Una investigación del proveedor de ciberseguridad F-Secure ha encontrado y ayudado a corregir fallos de diseño de un test doméstico de antígenos para detectar la COVID-19 de la marca Ellume. Los fallos descubiertos habrían permitido a un individuo falsificar un resultado certificable de la prueba a través de Bluetooth. Ellume cuenta con la autorización de ser usada en caso de emergencia en Estados Unidos para diagnosticar coronavirus.

La empresa de ciberseguridad F–Secure ha hallado el modo en que los usuarios del test de antígenos de Covid–19 comercializado por Ellume pueden falsificar los resultados de sus muestras nasales mediante la manipulación de un sistema de Bluetooth que lleva incorporado.

Según ha expuesto F–Secure en un comunicado, el analista especializado en conexiones Bluetooth y seguridad móvil Ken Gannon descubrió que era posible modificar los resultados después de que estos llegaran al analizador de Bluetooth y antes de que fueran transmitidos por esta vía a su aplicación.

Este fallo se ha encontrado en las pruebas de antígenos autodiagnóstico de Ellume, que ofrecen los resultados en 15 minutos a través de un sistema de conexión Bluetooth compatible con iPhone y dispositivos Android, donde halló esa deficiencia de seguridad.

La prueba casera de COVID-19 de Ellume es una prueba de antígeno de autodiagnóstico, que las personas pueden utilizar para comprobar si tienen COVID-19. Los usuarios recogen una muestra nasal por su cuenta usando el kit que incluye, y luego analizan la muestra utilizando el analizador Bluetooth incluido. A continuación, el analizador comunica el resultado al usuario y a las autoridades sanitarias, en Estados Unidos, a través de la aplicación Android o iOS de Ellume.

El analista en seguridad Ken Gannon, especializado en seguridad móvil, descubrió que era posible cambiar los resultados después de que el analizador de Bluetooth realizara la prueba, pero antes de que la aplicación los comunicara. Incluso pudo obtener un certificado que demostrase sus resultados aunque estuvieran modificados.

Cabe decir que el investigador dice que se necesita a gente experta en ciberseguridad, es decir que no todo el mundo puede modificar estos resultados sin saber de informática. Gannon compartió sus hallazgos con Ellume, que investigó y confirmó el problema e implementó varias mejoras para evitar la manipulación de los resultados de las pruebas.

Incluso se puede obtener un certificado de una prueba falsificada

Ese certificado permite realizar ciertas actividades en Estados Unidos, una de ellas la de entrar en el país, similar al pasaporte Covid de Europa que te ayuda a tener más movilidad por la UE acompañado de un certificado localizador.

"Nuestra investigación consistió en cambiar un resultado de prueba negativo a positivo, pero el proceso funciona en ambos sentidos", explica el investigador. Según él, las personas u organizaciones altamente cualificadas con experiencia en ciberseguridad que trataran de eludir las medidas de salud pública destinadas a frenar la propagación de COVID, podrían haber modificado resultados positivos y enviarlos a las autoridades y a la aplicación del dispositivo como negativos.

Alan Fox, Jefe de Sistemas de Información de Ellume ha confirmado el hallazgo de los expertos en seguridad. Sin embargo, dice que no han encontrado pruebas de que nadie más que este investigador haya modificado los resultados.

Ellume considera que su test de autodiagnóstico sigue siendo más seguro que aquellos que no están digitalizados y que pueden falsificarse "fácilmente simplemente poniendo soda o agua en la prueba sin necesidad de conocimientos especializados". En el mes de noviembre, esta marca retiró del mercado más de 2 millones de pruebas caseras de covid-19 por falsos positivos

Sin embargo, la corrección no significó solamente aplicar una actualización al firmware del dispositivo, sino notificar a todas las autoridades correspondientes de la situación. La compañía asegura que hoy día los tests son completamente fiables y además agradeció la colaboración proporcionada por F-Secure, ya que los resultados de la investigación fueron entregados a ellos antes de que se hicieran públicos.

Fuentes:

https://www.genbeta.com/actualidad/vulnerabilidad-test-antigenos-permite-cambiar-resultado-bluetooth-marcando-que-eres-negativo-tengas-virus

https://labs.f-secure.com/blog/faking-a-positive-covid-test

https://github.com/FSecureLABS/Ellume-COVID-Test_Research-Files