Desde la pandemia,
el uso de aplicaciones de streaming creció considerablemente, millones de
personas escuchan música en plataformas como Spotify, Apple Music o Amazon
Music, y ven películas y series en servicios como Netflix, Amazon Prime o Apple
TV. Sin embargo, también existen aplicaciones que ofrecen contenido de audio y
video de forma “gratuita”, lo cual puede resultar tentador para quienes buscan
evitar pagar suscripciones. ESET, compañía líder en detección proactiva de
amenazas, advierten que estas alternativas no solo pueden implicar problemas
legales, sino también riesgos de seguridad, especialmente en el caso de los
llamados Set-Top Boxes, dispositivos que permiten acceder a contenido sin
suscripciones pagas y que, al no contar con controles adecuados, pueden exponer
a los equipos a malware y otras amenazas cibernéticas.
Según Statista, el streaming de audio ha superado más de 750 millones de usuarios de pago en diversas plataformas y aplicaciones, mientras que el streaming de video acumula más de 155 millones de suscriptores, en ambos casos hablando de cifras a nivel mundial.
Los riesgos que
existen en las apps de streaming no oficiales incluyen que muchas de estas
aplicaciones no se encuentran en tiendas oficiales como Google Play Store o App
Store, lo que obliga al usuario a dirigirse a sitios web alternos. Estos sitios
suelen evitar los controles de calidad y seguridad que imponen las tiendas
oficiales, lo que los convierte en un terreno fértil para la distribución de
software malicioso.
“Una de las señales de maliciosidad de estas apps, es la excesiva habilitación de permisos especiales y críticos, en el dispositivo. Estas aplicaciones pueden comprometer la seguridad del dispositivo y de toda la red doméstica y ser la puerta de entrada para malware, desde spyware y troyanos hasta herramientas diseñadas para robar información personal.”, advierte David Gonzalez Cuautle, Investigador de ESET Latinoamérica.
El uso de estas plataformas, según ESET, también implica un riesgo legal ya que retransmitir contenido sin contar con los derechos correspondientes vulnera la propiedad intelectual de los titulares. Esto puede derivar en bloqueos por parte de proveedores de servicios de Internet o incluso en acciones judiciales.
Magis TV: un
ejemplo de los riesgos
Desde ESET se analizó como muestra y ejemplo, una aplicación que ha ido ganando popularidad en los últimos meses, sobre todo en Argentina, Colombia, Ecuador y México. Se presenta como un medio para ver series, películas y deportes en vivo sin pagar una suscripción mensual.
El análisis de la
aplicación (APK) de Magis TV mostró que existen permisos críticos e invasivos
que no corresponden a una aplicación convencional de streaming y que pueden ser
aprovechados con malas intenciones, retomando la clasificación de
potencialmente indeseables (PUA).
Entre los permisos que se solicitan al utilizar esta app se encuentran:
• android.permission.GET_TASKS: Permite que una aplicación recupere información sobre las tareas que se ejecutan y puede permitir que aplicaciones maliciosas descubran información privada sobre otras aplicaciones. Así un atacante podría obtener información confidencial sobre el uso del dispositivo o datos de otras aplicaciones.
• android.permission.MOUNT_UNMOUNT_FILESYSTEMS: Permite que la aplicación monte y desmonte sistemas de archivos para almacenamiento extraíble. Un atacante podría causar daños comprometiendo la seguridad del dispositivo.
• android.permission.POST_NOTIFICATIONS: Permite que una aplicación publique notificaciones, lo que habilitaría el envío de spam, phishing o contenido inapropiado.
• android.permission.READ_EXTERNAL_STORAGE: Un atacante podría acceder a fotos, videos, documentos y otros archivos almacenados en la tarjeta SD, incluyendo información sensible, al permitir la lectura desde el almacenamiento externo.
• android.permission.READ_MEDIA_AUDIO: Permite la lectura de archivos de audio desde el almacenamiento externo. Esto permitiría acceder a grabaciones de voz, música y otros archivos de audio guardados en el almacenamiento externo, incluyendo información sensible.
• android.permission.REQUEST_INSTALL_PACKAGES: Las aplicaciones maliciosas pueden usar esto para intentar engañar a los usuarios y que instalen paquetes maliciosos adicionales. Un atacante podría distribuir malware o spyware haciéndolo pasar por una actualización legítima o una aplicación útil.
• android.permission.WRITE_EXTERNAL_STORAGE: Permite que una aplicación escriba en el almacenamiento externo, lo que podría habilitar a un atacante a modificar o borrar archivos importantes, inyectar malware en el almacenamiento externo o robar datos. Esto podría resultar en la pérdida de datos, el compromiso del dispositivo o el robo de información personal.
“Estos riesgos implican que el robo de información de los usuarios que utilizan este tipo de aplicaciones es teóricamente factible con los permisos antes mencionados. Esto se debe a la criticidad de los permisos al momento de instalar la aplicación, puesto que pueden descargar e instalar otras herramientas o aplicaciones capaces de rastrear la geolocalización, acceder a contenido multimedia como fotos, audios, mensajes y videos, y enviarlos a servidores externos sin el consentimiento del usuario.”, agrega Gonzalez Cuautle de ESET.
Otros riesgos de buscar streaming gratuito: SetTopBoxes
Los Set-Top Boxes (STB), también conllevan el riesgo de ser la entrada a malware, ya que pueden ser modificados o pirateados, en la mayoría de los casos e infectar la TV con malware de publicidad invasiva, robo de datos, y acceso remoto no autorizado a la red doméstica.
ESET analiza una de
las formas en que esto ocurre:
1.
STB con software malicioso: si el dispositivo
ha sido modificado para ejecutar apps piratas o firmware no oficial, puede
contener malware que afecte tanto al STB como a la TV (si tiene un sistema
operativo vulnerable, como Android TV customizado).
2.
Apps maliciosas: si se instalan
aplicaciones de fuentes no confiables en el STB o la TV, estas pueden contener
spyware, troyanos o infostealers.
3.
Red compartida: si el STB infectado
está en la misma red WiFi que la TV, un malware avanzado podría propagarse a
otros dispositivos conectados.
4. USB infectado: algunas STB modificadas requieren instalar archivos desde una memoria USB, lo que puede ser un vector de infección.
“Instalar una
aplicación fuera de las tiendas oficiales puede presentar la posibilidad de que
el dispositivo sea comprometido y usado como medio para propagar malware. Lo
mismo ocurre con algunos dispositivos de. Por lo mismo, es decisión de cada
persona evaluar si vale la pena dejar en bandeja de plata su información solo
por evitar pagar una suscripción.”, concluye David González Cuautle de ESET Latinoamérica.