No debería sorprender que la evolución del panorama tecnológico moderno esté cambiando para siempre la forma en que vemos las amenazas. La seguridad de los datos de la empresa y de la organización ya no consiste en la seguridad física, sino en la protección digital. Los dispositivos móviles se han convertido rápidamente en una adición bienvenida al lugar de trabajo moderno, pero también en un punto de acceso vulnerable a todo tipo de amenazas a la seguridad. En consecuencia, la seguridad de los dispositivos móviles nunca ha sido tan importante.

Aun así, parece que los modelos actualmente vigentes en muchos sectores sensibles a los datos no alcanzan la verdadera seguridad. No es una tarea fácil. Los dispositivos móviles pueden presentar vulnerabilidades en casi todas las capas del software y el hardware del dispositivo, desde las aplicaciones hasta los componentes físicos como las radios y los dispositivos biométricos. Si tu equipo está preparado para enfrentarse a la seguridad de los dispositivos móviles, ¿qué necesitas saber?

Sigue leyendo este artículo de Máster en Ciberseguridad Online para explorar el panorama moderno de la seguridad de los dispositivos móviles, examinar las vulnerabilidades inherentes a los dispositivos y descubrir lo que está ocurriendo en la industria de la seguridad para bloquear los datos sensibles.

Cuando se trata de entender la seguridad de los dispositivos móviles, hay mucha confusión en torno al tema. Esto se debe principalmente a la incomprensión de la gente sobre lo que separa a los smartphones de los ordenadores tradicionales. Para la mayoría de la gente, estos dos dispositivos parecen tan diferentes que se enfrentan a preocupaciones y problemas de seguridad distintos. La realidad es que los riesgos de seguridad que afectan a un ordenador también serán una espina clavada para los dispositivos móviles.

Lo que ocurre a menudo es que las personas u organizaciones asumen que la seguridad de los dispositivos móviles no es tan prioritaria como otras infraestructuras de ciberseguridad informática. En 2019, una investigación descubrió que el 25% de todos los dispositivos móviles de las empresas eran propensos a las amenazas, sin incluir el software desactualizado. Esto abre significativamente las posibilidades de que se produzcan importantes brechas de seguridad cuando los actores maliciosos deciden infiltrarse en los sistemas.

Si se toman en serio los retos de seguridad en los dispositivos móviles, las empresas pueden diseñar sistemas para proteger la información sensible almacenada en dispositivos como ordenadores portátiles, teléfonos móviles, tabletas y wearables. En la raíz de la seguridad móvil está el objetivo de evitar que usuarios no autorizados accedan a la red de tu empresa.

Lo cierto es que una gran parte de la mano de obra se ha vuelto móvil. La pandemia mundial del COVID-19 exacerbó aún más esta tendencia y empujó a los puestos de trabajo que de otro modo serían estrictamente presenciales hacia el trabajo móvil y a distancia. Esto incluye a los empleados del sector de la defensa que trabajan bajo estrictas normas de seguridad. Dado que los dispositivos móviles suponen un importante riesgo para la seguridad, contabilizar todos esos dispositivos y mantenerlos correctamente gestionados, se ha convertido en un enorme reto en todos los sectores que manejan datos sensibles y clasificados.

Los dispositivos móviles son una parte integral de las operaciones de muchas organizaciones en diversos sectores. La ubicuidad y conectividad de los dispositivos móviles los sitúa en una posición privilegiada como enorme superficie de ataque para los actores maliciosos.

A medida que estos dispositivos avanzan y evolucionan, también lo hacen las amenazas a la seguridad en dispositivos móviles y las contramedidas necesarias para mitigarlas. Con la evolución del sistema operativo (SO) móvil moderno, el entorno de seguridad de estos dispositivos cambió.

Los teléfonos inteligentes, las tabletas y los dispositivos portátiles se han convertido en objetivos principales para los atacantes, ya que ofrecen la oportunidad de acceder a grandes cantidades de datos personales y relacionados con el trabajo. Cuando las organizaciones de nivel empresarial empezaron a implementar estos dispositivos en su infraestructura de TI, se alteró drásticamente el panorama de las amenazas para los dispositivos móviles.

Exploremos algunas de las principales superficies de ataque y retos de seguridad en los dispositivos móviles.

Aplicaciones móviles

Las aplicaciones que se ejecutan sobre los sistemas operativos (SO) de los dispositivos móviles son especialmente vulnerables a las amenazas de seguridad. Tanto dentro de la propia aplicación, especialmente las apps de terceros, como las amenazas basadas en el malware. Las amenazas pueden ser específicas para determinados SO, y algunas son aplicables en general a todos los dispositivos.

Las amenazas para las aplicaciones son numerosas. Un ataque, llamado ataque del hombre en el medio (man in the middle en inglés, MiTM) o ataque de intermediario, encuentra una vulnerabilidad en el mecanismo de autenticación de la aplicación de software. En este caso, un atacante puede hacerse pasar por un desarrollador de back-end y obtener acceso a la aplicación.

Con este tipo de ataque, el atacante tendrá acceso a los datos transmitidos sin cifrar. Otras amenazas a las aplicaciones incluyen una criptografía mal implementada y otros riesgos como la violación de información sensible en los registros del sistema.

Las amenazas de malware también son bastante comunes. Un riesgo que el usuario final debe conocer son las aplicaciones maliciosas disfrazadas de software legítimo. Estas «aplicaciones troyanas» ofrecen funcionalidad al usuario, pero también contienen funciones ocultas que proporcionan al atacante acceso al dispositivo. Con las aplicaciones de terceros que atascan las tiendas de aplicaciones del sistema operativo, puede ser difícil para los usuarios finales distinguir lo que es seguro y lo que es peligroso.

Autenticación

La autenticación es una parte importante de la seguridad en dispositivos móviles. A menudo encontrarás los mecanismos de autenticación agrupados en una de estas tres categorías.

1. Usuario a dispositivo. Son mecanismos de autenticación utilizados por el usuario. Esto incluye contraseñas, huellas dactilares y reconocimiento de voz.
2. Usuario o dispositivo a servicios remotos. Estos mecanismos permiten a un usuario, o a una entidad no personal (NPE), acceder y autenticar un proceso, dispositivo o servicio externo.
3. Usuario o dispositivo a la red. Este es el mecanismo utilizado para autenticarse en una red como la Wi-Fi y suele incluir tokens criptográficos.

Como puedes imaginar, existen muchos riesgos de seguridad en el caso de usuario a dispositivo. Tampoco tiene por qué ser un ataque supertecnológico; puede ser algo tan sencillo como dejar tu contraseña en una nota adhesiva a la vista de un atacante. Por el contrario, otros ataques son más sofisticados, como la suplantación de la autenticación biométrica.

Cuando te autentiques en servicios remotos, puedes ser víctima de un ataque de seguridad a través de sitios web de suplantación de identidad o simplemente porque te roben las credenciales. Cuando se trata de la autenticación en red, el riesgo más común es asegurar tus credenciales en un lugar de almacenamiento inseguro. En cada uno de estos escenarios, un atacante puede acceder a tu dispositivo, a tu información y posiblemente a otras redes y sistemas conectados a tu dispositivo.

Mecanismos de comunicación

Los dispositivos móviles modernos requieren una serie de componentes de hardware integrados en el dispositivo para llevar a cabo todo tipo de mecanismos de comunicación. Algunos funcionan de forma inalámbrica, mientras que otros requieren conexiones físicas. Algunas de estas tecnologías son:

• GPS.
• Wi-Fi.
• Bluetooth.
• SIM.
• Celular.
• Comunicaciones de campo cercano (NFC).
• Tarjeta digital segura (SD).
• Conexiones físicas como cables de alimentación y de sincronización.

Para cada una de las tecnologías enumeradas, encontrarás un montón de amenazas potenciales. Las amenazas móviles pueden venir en forma de ataques de interferencia aérea, incluyendo la escucha y la identificación del dispositivo. Con el Wi-Fi, puedes enfrentarte al rastreo del SSID. El Bluetooth puede hacer que tu dispositivo sea vulnerable a toda una serie de amenazas, desde el BluePrinting (la toma de huellas dactilares a distancia de los dispositivos) hasta simples ataques de emparejamiento que pueden dejarte susceptible a un ataque MiTM.

Ecosistema

La mayoría de los dispositivos requieren una lista completa de redes y sistemas interconectados para soportar los estándares modernos de movilidad. No es que los dispositivos móviles funcionen en el vacío, sino que necesitan sistemas externos. Añade a esto las numerosas aplicaciones de software que requieren servicios en la nube para funcionar, y puedes ver cómo este ecosistema móvil supone una gran amenaza para los usuarios. De aquí la importancia de la seguridad en dispositivos móviles.

Estos servicios añaden un nivel de comodidad al uso de un dispositivo móvil, pero están intrínsecamente ligados al riesgo que conllevan. En esta situación, este ecosistema de servicios conectados da a los atacantes amplias oportunidades para distribuir malware u otro software dañino a los usuarios finales.

Con los proveedores de sistemas operativos móviles, a menudo se encuentran tiendas de aplicaciones dedicadas que se centran en proporcionar aplicaciones a los usuarios. Otro elemento que complica el proceso de investigación de las aplicaciones es que existen muchas aplicaciones de terceros que no están bajo la supervisión del proveedor del SO. Si los usuarios finales no comprenden el riesgo, descargar una aplicación maliciosa, abrir un correo electrónico de phishing o hacer clic en el enlace equivocado podría facilitar el acceso a los atacantes.

Stack tecnológico

La mayoría de los dispositivos móviles comparten una arquitectura similar a la de, por ejemplo, un ordenador de sobremesa. Similar, pero no igual. En los dispositivos móviles, se necesita una funcionalidad adicional para proporcionar servicios fuera de la conectividad móvil. Los componentes que proporcionan esta funcionalidad adicional incluyen radios, un conjunto completo de sensores y otros componentes como procesadores criptográficos. Por no hablar de los componentes comunes en los que pensarías al enumerar las características de tu teléfono.

• Pantalla táctil HD.
• Cámara.
• Interfaz de audio.
• Etc.

Los teléfonos inteligentes y las tabletas separan el hardware y el firmware en lo que respecta al acceso a la red móvil. Todo esto ocurre en un componente llamado procesador de banda base. En la mayoría de los casos, cuando un usuario arranca su teléfono, el SO ejecutará un código de inicialización antes de que el usuario pueda acceder al dispositivo.

En cada pieza de este stack tecnológico hay riesgos inherentes. Esto podría incluir vulnerabilidades de ejecución de código dentro del almacenamiento SD, amenazas en la tarjeta SIM como applets maliciosos o incluso fuentes de firmware como el desbloqueo del bootloader. Aunque la mayoría de los sistemas operativos móviles presentan entornos de ejecución aislados, para los que se toman en serio la seguridad, no deben tomarse estas amenazas a la ligera.

El problema inherente a los enfoques de la seguridad de los dispositivos móviles es la creciente complejidad de los ataques y la versatilidad de los dispositivos móviles. Nuestro mundo gira en torno al smartphone. Coge ese centro de gravedad y colócalo en un lugar de trabajo, y verás que una gran parte de las actividades laborales y personales ocurren en el mismo dispositivo.

Aunque nos gustaría presentar un relato dramático sobre el origen de estas amenazas, en la mayoría de los casos no se trata de nefastos espías extranjeros que descifran códigos, sino de vulnerabilidades detectadas por los atacantes y explotadas. Como hemos señalado, las amenazas hacia los dispositivos móviles son asombrosas. Así que, ¿cómo manejan las empresas, las organizaciones y el gobierno la seguridad de los dispositivos móviles?

Trae tu propio dispositivo

A medida que los lugares de trabajo modernos evolucionan, el puente entre la electrónica personal y la electrónica de trabajo se difumina poco a poco. Esto es especialmente cierto cuando se trata de dispositivos móviles. Implantar una solución de «trae tu propio dispositivo» en tu organización tiene sus ventajas. También presenta algunos retos de seguridad únicos. Esta estrategia permite a los trabajadores utilizar sus propios dispositivos personales para actividades relacionadas con el trabajo. Pero, con el aumento de la flexibilidad, aumenta el riesgo de robo de datos y violaciones.

Gestionar un despliegue de este tipo desde la perspectiva de la seguridad es todo un reto. A menudo incluye la implementación de compromisos a largo plazo para la educación de los empleados en relación con las mejores prácticas de seguridad de los dispositivos móviles para mantener a los usuarios finales conscientes de los riesgos comunes. Tener éxito también significa aplicar otras estrategias de seguridad como los controles de instalación de aplicaciones y la creación de listas negras o blancas de aplicaciones.

Incluso con estas precauciones y políticas adicionales, siguen existiendo riesgos inherentes que no son tan fáciles de mitigar. Por ejemplo, si el acceso de administrador permanece en los dispositivos, puede ser un punto de entrada para los atacantes que buscan robar datos. Para los dispositivos que se supone que son personales, encontrar el equilibrio entre seguridad y flexibilidad es parte del reto.

Dispositivos personales de propiedad corporativa

Cuando las empresas implementan un enfoque de seguridad de los dispositivos móviles de propiedad corporativa, siguen existiendo retos en la protección de los dispositivos que manejan datos sensibles. Las organizaciones seguirán necesitando gestionar eficazmente los riesgos de los distintos tipos de amenazas a la red y a las aplicaciones, a la vez que dan a los usuarios finales un acceso sin fisuras a los recursos del lugar de trabajo.

Asegurar los dispositivos de propiedad corporativa suele implicar el desarrollo de una infraestructura que contenga gestión de movilidad empresarial (EMM) local, servicios de red privada virtual (VPN) y otras medidas de seguridad. Incluso con los enfoques modernos, los ataques siguen produciéndose incluso con los sistemas más seguros.

Otro problema es el hecho de que la organización es responsable de la gestión de una flota de dispositivos y del desarrollo de directrices para gestionar y asegurar esos dispositivos móviles en la empresa. Para crear el mejor entorno de seguridad en dispositivos móviles, los equipos tendrán que actualizar eficazmente los dispositivos para los cambios de firmware y de seguridad con regularidad, así como organizar el despliegue de los dispositivos.

Sistemas en la nube e híbridos

Tan rápido como las soluciones para la seguridad de los dispositivos móviles están disponibles, parece que la tecnología avanza un paso más, presentando nuevas amenazas y desafíos en el camino. Adaptarse al panorama moderno de la computación en la nube y los sistemas híbridos significa desarrollar soluciones novedosas para proteger los datos sin dejar de ofrecer acceso remoto a los recursos.

Como puedes imaginar, dar a los dispositivos un acceso constante a diferentes redes celulares y conexiones Wi-Fi presenta algunos retos de seguridad importantes para los dispositivos móviles. Sea cual sea el enfoque, almacenar datos protegidos en los dispositivos móviles y dar acceso a la transmisión de datos, abre las redes a vulnerabilidades de seguridad.

Normalmente, una política de seguridad para sistemas híbridos o en la nube incluye:

• Encriptación del dispositivo.
• Capacidades de borrado remoto.
• Almacenamiento de claves de confianza.
• Sandboxing.
• Comunicación protegida.
• Etc.

1. ¿Cómo puedo saber si una aplicación es segura?

Casi todos los días aparecen historias de aplicaciones fraudulentas que secuestran teléfonos y envían cientos de mensajes de texto con tarifas especiales. ¿Cómo evitar este tipo de ciberataques y mejorar la seguridad en los dispositivos móviles?. En realidad, no es demasiado difícil:

• Descargue las aplicaciones únicamente de las tiendas de aplicaciones oficiales, como la ingeniosamente llamada App Store de Apple o la Play Store de Google. La gran mayoría de las aplicaciones fraudulentas están al acecho en tiendas de aplicaciones o sitios web no oficiales.
• Lee los comentarios de los usuarios. La gente de a pie tiende a poner el grito en el cielo cuando una aplicación fraudulenta les ha engañado.
• Comprueba el desarrollador. Comprobar si el desarrollador es fiable; si te descargas el juego Angry Birds, por ejemplo, o una aplicación desde TARARIFREE, probablemente te arrepentirás.
• Instala una aplicación de seguridad para móviles. Una buena aplicación de seguridad es como un buen amigo de fiesta; te cubre la espalda incluso cuando tropiezas y te ayuda a decidir entre las malas decisiones.

2. Así que si una aplicación es segura no tengo que preocuparme más por ella, ¿verdad?

No del todo. La mayoría de las aplicaciones gratuitas se mantienen libres mostrando mensajes de redes publicitarias de terceros. Los investigadores han descubierto que, dado que el código de los anuncios procede de servidores remotos, podría contener todo tipo de cosas malas, incluidas aplicaciones «root» que pueden arrebatar el control total de tu teléfono.

Afortunadamente, si has tomado nota y has instalado una aplicación de seguridad para móviles, como sugerimos, la protección automática contra el malware y el antivirus debería detener el código malicioso en su camino.

3. ¿Es seguro consultar mi cuenta bancaria en mi teléfono?

Es seguro si juegas con inteligencia y tienes alguna protección antispyware y malware, no obstante lo mejor sería tener conocimientos de seguridad en dispositivos móviles para gestionar nuestras cuentas bancarias.

4. ¿Necesita un dispositivo móvil protección antivirus?

¿Has prestado atención? Por supuesto. Las aplicaciones antispyware y malware son necesarias para garantizar la seguridad en nuestros dispositivos móviles.

5. ¿Son seguras todas las conexiones a Internet?

No, la red 3G o 4G de tu operador de telefonía móvil debería ser relativamente segura, pero los puntos de acceso Wi-Fi pueden ser una zona de acceso a la información. Los delincuentes que se encuentran en la misma red Wi-Fi que tú pueden obtener cualquier dato que envíes directamente del aire, y eso no es ninguna broma: Ya se han encontrado casos en los que los ciberdelincuentes han robado la información de acceso a la banca de personas que utilizaban el Wi-Fi.

Ojo con el WIFI, ¿Sabías que hay ciberdelincuentes que dejan puntos de acceso abiertos sin clave para que la víctima se conecte?, evita los puntos Wifi. Ni siquiera las aplicaciones de seguridad para móviles pueden protegerte de eso. En serio: No juegues con nada sensible si no estás en 3G, 4G o en una red Wi-Fi altamente segura y de confianza.

6. ¿Realmente necesito un bloqueo con contraseña en mi teléfono?

No es necesario. Nadie te obligará a poner una contraseña en tu teléfono. Sin embargo, si estás usando el teléfono, sin una contraseña cualquiera podría acceder a todos los archivos y cuentas que tengas conectados en tu teléfono.

Por ejemplo, la mayoría de las aplicaciones móviles requieren el inicio de sesión de la cuenta cuando te conectas por primera vez a estas aplicaciones. Y una vez conectado, permanecerá conectado hasta que decidas desconectarte. Hoy en día para mejorar la seguridad en dispositivos móviles toda precaución es poca, así que volvemos a decir que no es necesario, pero si recomendado.

Si mientras tanto, pierdes tu teléfono, cualquiera que lo encuentre tendrá acceso a todas las cuentas conectadas en tu teléfono.

Ver Curso de Mobile Marketing

7. ¿Estoy acabado si me roban el dispositivo móvil?

El escenario del día del juicio final ha ocurrido: Tu teléfono ha sido robado. Los ladrones tardarán en averiguar la contraseña de bloqueo de la pantalla y ganarás tiempo para cambiar tus contraseñas. (Protegiste tu teléfono con una contraseña, ¿verdad?). Has de saber que una vez que hayan entrado, todos tus datos están en su poder.

Vídeo: Chema Alonso en Quito – Seguridad en dispositivos móviles