La seguridad en los sistemas operativos, programas y aplicaciones que utilizamos es algo que se mira por lupa por parte de todo el mundo. Por un lado, de las propias empresas que los crean para tener los productos más seguros, y por otro lado por posibles atacantes para obtener beneficio vendiendo los exploits, o aprovechando para hackear y robar datos.

Hackear Windows se paga con hasta 300.000 dólares

Zerodium es una empresa de ciberseguridad que recopila todas las vulnerabilidades y exploits de día cero que puede con fines de investigación. Cuando reciben una vulnerabilidad, la analizan, documentan, e intentan proporcionar una solución, así como medidas de protección y recomendaciones para que las compañías protejan sus productos. Entre sus clientes están las propias empresas de tecnología o finanzas.

La empresa cuenta para ello con un programa de recompensas, en el cual detalla la cantidad de dinero que paga a cambio de recibir determinadas vulnerabilidades. Los precios que pagan son incluso superiores a los que ofrecen las compañías que los diseñan, siendo un incentivo para un hacker enviar la vulnerabilidad a Zerodium antes que a la compañía dueña del programa.

Así, las cifras que pagan van desde 10.000 dólares hasta 1,5 millones de dólares, dependiendo de la gravedad del fallo descubierto. Las encontradas en sistemas operativos van desde los 10.000 hasta los 300.000 dólares, siendo las más cara la ejecución de código remoto en Windows con un Zero Click. Le siguen vulnerabilidades de Chrome, Outlook, Firefox, Flash, OpenSSL, PHP, etc.

Hacerle jailbreak de manera remota a un iPhone se paga con 1,5 millones de dólares; hackear WhatsApp o Telegram, con 500.000 dólares

En cuanto a los móviles, las que superan el millón de euros son las relacionadas con Apple. Así, una ejecución remota de jailbreak con persistencia y Zero Click (algo prácticamente imposible) se paga con 1,5 millones de dólares, ya que eso permitiría el control a distancia de cualquier iPhone del mercado, y sería la vulnerabilidad más grave que podríamos encontrar en un dispositivo. Le sigue la misma vulnerabilidad sin Zero Click con 1 millón de dólares.

En la tercera línea de pagos para móviles, que ofrecen más dinero que los sistemas operativos de sobremesa y servidores debido a la gran cantidad de usuarios que usa el móvil a diario, encontramos que encontrar una vulnerabilidad de ejecución de código remoto y de escalado de privilegios en el dispositivo en las aplicaciones de mensajería como WhatsApp, Telegram, Signal, Facebook Messenger, iMessage, WeChat o Viber. También se incluyen vulnerabilidades similares para SMS/MMS y los email.

Que se pague tanto dinero por hackear estas aplicaciones de mensajería no quiere decir que sean inmunes a hackeos o 100% seguras, pero sí que cada vez es más complicado encontrar estos fallos en unas aplicaciones que tienen muchos años de recorrido, y que usan cifrado en sus comunicaciones.

Otras vulnerabilidades como poder ejecutar archivos de manera remota en Android o iOS se pagan con 150.000 dólares. El acceso al kernel se paga con 100.000 dólares, mientras que escalar hasta tener privilegios de administrador sin acceso remoto se paga con 50.000 dólares. Hackear Knox se paga con 25.000 dólares, mientras que slgo tan importante como nuestros métodos de protección como el PIN en Android o el Touch ID en iOS se pagan con 15.000 dólares.