Un investigador de seguridad dio a conocer vulnerabilidades críticas eID en el sistema de identidad digital basado en eID usado en Bélgica. La investigación se centró en una extensión del navegador llamada Connective, empleada por más de dos millones de usuarios en el país, y destinada a gestionar autenticación con identidad digital y firmas electrónicas con efectos legales.
La buena noticia es que los problemas ya fueron corregidos por el proveedor. Aun así, el caso es relevante por el impacto que una falla de confianza puede tener en todo un ecosistema digital, especialmente cuando la extensión actúa como “puente” entre el navegador del usuario y componentes que respaldan transacciones y firmas.
Qué es Connective y por qué es tan sensible
Connective es una extensión utilizada para facilitar procesos de identidad digital. Según la información divulgada, el software participa en la autenticación de usuarios y en la ejecución de firmas electrónicas que se consideran válidas desde el punto de vista legal.
En el entorno belga, su alcance es amplio: se usa en varias instituciones financieras y también por un gran número de organismos públicos. Además, el sistema no opera aislado: otros portales y proveedores de identidad de terceros dependen de las capacidades de firma asociadas al eID.
El fallo de verificación de origen: cualquier sitio podía hablar con la extensión
El núcleo del problema descrito por el investigador estaba relacionado con la verificación insuficiente de qué página web intentaba comunicarse con la extensión en el dispositivo de la víctima. En otras palabras: la aplicación no comprobaba adecuadamente el origen de las solicitudes.
Sin esas validaciones, un sitio web malicioso o incluso contenido embebido en anuncios podía interactuar directamente con Connective en la máquina del usuario. Esto abría la puerta a acciones sin que la persona entendiera con claridad qué página estaba realizando la petición y con qué propósito.
Riesgo para credenciales: lectura silenciosa y manipulación de solicitudes
El informe indica que, en un escenario malicioso, la extensión podría permitir la lectura silenciosa de información sensible vinculada al eID, así como datos asociados a tarjetas de pago. La preocupación aquí no es solo la exfiltración, sino que ocurre sin que el usuario perciba una interacción legítima.
Además, el investigador describe otra vía de ataque especialmente preocupante: un atacante podía engañar a los usuarios para que revelaran el PIN del eID mediante ventanas emergentes diseñadas para parecer auténticas. El punto clave es que la extensión permitía que las páginas web personalizaran el texto dentro de los diálogos de autenticación sin mostrar el dominio que origina la solicitud.
Como resultado, el usuario no tenía una forma fiable de distinguir si el aviso provenía de un sitio legítimo o si se trataba de un intento de phishing.
Cómo el PIN podía habilitar firmas electrónicas no autorizadas
Una vez que el usuario introducía el PIN en el diálogo, la extensión lo transmitía de vuelta a la página que había solicitado la interacción. En ese momento, el atacante podía usar el PIN para generar tokens de aprobación no autorizados.
Con esas capacidades, era posible forjar firmas electrónicas con efecto legal siempre que la tarjeta física eID estuviera insertada en un lector. Este matiz es importante: no se trataba únicamente de robar datos, sino de habilitar acciones que impactan directamente en la identidad y en trámites con validez legal.
Efecto dominó en la confianza del ecosistema digital
El investigador subrayó que la alteración del modelo de confianza del sistema belga afecta más allá de la extensión. Incluso si otros servicios no presentaban fallos propios, muchos procesos dependen de la firma basada en eID.
Así, un atacante que lograra obtener capacidades de firma o el material necesario para firmar podría registrar o secuestrar cuentas digitales en proveedores de identidad de terceros y en portales gubernamentales que utilicen firmas eID como mecanismo de verificación.
Vulnerabilidad de ejecución remota de código: el ataque no dependía de la tarjeta
El análisis también encontró una vulnerabilidad de ejecución remota de código que podía operar independientemente de si la tarjeta eID estaba conectada. Esto amplía considerablemente el riesgo, porque el atacante no necesitaba el flujo tradicional ligado a la firma con tarjeta.
La falla se relacionaba con la forma en que la extensión procesaba archivos en el equipo del usuario. El investigador describe que un sitio malicioso podía inducir a la extensión a ejecutar código controlado por el atacante con privilegios del usuario.
Ataques “drive-by” y propagación potencial
Según el reporte, el atacante podía intentar un ataque de tipo “drive-by” engañando al usuario para que descargara un archivo que aparentara ser un documento común y luego visitara una página web que activara el comportamiento vulnerable.
Además, el informe sugiere que el problema podía tener características de propagación tipo gusano si el malware conseguía secuestrar credenciales y enviar enlaces maliciosos a otros posibles objetivos. Aunque estos escenarios dependen de otros factores, el hecho de que no se requieran permisos especiales resalta la peligrosidad del defecto.
Corrección y estado de las divulgaciones
El proveedor aplicó la remediación tras el reporte inicial. En el material compartido se indica que la corrección se completó 146 días después de la primera comunicación del problema y que se otorgó una recompensa de 200 dólares como parte del programa de bug bounty.
Las medidas descritas incluyen bloqueos de solicitudes de origen no autorizadas y mejoras en el manejo del PIN para reducir el riesgo de exposición y uso indebido. El refuerzo final de seguridad se completó a finales de julio, de acuerdo con la información divulgada.
En relación con estandarización, no se indicaron CVE asignados para los hallazgos descritos.
El investigador hizo la divulgación pública en DEF CON y publicó un artículo técnico con detalles adicionales. Por su parte, el proveedor no habría respondido a una solicitud de comentario mencionada en la cobertura.
Qué debería aprender el sector de este caso
Este incidente pone en foco un problema recurrente en productos que integran identidades y firmas: la seguridad del origen y la trazabilidad de la solicitud. Cuando una extensión no puede determinar con precisión qué entidad inició la interacción, el usuario pierde una barrera esencial para detectar phishing.
También evidencia la importancia de separar con claridad los caminos de autenticación, la introducción de credenciales (como el PIN) y la generación de aprobaciones o tokens. Si esos flujos se conectan de forma insegura, la consecuencia puede trascender el robo de datos y llegar a acciones con validez legal.
Conclusión
Las vulnerabilidades críticas eID descubiertas en Connective demostraron cómo una falta de verificación de origen y de indicadores claros en diálogos de autenticación puede facilitar ataques que van desde la exposición del PIN hasta la firma electrónica no autorizada. Además, la presencia de una falla de ejecución remota de código que no dependía de la tarjeta elevó aún más el impacto potencial.
Afortunadamente, el proveedor remediaron los problemas y aplicó controles adicionales. Aun así, el caso refuerza la necesidad de revisar la seguridad de extensiones y sistemas de identidad digital, sobre todo cuando interactúan con procesos sensibles y con firmas que afectan derechos y obligaciones.
