A pesar de ser aún una fuente relativamente pequeña de riesgo en 2012, el panorama de amenazas móviles está creciendo, según se desprende del informe sobre seguridad en móviles 2013 publicado por Blue Coat. Las redes de malware, que estuvieron en el origen de casi dos tercios de todos los ataques webs en 2012, están fijándose en los usuarios móviles. A día de hoy, el 40% del malware móvil bloqueado por el servicio de seguridad en la nube WebPulse de Blue Coat tiene su origen en malnets conocidos.
“Ampliar la seguridad de los dispositivos móviles será un aspecto esencial para las empresas que necesiten proteger sus activos digitales y sus empleados. Los cibercriminales cada vez ven un mayor valor en esos objetivos a medida que aumentan las iniciativas BYOD en las empresas, por lo que es previsible un aumento de los ataques en 2013”, destaca Miguel Ángel Martos, country manager de Blue Coat en España y Portugal.
Las amenazas más frecuentes están basadas en las estafas clásicas que tratan de engañar a los usuarios para que introduzcan información confidencial en una página web que replica, por ejemplo, la de un banco. Blue Coat prevé además un aumento de las amenazas a través de teléfonos móviles en 2013, en tanto que la adopción de dispositivos móviles continúa creciendo rápidamente y, cada vez más, las empresas proporcionan acceso a datos corporativos a través de móviles y tablets (BYOD).
Según el Estudio Global de Movilidad de IDG, el 70 por ciento de los empleados encuestados accedieron a la red corporativa utilizando un smartphone o tablet propio. Este acceso se extiende también a aplicaciones críticas de negocio. Por ejemplo, el 80 por ciento de los empleados acceden al correo desde sus dispositivos personales.
Tradicionalmente, en infraestructuras de PCs, los cibercriminales suelen adquirir kits de exploits en el mercado negro y utilizar las infraestructuras de malnet para lanzar ataques de malware contra los usuarios de modo continuo. Los exploits agresivos que apuntan a dispositivos móviles aún no han aparecido. Sin embargo, técnicas establecidas, como el uso de pornografía, spam o phishing, que han funcionado bien para atacar a usuarios de PCs, están migrando con éxito a entornos de móvil.
Muchas de estas tácticas son agnósticas a los dispositivos, por lo que ampliar los ataques hacia los dispositivos móviles es relativamente simple. El phishing, el spam y otras estafas van dirigidos a usuarios de todo tipo de dispositivos, con el objetivo de engañarles para que proporcionen sus contraseñas y otra información confidencial, como datos de tarjetas bancarias.
Una diferencia importante entre los PCs tradicionales y el entorno móvil es que las versiones móviles de los sitios web son a veces creadas y alojadas por terceros. Para el usuario, esto significa que la URL puede no ser un indicador correcto de la relativa seguridad del sitio. Por ejemplo, al acceder a la web de los Hoteles Hilton desde un dispositivo móvil, nos redirecciona al dominio usable.net. Esta práctica puede hacer que los usuarios lleguen a sentirse cómodos con una URL extraña para acceder a un sitio web oficial y proporciona a los atacantes una ventaja que pueden aprovechar para engañar a los usuarios móviles.
Qué pueden hacer las empresas
“Los dispositivos móviles han dado poder a los usuarios, proporcionándoles acceso a una gran cantidad de información y usos corporativos desde cualquier ubicación. Sin embargo, las empresas aún no han establecido las herramientas y buenas prácticas necesarias para hacer un uso correcto y seguro de estos equipos”, subraya Miguel Ángel Martos. “Al repasar la seguridad en dispositivos móviles, vemos que algunos riesgos disminuyen, otros aumentan y otros se mantienen. Un ejemplo es el caso de las contraseñas. Durante años, la práctica habitual y segura era que los dígitos de las contraseñas quedaran ocultos instantáneamente cuando se tecleaban. Los teléfonos móviles a menudo invierten está práctica, dejándolas expuestas para asegurar que el acceso es correcto, pero también aumentando el riesgo de que queden expuestas a un espía”.
“En ocasiones, también es difícil hacer buenas elecciones acerca de los enlaces web que se visitan desde un dispositivo móvil. Muchas veces estos links están truncados o acortados mediante servicios como bit.ly. Esto impide a los usuarios tomar decisiones razonadas sobre dónde quiere dirigirse”, añade Miguel Ángel Martos.
Un ataque de phishing reciente demuestra lo fácil que es ser engañado y proporcionar credenciales en un dispositivo móvil. En este ataque, los usuarios reciben un email de phishing, con un formato y gramática perfectos, informándole de que Paypal ha detectado una actividad sospechosa durante la última transacción del usuario. El correo dice que Paypal ha bloqueado temporalmente la cuenta hasta que el usuario haga una verificación mediante un link adjunto.
Ampliar las soluciones de seguridad de la empresa para incluir los dispositivos móviles es un buen primer paso hacia la protección de los empleados. Cerrar el agujero de la seguridad móvil y establecer controles de acceso a los activos empresariales con las políticas adecuadas es lo que permite a las empresas protegerse proactivamente frente a las amenazas cambiantes de las plataformas móviles, sin renunciar a la innovación y productividad proporcionadas por la movilidad.
