El cifrado de WPA2 fue roto hace más de un año con el ataque KRACK. Esto obligó a la Wi-Fi Alliance a lanzar el protocolo WPA3 casi 15 años después de lanzar WPA2. Por culpa de ello, millones de dispositivos con WiFi están expuestos hoy a ese ataque que todavía no se ha parcheado, y ESET ha descubierto que había millones de Echo y Kindle no parcheados que podían permitir a un atacante hackear tu red WiFi.​

​

En concreto, son los Amazon Echo de 1ª generación y los Kindle de 8ª generación los que estaban expuestos a ataques a través de la vulnerabilidad KRACK, permitiendo que un atacante realice un ataque man-in-the-middle contra una red protegida por WPA2. Con él, un atacante puede descifrar los paquetes enviados por los clientes para robar información sensible que se envíe en texto plano. Por “suerte”, la información cifrada que se envíe a través de la red seguirá estando oculta para el atacante.​

La vulnerabilidad KRACK, o Key Reinstallation Attack, atacaba al handshake de 4 vías del protocolo WPA2, y este mes se han cumplido dos años desde que fue publicada por Mathy Vanhoef y Frank Piessens. Para arreglar el fallo, es necesario que los fabricantes de routers y dispositivos con WiFi lanzasen un nuevo firmware o actualización del sistema que incluyese la solución.​

​

Sin embargo, investigadores de ESET han descubierto que los Amazon Echo de primera generación y los Kindle de octava generación todavía estaban afectados a principios de año por la vulnerabilidad y no habían sido actualizados a pesar de que son dispositivos que acceden con regularidad a Internet.​

​

Revisa que tu Echo y Kindle están actualizados a la última versión​

Al no estar parcheados, los investigadores consiguieron replicar todo el proceso que les permitía hackear la red WiFi, y realizar cosas como un ataque DDoS a la red local para saturar el router, descifrar datos en texto plano enviados por la víctima, falsificar paquetes, o interceptar información sensible. A su vez, también descubrieron una vulnerabilidad en los altavoces inteligentes al margen de KRACk, que permitía realizar ataques DDoS.​

​

ESET ha publicado la existencia de estos fallos casi un año después de que informasen a Amazon el pasado 23 de octubre de 2018. Amazon dijo que iba a analizar los fallos, y el 8 de enero de 2019, Amazon afirmó que pudieron replicar los fallos que ESET describió, y que tenían parches preparados para los dispositivos afectados, y que los irían lanzando en las semanas posteriores. El parche modificaría el wpa_supplicant para hacerlo inmune al ataque.​

​

Sin embargo, a pesar de hacer ya más de medio año que el parche está disponible, todavía hay muchos dispositivos que no están parcheados. Por ello, es recomendable que revises los ajustes de tu dispositivo y compruebes que tienes la última versión del firmware instalado en tu altavoz Echo o libro electrónico Kindle.​