¿Se puede hackear la SUBE para viajar gratis?

Con quince años de recorrido, Ekoparty se autoproclama como la cumbre de hackers más importante de América Latina. Los organizadores dicen que es “como un Lollapalooza de la seguridad informática”, un evento que como aquel festival se estira durante varias jornadas con numerosas atracciones, en este caso para los interesados en hacking.

Entre las conferencias y actividades de la edición 2019, se destaca un encuentro que promete develar los misterios tecnológicos de las tarjetas de transporte que usamos en colectivos, trenes y subtes, entre ellas la SUBE.

En la previa, TN Tecno conversó con uno de los organizadores del evento y con el responsable de dejar al descubierto flaquezas de esa tecnología, que por cierto no son novedosas. De hecho, hace algunos meses la policía de Mendoza detuvo a un joven de 20 años sospechado de ser el creador de una app que ilegalmente recargaba el saldo en la tarjeta del sistema REDBUS, que se utiliza en aquella provincia.

“Las vulnerabilidades son muy técnicas. Pero en palabras simples, se basan en la manipulación de la información interna de las tarjetas. Por un lado, es posible crear ‘capturas’ del saldo en un momento dado y luego, a través de la manipulación de la comunicación entre el lector y la tarjeta, restaurar el saldo y volver a un estado anterior al efectuar un viaje. Esto se puede hacer múltiples veces”, nos explica Federico Kirschbaum, fundador y organizador de Ekoparty.

- ¿Cuáles son los “misterios” a los que hacen referencia en la invitación a este encuentro?

- La charla desentraña el funcionamiento interno de las tarjetas, separando dos puntos fundamentales. Por un lado, el acceso a la información interna de la tarjeta, el cual se efectúa haciendo abuso de vulnerabilidades de la tarjeta en conjunto con el hackeo de aplicaciones Android publicadas por SUBE.

Por el otro, el análisis interno de la forma en la que el saldo se almacena en las mismas. Una vez analizado el comportamiento de los datos almacenados, se encuentran formas de abusar de los mismos para poder hacer transacciones que no debería permitir un sistema billetera virtual, por ejemplo repetir viajes con el mismo saldo o inutilizar una tarjeta simplemente acercándose al plástico con un teléfono NFC.

- Ya sabemos que el sistema presenta algunas falencias, ¿cuáles son sus fortalezas en términos de seguridad? ¿Hay algo invulnerable en esas tecnologías?

- Pese a que la tarjeta es vulnerable, al cabo de unos días el sistema de transporte va a detectar que existe una inconsistencia entre el saldo ingresado al sistema y el saldo utilizado, por lo cual se bloquean las tarjetas que se detecten como fraudulentas. Si bien hay problemas de implementación que permiten operaciones fraudulentas, los ataques quedan detectados y no pueden explotarse para obtener un beneficio económico siquiera a gran escala.

Para dar cuenta de la poca viabilidad de esos ataques, Kirschbaum agrega que "se necesitan aparatos muy caros para poder siquiera hacer un viaje gratis y el proceso que se necesita ejecutar para poder abusar del sistema es único y especifico para cada tarjeta".

Como es usual en el terreno del hacking, las brechas fueron debidamente informadas a los desarrolladores de la tecnología afectada. Tal como explica en diálogo con TN el investigador en seguridad Dan Borgogno, que estará a cargo de la charla sobre la SUBE y tarjetas afines, las fallas fueron reportadas apenas se encontraron.

¿Por qué no se solucionaron? Dice Borgogno: “A mi entender, por el tiempo, inversión y trabajo que requiere corregir todas las tarjetas sin perder el saldo de los usuarios del sistema. Por otro lado, el abuso de las mismas vulnerabilidades es muy difícil de ejecutar, además de costoso y riesgoso, ya que estamos hablando de cometer fraude informático por solo un boleto de transporte. Aún así, es solamente una especulación mía… seguramente SUBE debe estar trabajando en algo”.

No sólo estará la charla de Borgogno. Prometen presentaciones sobre las investigaciones más importantes del año sobre explotación de vulnerabilidades y malware, talleres, capacitaciones, exposiciones sobre sistema de banca, y otra reunión que vale la pena agendar que girará en torno a las tecnologías anti-trampa que se implementan en competencias de e-sports.