Dell, eDellRoot y la seguridad informática

Varios de los ordenadores Latitude, XPS e Inspiron de la compañía Dell se han visto afectados por una grave vulnerabilidad de seguridad. Vienen de fábrica con un certificado raíz poco seguro, "eDellRoot", que podría utilizarse para realizar los conocidos como ataques man-in-the-middle, una técnica que consigue engañar al ordenador para mostrar como segura, por ejemplo, una página que no lo es.

Con los conocimientos técnicos adecuados un atacante, por ejemplo, podría crear una página web similar a la del banco del usuario o la cuenta de Facebook y mostrarla en el navegador del PC acompañada de los avisos automáticos que normalmente suelen indicar que el contenido es seguro y está cifrado, como iconos de candados, etc. El usuario podría llegar a operar con normalidad en su cuenta o usar la red social sin notar ningún cambio a simple vista, pero la información -números de tarjetas de crédito, contraseñas o imágenes- serían visible para el atacante.

En su página web, la compañía ha publicado instrucciones para eliminar este certificado de forma inmediata y este martes lanzará también un parche de seguridad automático que solucionará el problema para aquellos usuarios que no quieran hacerlo de forma manual. La compañía no ha comunicado la cifra de ordenadores que podría estar afectada por este problema pero podría ser alto. Dell es el tercer mayor fabricante de PCs del mundo.

Esta vulnerabilidad es muy parecida a la que sufrió Lenovo el pasado mes de febrero aunque en el caso de Lenovo el origen estaba en una de las aplicaciones gratuitas creadas por una tercera compañía que venía instalada por defecto en los ordenadores de la marca china.

En el caso de Dell, este servicio no era parte del paquete de programas instalados por defecto como complemento al sistema operativo sino una herramienta de asistencia técnica para que la compañía pudiese conocer el modelo de ordenador en caso de acudir al servicio técnico. Dell asegura que en ningún momento esta herramienta ha recolectado información personal de los usuarios (tomado de elmundo.es).