El troyano del falso TweetDeck ¿fue culpa de Twitter?

(Por el Microsaurio) Durante el fin de semana aparecieron mensajes en el Twitter donde se informaba la necesidad de actualizar TweetDeck. Rápidamente (y de la peor manera) se comprobó que la actualización realmente era un troyano ladrón de contraseñas bancarias. Un escenario bastante conocido, pero con una vuelta de tuerca: se sospechó que la culpa la tenía una decisión de la gente de Twitter. Es tan fácil hacer leña del árbol caído… Hacé un clic para enterarte del culebrón…

Vamos por partes, como diría el eficiente Jack el Destripador.
TweetDeck es este producto, un programa ideal para que los ansiosos puedan leer cuanta gilada publiquen sus contactos de “…Twitter, Facebook, MySpace, LinkedIn, Foursquare, Google Buzz y otras redes sociales…”, además de contestarles al toque, según afirma el mensaje marketinero correspondiente. Se pueden monitorear unas cuarenta cuentas simultáneamente, según el tamaño de tu monitor, y las que no quedan a la vista se acomodan fuera de la vista, hasta pasar de cien. Bueno, algún serio investigador, o periodista, o erudito, también usará este producto para mantenerse mejor informado, pero sigamos.
El domingo aparecieron mensajes en Twitter anunciando que había que actualizar TweetDeck urgente. Ofrecían un link desde el cual se podía bajar un archivo llamado prolijamente “tweetdeck-08302010-update.exe”.
El mismo día Alex, del Soporte de TweetDeck, proclamaba: “…no descarguen, es un troyano, para descargas pasen exclusivamente por la página de la empresa…”
Y Mattsparrow, de seguridad de Twitter, avisó que los mensajes habían salido de cuentas legítimas de Twitter cuyos passwords habían sido robados a los usuarios (ojo, culpa de los usuarios…) y que estaban cambiando esos passwords, y que por supuesto, no descargaran nada que apareciera en links de esas cuentas.
Y la sorpresa: el martes don Graham Cluley, de la muy brítish empresa de seguridad informática Sophos aclaraba tres puntos:

• El fin de mes pasado incluyó, en la islas Británicas, un feriado bancario, el día lunes.
• La empresa TweetDeck es británica, y tiene una impresionante lista de usuarios británicos.
• La empresa Twitter dejó de soportar la autorización básica de su API el día 31, lo cual significa que los usuarios debían emplear, a partir de esa fecha, un cliente Twitter que emplee OAuth.

Tal vez por eso, los ansiosos usuarios de TweetDeck podrían pensar que había que actualizar su aplicación.
Ojo, el anuncio sobre cambio de autorización de Twitter se hizo el 24 de abril, así que los clientes estarán actualizados, no hacía falta bajarse nada justo el 31 de agosto…
Ahora, vamos de nuevo: si vos tenés un programa comercial cargado en tu compu, y aparece algún mensaje (un email, un tweet, lo que sea) diciendo que tenés que descargar una actualización urgente y que oh, casualidad, allí te ofrecen el link… ¿vos lo descargás desde ahí o buscás primero la página oficial de la empresa que lo diseñó?
Está bien, no contestes, no me amargues el día…