¿Las apps en tu teléfono son la nueva puerta de entrada a fraudes cada vez más sofisticados?

Ciudad de México, enero de 2024.- ¿Las apps en tu teléfono son la nueva puerta de entrada a fraudes cada vez más sofisticados?-. Debido a su creciente popularidad y a la sensibilidad de los datos personales que almacenan, las apps para dispositivos móviles son un blanco cada vez más frecuente para ciberdelincuentes y hackers. Por su diseño, estas aplicaciones son extremadamente vulnerables. Esto se debe a que se ejecutan en entornos desprotegidos, fuera de  sus centros de datos y firewalls, lo que las deja expuestas a una amplia variedad de amenazas y ataques.

¿Alguna vez has puesto tu información personal en alguna app desde un smartphone? ¡Es una práctica muy común! Ingresamos datos sensibles como el nombre, domicilio e incluso datos bancarios para compras y servicios en nuestro día a día.

Estos datos confidenciales se almacenan en el dispositivo o son utilizados por las apps y el usuario para realizar diferentes procesos. Sin embargo, pueden verse comprometidos fácilmente utilizando cientos de herramientas poderosas, disponibles gratuitamente y fáciles de usar, que abren miles de amenazas exclusivas para dispositivos móviles.

México es el tercer país de América Latina que más ciberataques enfrenta al año con aproximadamente 102 mil intentos, según reportes recientes de Kaspersky.

“Las apps móviles son vulnerables a diversas formas de ataques cibernéticos y efectivamente pueden ser hackeadas. Los ciberdelincuentes pueden explotar los huecos en la seguridad incluso en las aplicaciones. Es por eso que no se debe pasar por alto la seguridad para cualquier negocio que tenga una app”, explica Tom Tovar, CEO y cofundador de Appdome, plataforma pionera de ciberdefensa automatizada para aplicaciones móviles.

Para comprender mejor el problema, analistas de Appdome explican cómo las apps se han convertido en el nuevo caldo de cultivo de ciberataques a través de campañas de fraude extremadamente sofisticadas y escalables, sin ser detectadas por las soluciones de seguridad tradicionales.

Phishing y fraude sintético en apps móviles

Este ha sido un método de ciberataque tradicional durante décadas y se presenta en muchas variedades. La víctima recibe una invitación para interactuar con un contenido falso o malicioso que imita a una entidad confiable. Por ejemplo, se presenta como un supuesto mensaje de su banco pidiéndole que verifique su cuenta agregando datos personales.

Como resultado, los usuarios creen que está enviando información confidencial a una organización confiable, pero en realidad la está revelando a un malware o a un atacante. 

Históricamente, el correo electrónico ha sido un canal recurrente para las campañas de phishing, pero no es el único. Los ataques de phishing modernos a menudo involucran a las apps móviles, con métodos sofisticados como malware superpuesto, malware de servicios de accesibilidad, aplicaciones y clones falsos, troyanos con malware cifrado y más.

Malware, ataques de superposición y troyanos

El malware es un tipo de software malicioso diseñado para infiltrarse, dañar o comprometer tanto las aplicaciones como otros sistemas infectados. Estos programas tienen la capacidad para robar información y monitorear la actividad en la app, lo que resulta devastador para la seguridad del usuario.

Por ejemplo, los troyanos bancarios BrasDex y Xenomorph abusan de las funciones de Accessibility Service en los dispositivos Android para interceptar eventos entre el sistema operativo y la app. Luego utilizan un malware especializado en la carga útil en el  Sistema de Transferencia Automatizada (ATS), que les permite ingresar información en los formularios dentro de la app.

Así es como le permite al troyano hacerse pasar por el usuario de banca móvil, eludir las autenticaciones multifactor y completar transacciones de extremo a extremo. Esto involucra también transferencias de dinero, todo sin el conocimiento ni la participación del usuario.

Bots maliciosos y ataques de botnets

Los bots maliciosos son programas automatizados diseñados para ejecutar acciones dañinas o engañosas, como fraudes, recopilación de datos y robos. Estos robots son cada vez más sofisticados: imitan el comportamiento humano y explotan actividades legítimas de las aplicaciones móviles, lo que hace que su detección sea difícil.

Las soluciones anti-bot tradicionales, diseñadas para soluciones web, no tienen la inteligencia necesaria para detectar ataques dirigidos a canales móviles. Esto deja un enorme punto ciego en la estrategia de protección de la mayoría de las empresas y otras organizaciones.

La responsabilidad cambiante: un llamado a los desarrolladores

A la luz de este panorama en constante evolución, los usuarios se encuentran en una posición precaria, lidiando con la naturaleza sofisticada de los ciberataques modernos.

“Los usuarios pueden asegurarse de tener contraseñas complejas y descargar apps únicamente de las tiendas oficiales, todo el mundo ha oído estos consejos antes. Pero la seguridad no debería recaer únicamente en el usuario, la responsabilidad también es de los desarrolladores. Al reconocer esta realidad, las agencias gubernamentales han hecho un cambio crucial”, explica Tovar.

Un ejemplo es la estrategia de ciberseguridad del presidente Joe Biden en EE.UU., que subraya la necesidad de que los desarrolladores y propietarios de tecnología asuman un papel proactivo en la protección de sus apps móviles.

La industria debe priorizar la protección dentro de las apps, ya que los usuarios de dispositivos móviles dependen cada vez más de los desarrolladores para fortalecer sus defensas contra amenazas emergentes.

Los gobiernos de todo el mundo también están tomando medidas específicas para hacer responsables a los fabricantes de apps móviles de proteger a los usuarios del fraude y malware, dejando claro que los desarrolladores deben ofrecer protecciones sólidas como parte de una defensa de múltiples capas para poder crear aplicaciones resistentes a la naturaleza cada vez más sofisticada y dinámica de las amenazas cibernéticas modernas.

Empresas como Appdome están marcando el comienzo de una nueva forma de proteger las aplicaciones móviles, a los usuarios y a las empresas, aprovechando la automatización. Esto permite a los equipos de desarrollo y cibernéticos utilizar inteligencia integral sobre amenazas y datos de ataques en tiempo real en apps móviles, para tomar decisiones informadas sobre qué protecciones integrar tanto en sistemas Android como iOS.

Estas soluciones integrales utilizan plataformas automatizadas de ciberdefensa sin código, para ofrecer protecciones en las apps en cuestión de minutos y directamente desde la ingeniería CI/CD ya existente.

“A medida que avanza la tecnología móvil, también debe hacerlo nuestro enfoque sobre la seguridad. Los usuarios no están indefensos, pero la carga de la protección debería recaer en los desarrolladores que crean las experiencias digitales en las que confiamos. Al adoptar este cambio de paradigma, la industria móvil puede fomentar un entorno más seguro garantizando que los usuarios puedan confiar en sus interacciones digitales”, concluye Tovar.