¿Piensas que nadie más está leyendo tu conversación de Skype? piénsalo de nuevo

Cuando mantenemos una conversación a través del popular cliente pensamos que solo nos están leyendo los integrantes de la conversación, sin embargo, una investigación llevada a cabo por Ars Technica en colaboración con el experto en seguridad Ashkan Soltani ha demostrado que no es así y que Microsoft, propietaria de Skype, tiene acceso a los mensajes que intercambiamos.

Para demostrarlo, los expertos se enviaron a través de Skype cuatro enlaces creados específicamente para la prueba. De los cuatro enlaces intercambiados, dos no tuvieron ninguna actividad, sin embargo, los dos restantes recibieron la visita desde una dirección IP perteneciente a Microsoft. Esto no es nada nuevo, la empresa lo menciona en su política de privacidad:

[...]Skype puede usar el escaneo automatizado dentro de mensajes instantáneos y SMS para (a) identificar correos no deseados sospechosos o (b) identificar direcciones URL que hayan sido previamente marcadas como vínculos de correo no deseado, fraude o suplantación de identidad. En pocos casos, es posible que Skype capte y revise manualmente mensajes instantáneos o SMS en relación con los esfuerzos para la prevención de correos no deseados. Skype puede, a su exclusivo criterio, bloquear o evitar la entrega de correos no deseados sospechosos o eliminar vínculos sospechosos de los mensajes.[...]

Investigaciones llevadas a cabo por expertos de The H Security han llegado a la conclusión de que la mayoría de enlaces visitados son HTTPS, cuyas credenciales son comprobadas por cualquier navegador por lo que no tiene demasiado sentido. Por otro lado, en las visitas desde Microsoft sólo acceden a la cabecera del sitio web, nunca al contenido, de modo que si se trata de un análisis en busca de malware, deja mucho que desear ya que dentro del contenido se puede insertar, por ejemplo, un iframe donde se incluya el código malicioso.

En cualquier caso, hay muchas incógnitas en el aire respecto a esta "característica". En primer lugar, si se trata de una medida de protección ante ataques de spam y malware ¿por qué se realiza el análisis horas después?¿por qué no se realiza en el momento?, ante ataques de este tipo es muy importante el tiempo de respuesta para evitar la propagación. En segundo lugar, ¿por qué sólo comprueba la cabecera? muchas técnicas de malware se basan en añadir código al contenido de la web y quedarían fuera del análisis. Y en tercer lugar, ¿cómo se realiza este informe? es el cliente el que envía las direcciones a los servidores de Microsoft o por el contrario tienen acceso a toda la información intercambiada.

Parece ser que el revuelo que se ha creado en torno a estas investigaciones ha llevado a Microsoft a desactivar temporalmente el rastreo de direcciones, presumiblemente hasta que todo vuelva a la normalidad. Aunque en mi opinión, deberían aportar más detalles sobre este sistema, o al menos, dejar decidir al usuario si quiere utilizarlo o no, como hace con el filtro SmartScreen en Internet Explorer.

Vía | Ars Technica y The H Security