Samsung: il servizio Find My Mobile è sicuro

A fine ottobre, il National Institute of Standards and Technology (NIST) degli Stati Uniti aveva pubblicato un bollettino relativo ad una vulnerabilità presente nel servizio Find My Mobile di Samsung che permette di localizzare il dispositivo, bloccare lo schermo e attivare la suoneria da remoto. L’azienda coreana ha ora comunicato che il bug era stato già risolto e che nessun dato degli utenti è stato compromesso.

Find My Mobile (tradotto in italiano come Trova dispositivo personale) funziona il modo simile ai servizi Android Device Manager (Gestione dispositivi Android) di Google e Find My iPhone (Trova il mio iPhone) di Apple. La vulnerabilità zero-day segnalata dal NIST è stata individuata nella parte web del servizio, non nelle app preinstallate sui dispositivi Galaxy. Un malintenzionato potrebbe eseguire un attacco DoS (Denial of Service) per ottenere il controllo dello smartphone. La falla Cross-Site Request Forgery (CSRF) in Find My Mobile avrebbe permesso di eseguire tutte le azioni previste dal servizio, in quanto non veniva verificata la provenienza dei dati ricevuti.

Samsung chiarisce che l’improbabile situazione in cui un hacker potrebbe bloccare il dispositivo (ma non accedere ai dati dell’utente) si verifica solo se sono soddisfatte quattro condizioni:

1. Il malintenzionato trova un modo per inviare un link con il codice maligno
2. L’opzione di controllo remoto in Find My Mobile è attiva
3. L’utente effettua l’accesso al sito Find My Mobile
4. L’utente clicca il link inviato dal malintenzionato

Find My Mobile è presente su tutti i dispositivi Galaxy con Android 2.3.3 e versioni successive, ovvero dal Galaxy S2 in poi. Il servizio viene attivato automaticamente quando l’utente crea un account Samsung.