los navegadores soliciten permiso explícito al usuario antes de crear archivos OPFS. No obstante, esta opción aún no está implementada en la mayoría de navegadores de Google, Apple o Microsoft, lo que deja abierta la puerta a este tipo de técnicas emergentes.
Reacción de Google, Apple y Mozilla
Estos hallazgos, antes de su publicación, fueron compartidos con Google, Mozilla y Apple.
Según se afirma el documento, los desarrolladores de Chromium declararon que los ataques de ‘fingerprinting’ (rastreo de huella digital) no se consideran vulnerabilidades de seguridad, mientras que Apple clasificó el problema como fuera de alcance (aunque en el futuro podría considerarse) y Mozilla reconoció los hallazgos, pero sin implementar protecciones.
*Con información de Europa Press.