Panorama de amenazas móviles

Los teléfonos contienen nuestros mensajes, fotos, información bancaria e identidad.

Esta concentración de datos sensibles convierte a las aplicaciones móviles en un objetivo prioritario para los atacantes, tanto en iOS como en Android.

A diferencia de un servidor que usted controla, una aplicación móvil se ejecuta en un dispositivo que el atacante podría controlar.

El atacante puede inspeccionar, modificar y analizar la aplicación libremente, por lo que no se puede confiar en el propio dispositivo.

iOS está más restringido y cuenta con un proceso estricto de revisión; Android es más abierto y funciona en muchos dispositivos.

Ambos disponen de aislamiento mediante sandbox para aislar las aplicaciones, pero cada plataforma tiene sus propios riesgos.

Cada aplicación se ejecuta en un sandbox, aislada de las demás aplicaciones y del sistema.

Esto limita los daños, pero los fallos de la aplicación o los permisos demasiado amplios aún pueden exponer los datos del usuario.

Uno de los principales riesgos móviles consiste en almacenar datos sensibles sin cifrar en el dispositivo.

Los tokens o las contraseñas guardados en archivos de texto sin cifrar pueden leerse si el dispositivo se pierde, es robado o está rooteado.

Los datos que viajan hacia un servidor pueden interceptarse en una red Wi-Fi pública.

Sin TLS adecuado, un atacante puede leer o modificar el tráfico en un ataque de intermediario.

Los atacantes pueden desmontar una aplicación para estudiar cómo funciona.

Esta ingeniería inversa revela claves ocultas, lógica de negocio y debilidades que pueden explotar o copiar.

Las aplicaciones que solicitan más permisos de los que necesitan aumentan el riesgo.

Si la aplicación se ve comprometida, esos permisos adicionales, como los de contactos o ubicación, se convierten en herramientas para el atacante.

Las aplicaciones incorporan muchas bibliotecas de terceros.

Un SDK vulnerable o malicioso puede filtrar datos o abrir una puerta trasera sin que el desarrollador se dé cuenta.

Un dispositivo rooteado (Android) o con jailbreak (iOS) elimina las protecciones integradas de la plataforma.

En estos dispositivos, el sandbox y las protecciones de almacenamiento en las que confía una aplicación podrían dejar de funcionar.

OWASP mantiene una lista Mobile Top 10 de los riesgos más comunes.

La lista orienta a los desarrolladores sobre qué priorizar, desde el almacenamiento inseguro hasta la criptografía débil y la manipulación del código.

Las aplicaciones móviles se ejecutan en dispositivos no confiables y contienen datos sensibles. Entre los principales riesgos se encuentran el almacenamiento inseguro, la comunicación insegura, la ingeniería inversa, los permisos excesivos, las bibliotecas de riesgo y los dispositivos rooteados.

El Mobile Top 10 de OWASP orienta la defensa.