Por Pablo Sabbatella *
El viernes me robaron el celular desbloqueado en Palermo. Gracias a que estaba preparado para este escenario, no pudieron hacer absolutamente nada con el mismo (ni formatearlo). Van un par de recomendaciones simples que les evitarán un dolor de cabeza si algún día les sucede
- Activar el “Theft protection” de Android o el “Stolen device protection” de iOS. Esta funcionalidad bloquea el teléfono ante la detección de un movimiento repentino, como lo es el arrebato en la calle. Esta fue la primer barrera que me protegió a mi. Se bloqueó al toque.
- Lo primero que hace un criminal si el celular está bloqueado es sacar el chip del teléfono, ponerlo en otro y empezar a resetear el acceso a distintas plataformas para ingresar en tus cuentas (Mercadopago, bancos, fintechs, crypto, etc). Es por esto que vamos a ponerle PIN a la tarjeta SIM. Este PIN se va a solicitar cada vez que se reinicie el teléfono y cuando pongan el chip en otro dispositivo.
- ATENCIÓN al activar el PIN de la SIM: todas las tarjetas SIM traen un pin por defecto que suele ser 1234. Cuando vayan a confgurarlo, les va a pedir el pin por defecto. Si ponen 1234 y les da error, NO prueben otra vez porque lo pueden bloquear, llamen a su empresa de telefonía celular y pídanlo. Luego cuando lo activen, presten mucha atención porque es fácil confundirse cuando te pide el PIN viejo y cuando el nuevo. Si guardaron la tarjeta original que les dieron cuando compraron el celular, ahí tienen el PUK (Personal Unlock Code) que les sirve para desblooquear la SIM si algún día meten 3 veces mal el PIN.
- Activar el “Find my device” o “Find my Android” con la funcionalidad de busqueda por red extendida, la cual permite encontrarlo aunque le apaguen el WIFI y el 4G, si hay otros celulares cerca. Habiliten el remote lock y remote wipe. Esto les va a permitir no sólo encontrar donde está, sino bloquearlo o borrarlo remotamente.
- Compartan su ubicación en tiempo real siempre con alguien de confianza. Recuerden de memoria el teléfono de esta persona. Les va a servir para llamarla en una emergencia.
- Ponganle PIN, huella o FaceID a todas las apps que tengan información sensible: bancos, fintechs, crypto, email, apps de fotos, whatsapp, telegram, apps de notas, etc. Apple lo agregó hace poco y Android lo va a sumar desde la versión 16. Muchas apps traen la funcionalidad del bloque dentro de la misma. Habilítenselo a todas.
- Probablemente haya apps o secciones que no puedan bloquear con FaceID o huella. Hagan el ejercicio de desbloquear el celular y ver todo lo que va a poder acceder el criminal sin hacer uso de biometría. Saquen todos los datos sensibles que no puedan proteger. No pongan contraseñas o PINs en las apps de notas ni se las envíen a si mismos por whatsapp.
- No tengan instaladas apps que no necesitan usar a diario. Si tenés un exchange con fondos relevantes, no es necesario tenerlo instalado. Es un potencial dolor de cabeza.
- Agarren un celular viejo y dupliquen el suyo y guárdenlo seguro con bateria en su casa y apagado. Clave tener en ese celular logeado: tu email, to telegram, tu app de 2FA, tu password manager, tu apple id, etc. De esta forma vas a poder recuperar el acceso a todo muchísimo más rápido.
- Pónganle FaceID o huella a Whatsapp y Telegram y que se los pida cada vez que lo abran. Además ponganle 2FA PIN a ambos, de esta forma no les van a poder robar las cuentas e impersonarlos.
- No tengan su número de celular como número de recuperación de ninguna cuenta, esto es MUY peligoroso. Sáquenlo de todos los lugares donde puedan y tengan claro donde no lo pueden sacar. Dato: de Mercado Pago se puede sacar.
- Armense un doc con el listado de teléfonos a los que tienen que llamar si esto les sucede: para dar de baja el chip, para bloquear bancos, etc. Haganse un listado de las cuentas más importantes que tienen para poder en ese momento ordenarse de forma clara y con prioridades y empezar a cerrar las sesiones abiertas en ese dispositivo de forma remota.
Estos puntos a tener en cuenta son los más básicos pero les van a permitir estar un 95% seguros. Hay más cosas que se pueden hacer y que siempre vemos con nuestros clientes, pero que para la mayoría no son necesarias.
Por otro lado, es importante tener un incident response plan (un documento) que nos guíe paso a paso en qué hacer exactamente luego de un incidente de este tipo). Estoy armando algo al respecto para hacer público.
Recuerden que lo primordial es estar super atentos y tratar de NO tener el celular desbloqueado en la calle, en mi caso estaba usando whatsapp y me regalé, fueron 3 segundos, en el momento ya no podés pensar y es tarde.
* El autor de la nota es Investigador de OpSec y seguridad de blockchain. Entrena y audita equipos para que no sean hackeados. Su cuenta de Twitter: