Cada año se produce un aumento de los dispositivos móviles. De hecho, se prevé que en 2020 haya siete mil millones de usuarios que utilicen un smartphone.
Por eso la seguridad móvil es una de las principales preocupaciones de todas las empresas en la actualidad. Y por una buena razón: la mayoría de los trabajadores acceden cada día a datos de la empresa desde smartphones. Y eso supone que evitar que la información confidencial caiga en manos equivocadas es cada vez más complicado.
Los responsables de TI en las empresas deben mantener una correcta seguridad digital a medida que la red empresarial se hace más grande y los piratas informáticos se vuelven más sofisticados.
Los servicios basados en la nube están creando una dependencia de una Internet de alta velocidad y siempre disponible, mientras que los dispositivos en toda la empresa, desde teléfonos inteligentes y relojes inteligentes hasta cámaras de seguridad e interruptores de luz, están creando una conectividad profunda y amplia que nunca se imaginó.
La aparición de una Internet más barata y más rápida hace que sea más fácil para los piratas informáticos sondear, atacar, filtrar y esconderse en la maleza, mientras que el nivel general de ruido de fondo se vuelve más fuerte. La seguridad digital se ha convertido en un trabajo interminable a tiempo completo.
Vamos a analizar en qué consisten las amenazas en los dispositivos móviles, cuáles son las más comunes y cómo proteger nuestros dispositivos.
Indice
¿Qué son las amenazas móviles?
Podemos definir las amenazas móviles como aquellas actuaciones o fallos de seguridad que nos ocasionan importantes perjuicios, tanto económicos como de imagen o reputación.
La conexión constante a Internet y el uso de smartphone ha supuesto un cambio en la forma de trabajar de las empresas. Esos teléfonos inteligentes han pasado a ser una herramienta esencial para realizar funciones en la empresa. Con la conexión a Internet y un smartphone, el empleado puede realizar gran cantidad de tareas: desde redactar correos electrónicos, usar aplicaciones de mensajería instantánea o acceder a herramientas de trabajo.
En algunos casos, las amenazas creadas por estos dispositivos son similares a las que se encuentran en el entorno clásico empresarial, pero las características específicas de los dispositivos móviles también les hacen susceptibles a un conjunto de amenazas muy diferentes.
No ser conscientes de esas amenazas puede poner en riesgo datos, procesos de negocio y activos que pueden llegar incluso a poner en peligro la propia continuidad de la organización.
Uso de móviles en las empresas
Como hemos indicado, cada vez es más frecuente el uso de dispositivos móviles en las empresas.
Esto tiene importantes ventajas para la empresa. Pero también inconvenientes.
Dentro de las ventajas, podemos destacar:
- Posibilita la sencilla incorporación en las empresas de algunas plataformas ya existentes. De esta forma, no deben llevarse a cabo actuaciones que conlleven riesgos para la empresa al trabajar desde el propio dispositivo móvil. Por ejemplo, con Microsoft Office Mobile podemos sincronizar los documentos de la empresa con la misma plataforma usada por las estaciones de trabajo (OneDrive). Así no necesitamos sacar datos sensibles de la empresa (USB o correo personal).
- Los dispositivos móviles ya incluyen muchas características de seguridad por defecto que, en sistemas de escritorio, deben ser implementadas mediante herramientas de terceros, como sistemas de cifrado de disco por defecto.
- En el propio diseño del sistema operativo ya se aislan unas aplicaciones de otras. Esto supone que, si se produce un fallo de seguridad en una aplicación, no afecta a las demás.
Por otro lado, como inconvenientes están:
- Los smartphones se han convertido en un nuevo medio a través del cual los delincuentes pueden atacar y acceder a una empresa. Muchas veces, estos dispositivos guardan contraseñas de acceso a la empresa. Por ello es importante que estén correctamente protegidos.
- Un mismo dispositivo puede ser utilizado para trabajar en la empresa y de forma personal por el empleado.
- Aunque se permita la utilización del móvil personal en la empresa, puede existir riesgo para la información de la empresa en caso de que terceros de confianza accedan. Por ejemplo, cuando familiares envían información sensible por error a través de cuentas de trabajo.
Riesgos en el entorno móvil
Vamos a analizar cuáles son los principales riesgos que los dispositivos móviles introducen en una empresa.
Pérdida o robo
Es el riesgo más habitual al que se enfrentan las empresas que usan dispositivos móviles. Por su tamaño, precio y movilidad, los teléfonos móviles se roban o se pierden frecuentemente.
En caso de pérdida o robo del móvil pueden producirse dos importantes riesgos:
- Pérdida de los datos en caso de no tener una copia de seguridad.
- Acceso a los mismos por terceras partes no autorizadas.
Debemos tener en cuenta que, según el tipo de datos perdidos y la normativa aplicable, puede ser necesario notificar ese robo o pérdida a las autoridades competentes y a los afectados. Y muchas veces, el empleado lo comunica tarde o no llega a comunicarlo.
Acceso no autorizado
Según el nivel de protección que tenga el dispositivo, el grado de sofisticación del atacante o las aplicaciones instaladas, los datos a los que es posible acceder son:
- Datos y ficheros de aplicaciones: correos electrónicos y ficheros con información confidencial almacenados directamente en el dispositivo.
- Credenciales de aplicaciones: mediante análisis forense se puede acceder a usuarios, contraseñas y tokens de acceso a aplicaciones.
- Acceso a recursos ya autenticados: si el teléfono se encuentra desbloqueado, el intruso podrá acceder a algunos servicios cuyas aplicaciones ya
están preautenticadas. - Acceso a datos almacenados en bases de datos de aplicaciones: conversaciones, fotografías y cualquier otra información que se guarde en ficheros de base de datos locales.
Ataques
Si el dispositivo se encuentra activo y desbloqueado, lo único que debe hacer el atacante es mantenerlo desbloqueado la mayor parte del tiempo posible hasta que tenga la oportunidad de extraer los datos.
Si el dispositivo está bloqueado existen diferentes ataques que se pueden llevar a cabo para acceder a la información. Los ataques pueden realizarse para intentar acceder a todo el dispositivo o a la información de una aplicación concreta.
Muchas veces se necesitan de recursos adicionales como un equipo en el que ejecutar algoritmos para la prueba o extracción de claves.
Uso incorrecto
Muchas veces los propios usuarios aumentan los riesgos en sus teléfonos móviles con su comportamiento los que incrementan los riesgos producidos por los dispositivos móviles.
Dentro de esos comportamientos inadecuados podemos destacar:
- Suprimir el código de bloqueo del móvil.
- Usar el navegador para realizar actividades que pueden ser realizadas a través de apps.
- Mantener activada la opción de conexión automática a redes inalámbricas.
- No borrar de manera segura los datos del dispositivo cuando dejamos de usarlo.
- Realizar descargas de aplicaciones que no procedan de un sitio confiable.
- No borrar el historial del navegador regularmente.
- No proteger adecuadamente datos sensibles guardados en el dispositivo.
- Activar la opción de orígenes desconocidos
Amenazas de seguridad móvil
Los riesgos de seguridad móvil más realistas se encuentran en algunas áreas que se pasan por alto fácilmente, de las cuales solo se espera que vayan aumentando en 2020.
Aquí vamos a ver las principales amenazas para la seguridad de los dispositivos móviles.
1. Malware
Se considera como malware a cualquier aplicación que efectúa operaciones no autorizadas con el propósito de causar daño al dispositivo, al usuario o a la empresa.
La cantidad de malware existente para estos dispositivos ha crecido exponencialmente en los últimos años.
Muchas aplicaciones se hacen pasar por otras para que el usuario las instale. Estas incluyen software malicioso que, al ser instalado, se propaga por el dispositivo móvil infectándolo.
Como principales tipos de malware podemos destacar los siguientes:
- Malware bancario: con este tipo de malware los ciberdelincuentes pretenden atacar a aquellas empresas o particulares que realizan sus operaciones bancarias a través de los dispositivos móviles. Este malware incluye troyanos que se instalan en el móvil para recoger información sobre contraseñas bancarias e inicios de sesión.
- Ransomware móvil: este software malicioso bloque información importante del usuario como vídeos, documentos o fotografías, y la cifra pidiendo un rescate para poder acceder a ella. En caso de no pagarse ese rescate se eliminan o se bloquean esos datos para que el usuario no pueda volver a tener acceso a ellos.
- Spyware móvil: se trata de una aplicación que controla la actividad realizada por el dispositivo, localiza la ubicación y roba importante información. Muchas veces aparece como un software legítimo pero que por detrás recoge información. Es posible que ni siquiera nos demos cuenta de que lo tenemos instalado hasta que no efectuemos un análisis antimalware en el dispositivo y veamos que baja el rendimiento del mismo.
- Malware de MMS: también se inserta malware en mensajes de texto para ser distribuido. Al abrir el mensaje o, en muchos casos, sin abrirlo ese malware se instala en el dispositivo.
- Adware móvil: se trata de publicidad maliciosa, las molestas ventanas de anuncios emergentes que, si pinchamos en ellas, podemos hacer que un atacante acceda a nuestra información personal.
- Troyanos de SMS: la acción más realizada por los usuarios en sus móviles es el envío de mensajes. Por eso, los atacantes infectan los dispositivos con troyanos a través de los que se envían SMS a números de tarificación especial incrementando las facturas de los usuarios.
2. Fuga de datos
Las aplicaciones móviles son a menudo la causa de la fuga de datos involuntaria. Las aplicaciones de «riesgo» representan un problema real para los usuarios de dispositivos móviles, que les otorgan permisos generales, pero no siempre verifican la seguridad. Por lo general, se trata de aplicaciones gratuitas que se encuentran en las tiendas de aplicaciones oficiales que funcionan según lo anunciado, pero también envían datos personales a un servidor remoto, donde los anunciantes o incluso los cibercriminales los explotan.
La fuga de datos también puede ocurrir a través de aplicaciones móviles hostiles firmadas por la empresa. Aquí, el malware móvil utiliza código de distribución nativo de los sistemas operativos móviles populares como iOS y Android para difundir datos valiosos a través de redes corporativas sin generar señales de alerta.
3. Ingeniería social
La táctica probada y verdadera del engaño es tan preocupante en los dispositivos móviles como en los ordenadores. Aunque es sencillo evitar los perjuicios causados por los ataques de ingeniería social, estos ataques siguen siendo muy eficaces.
La mayoría de los ciberataques empiezan en el correo electrónico. En estos ataques se usan técnicas como la suplantación de identidad que pretenden engañar a las personas para que faciliten información confidencial o entren en enlaces maliciosos.
Es más fácil caer en la trampa para los usuarios de dispositivos móviles debido a que en el móvil aparece solo el nombre del remitente. Esto facilita la falsificación de mensajes y el engaño a una persona haciéndole creer que un correo electrónico es de alguien que conoce.
También se producen muchos ataques de phishing fuera del correo electrónico, a través de aplicaciones como Messenger y WhatsApp o de mensajes de texto.
4. Wi-Fi insegura
Las redes Wi-Fi gratuitas generalmente no son seguras. Para estar seguro, solo usa Wi-Fi gratis con moderación en tu dispositivo móvil y nunca lo uses para acceder a servicios personales o confidenciales, como información bancaria o de tarjetas de crédito.
El 75% de los dispositivos móviles se han conectado alguna vez a redes Wi-Fi inseguras. Y una parte de ellos han sido víctimas de algún ataque en el que un tercero accede a la comunicación realizada entre dos personas.
5. No actualización de dispositivos
Existen nuevos riesgos para la seguridad de las empresas derivados del uso de tablets, smartphones y otros dispositivos conectados dentro de la llamada Internet de las cosas. Estos dispositivos no ofrecen suficientes garantías de que su software esté actualizado continuamente.
Los fabricantes del sistema operativo Android no son suficientemente eficaces en el mantenimiento de sus productos actualizados y muchos dispositivos de IoT no están programados para recibir actualizaciones automáticas.
El incremento del uso de dispositivos móviles aumenta también las posibilidades de brechas de seguridad.
6. Ataques de criptojacking
El cryptojacking es una importante amenaza a incluir dentro de la lista de amenazas móviles.
Se trata de un tipo de ataque en el que un tercero utiliza un dispositivo para coger criptomonedas sin que su propietario sea consciente de ello. El proceso de criptominería beneficia a un tercero utilizando los sistemas de la empresa. Los dispositivos afectados por este tipo de ataques sufrirán una menor duración de batería e incluso pueden dañarse por un sobrecalentamiento de los componentes.
El criptojacking tuvo su origen en los ordenadores pero con el tiempo se ha producido un importante aumento en los dispositivos móviles.
De momento, no existe una solución para evitar estos ataques. Únicamente debemos elegir los dispositivos cuidadosamente y cumplir con una política de seguridad en la que se indique que los usuarios solo puedan descargar aplicaciones desde la tienda oficial de la plataforma.
7. Contraseñas poco seguras
No existe una concienciación de los usuarios de la necesidad de asegurar sus cuentas correctamente lo cual, si utilizan móviles con cuentas de la empresa, eso conlleva aún más peligros.
Solo un 25% de usuarios utiliza habitualmente un administrador de contraseñas lo que nos lleva a pensar que la gran mayoría de usuarios no dispone de contraseñas seguras en sus cuentas al crearlas y recordarlas por su cuenta.
Y un 50% de profesionales utiliza las mismas contraseñas para sus cuentas de trabajo y las personales.
8. Violaciones de dispositivos físicos
Esto, aunque puede parecer algo intranscendente, sigue siendo una importante amenaza para la seguridad. Los dispositivos perdidos o abandonados suponen un importante riesgo para la seguridad, sobre todo si no dispone de contraseñas seguras, de un PIN o de un sistema de cifrado de datos.
Medidas para evitar las amenazas a dispositivos móviles
La seguridad en los dispositivos móviles sigue siendo la cuestión más olvidada en las empresas. Y, como hemos visto, cualquier ataque producido contra estos dispositivos puede ocasionar numerosos perjuicios a la propia empresa.
Por eso, aquí tienes algunas recomendaciones para proteger la seguridad en los dispositivos móviles y evitar esos ciberataques:
- Formación de los empleados: es importante que todos los empleados se conciencien y comprendan todos los riesgos a los que están sometidos los dispositivos móviles, como el phishing o la conexión a través de redes no seguras.
- Elaborar una política de seguridad: deben definirse políticas que determinen los roles de cada trabajador dentro de la empresa y respecto a la importancia de la información a la que tiene acceso y trata.
- Impulsar una seguridad básica: informar sobre el uso de contraseñas seguras para bloquear el dispositivo, asegurar que todos los usuarios instalan las nuevas actualizaciones, activas las funciones de limpieza del dispositivo y la ubicación remota.
- Disociar los datos laborales de los personales: deben separarse siempre los datos personales de los archivos y mensajes referidos al trabajo. Para ello es importante aplicar soluciones de cifrado.
- Mayor inversión en prevención: la mejor forma de proteger un dispositivo móvil es integrando las tecnologías de prevención con las soluciones de seguridad móvil aplicadas.
La mejor protección siempre es la prevención.