Fiasco de Dell: reconoce que sus portátiles llevan instalado un certificado inseguro

Lo que comenzó con una queja de varios usuarios en la página Reddit, ha acabado con Dell reconociendo un grave error de seguridad y pidiendo disculpas. Algunos de los portátiles de la compañía, entre ellos el nuevo XPS 15, llevan instalado un certificado raíz inseguro que permitiría a un atacante hacerse pasar por casi cualquier página legítima, desde Google a tu banco, y robar datos e información. El fiasco es muy similar al ocurrido el pasado febrero con Lenovo y su 'adware' instalado de fábrica 'Superfish'.

"Sentimos mucho lo ocurrido y estamos tomando medidas para solucionarlo", ha dicho la compañía en uno de sus foros de soporte. El problema reside en un certificado llamado 'eDellRoot' que viene instalado de fábrica en muchos ordenadores Dell. No se trata de 'malware' ni 'adware', aclara Dell, sino de un software desarrollado por la propia empresa que sirve para facilitar las tareas de mantenimiento del sistema y ofrecer soporte online.

Dell aún no ha dado datos sobre cuántos ordenadores están afectados a nivel mundial y de qué modelos se trata

El problema es que la clave privada de este certificado no estaba correctamente protegida. Cualquier atacante con mínimos conocimientos técnicos podría extraer la clave de este software y utlizarla entre otras cosas para crear páginas falsas (por ejemplo, de tu banco online) sin que el navegador detecte que el certificado es inseguro. El resultado es que eventualmente podríamos ser víctima de un robo de información, todo gracias al programa instalado de fábrica en los ordenadores Dell.

¿Cómo eliminar el certificado?

La compañía aún no ha dado datos sobre cuántos ordenadores están afectados a nivel mundial y de qué modelos se trata. Ha asegurado sin embargo que hoy miércoles 24 lanzarán una actualización de software para sus ordenadores que comprobará si el certificado está instalado en el equipo y, de ser así, lo eliminará. Dell ha publicado también una aplicación que sirve de desintalador del programa defectuoso (puedes descargarla aquí).

Está por ver cuál será el alcance exacto de este fallo de seguridad, pero de momento supone una bofetada para Dell, una compañía que siempre ha asegurado que todas las aplicaciones preinstaladas en sus equipos pasan antes por revisiones de "seguridad, privacidad y usabilidad". Claramente algo ha fallado en este caso.

El fiasco puede acabar siendo similar al que vivió Lenovo a comienzos de año. De hecho, como señala la publicación especializada ArsTechnica, investigadores de seguridad de la firma Duo Security han encontrado que estos certificados defectuosos de Dell se estaban utilizando para ofrecer conexiones vía HTTPS a sistemas SCADA, es decir, sistemas utilizados para controlar y supervisar procesos industriales a distancia en plantas de energía, presas o líneas de producción. El riesgo de seguridad es por tanto más serio y real de lo que parece.