¿Cuáles son los principales ciberataques a los smartphones?

Lo consultamos varias veces al día y tenemos un fuerte vínculo con él. Es un asistente diario que se ha convertido en esencial y alguna gente se siente perdida sin él. Lo has adivinado, estoy hablando del móvil.

El teléfono móvil, tan preciado para el usuario, es también preciado para los cibercriminales desde que es una auténtica fuente de información: cuentas de banco, emails, contraseñas o incluso las fotos están directamente accesibles. También puede ser un almacén profesional de documentos, más o menos confidencial. Llamado ‘mini ordenador’, el móvil está tan expuesto como un PC. Si los dueños de los teléfonos a menudo olvidan esto, los hackers no esperarán para adaptar los ciberataques a los dispositivos móviles.

Un peligro real en nuestras manos

Mirando los números, entendemos el apetito de los hackers por los datos almacenados en los smartphones:

• De acuerdo con el informe We are Social´s Digital 2020, había 5.19 mil millones de usuarios de móviles en el mundo en enero de 2020 o, lo que es lo mismo, el 67% de la población.
• También de acuerdo con esta fuente, la media de tiempo que pasan los usuarios en internet es de 6 horas y 43 minutos.
• Según GlobalWebIndex, el mismo usuario pasa más de la mitad de su tiempo (50.1%) navegando en Internet con su dispositivo móvil.

Solo podemos observar que la piscina es enorme. La elección del smartphone (iPhone, Android, Windows Phone) no previene del peligro porque cada dispositivo en el mercado tiene sus propias vulnerabilidades. Lo mismo ocurre con los targets de estos ciberataques: tanto personas como compañías son atacadas sin distinción. De hecho, de acuerdo con Check Point, el 97% de las empresas han sufrido un ataque de malware en 2020.

El peligro es real y omnipresente. Está incluso exacerbado por el hecho de que, generalmente, los usuarios son más precavidos en los ordenadores que en los móviles. Sin embargo, los ciberataques son igual de comunes allí.

Ciberataques dirigidos a los teléfonos de los usuarios

Los hackers se dirigen a los ordenadores y móviles con el mismo interés. Ellos tienen las mismas técnicas para defraudar (phishing, vulnerabilidades exploid, spyware…) y crean ciberataques que también afectan a los usuarios de smartphones. A continuación enumeramos los principales:

Smishing

Frecuentemente oímos hablar de phishing y también existe una versión móvil llamada smishing (SMS phishing). El principio es el mismo, por ejemplo, obtener información personal, pero en esta ocasión los cibercriminales usan falsos mensajes SMS. Fingen ser una empresa públicamente conocida, un banco o una administración para engañar al destinatario y que haga clic en el link. La práctica más utilizada es la de la ingeniería social.

Intercambio de SIM

Hay agujeros de seguridad, como los zero-day, en ordenadores y del mismo modo, en los teléfonos móviles. Los atacantes se aprovechan y crean nuevas técnicas fraudulentas.

Este es el caso del intercambio de SIM, del que el cofundador de Twitter, Jack Dorsey, ha sido víctima. El principio es este: el criminal se hace pasar por la víctima y contacta con su operador móvil. Finge haber perdido el terminal o que le han robado su móvil. Gracias a la portabilidad, pide transferir su número a un teléfono con una tarjeta SIM diferente. Las llamadas y mensajes comienzan a ser redirigidos, el hacker es libre de preguntar por códigos de conexión temporales por SMS a las empresas y a las compañías de servicios.

Ataques vía aplicaciones maliciosas

Las aplicaciones maliciosas son otro azote de los móviles. Toman muchas formas y usan diferentes técnicas. 

Una de las más conocidas es el troyano, que se usa un 95% de las veces. Consiste en atraer al propietario del teléfono para que deposite una puerta trasera, un fallo de funcionamiento o rootkits (malware sigiloso), para luego espiarle discretamente, borrar o modificar datos. Este es el caso de Android.Bankbot, que en 2015 se hizo pasar por una aplicación oficial de banca online. 100.000 usuarios de banco afectados reportaron una pérdida, que asciende a más de 2.000 millones de rublos en total.

Una aplicación maliciosa puede también contener spyware, que permite recuperar una cantidad máxima de información. Este es el caso de Strandhogg 2.0, que pretende ser una aplicación legítima y, sin embargo, permite a los hackers tomar el control de todas las aplicaciones de un Android.

Otro ejemplo bien conocido de spyware es Pegasus, una aplicación que se instala de forma invisible para el usuario. Esto ofrece muchas posibilidades de ciberataques: escuchar las llamadas que hace y recibe, leer mensajes de Signal o WhatsApp, recuperar el contenido de un dispositivo (fotos, emails, contactos, mensajes…). Además, esta aplicación maliciosa puede activar remotamente el micro del teléfono o extraer coordinadas GPS muy precisas, archivos encriptados y mensajes.

Ataques de inyección

La técnica de un ataque de inyección consiste en introducir una consulta SQL en un campo de entrada para comunicarse directamente con el servidor. El atacante puede entonces acceder a toda la base de datos, modificar el contenido y comprometer la seguridad del dispositivo en su conjunto.

Descubierto en 2017, Dvmap fue el primer malware de inyección de código para Android. Su misión fue infectar dispositivos saltándose los sistemas de seguridad de Google Play Store. Mientras esta técnica está todavía en su infancia, muestra que el ingenio de los cibercriminales no tiene límites.

La lista no es exhaustiva y hay muchas formas de acceder a los datos en un smartphone. Con la ayuda de diferentes ciberataques, los hackers pueden leer mensajes SMS, escuchar conversaciones, desbloquear una tarjeta SIM y acceder a nuestra localización y contactos.

Ser consciente de que el peligro es el mismo en un ordenador que en un móvil es un primer paso esencial. Sin embargo, deberían añadirse pasos complementarios como la adopción de una solución de seguridad efectiva para móviles.

Robo de datos personales

Este riesgo está todavía subestimado, pero las cifras hablan por sí solas. De acuerdo con el índice Gemalto Breach level, en 2020 se produjeron 65 robos de datos por segundo. Este es el caso de T-Mobile, por ejemplo, que fue víctima de un ataque que afectó a más de 100 millones de sus clientes en 2021. La información recuperada era información de contacto de las víctimas, su número de la seguridad social, el carnet de conducir y los IMEIs (electronic device identification numbers).

Con los datos robados, el atacante podía fácilmente obtener dinero, ya fuera directa o indirectamente. Podía utilizar los datos personales para pedir un préstamo u obtener una tarjeta de crédito a nombre de la víctima. Con el número de una tarjeta, puede realizar transacciones online. También puede vender esta información a las compañías que la usarán para sus fines publicitarios u ofrecerlos al mejor postor en la Dark Web.

El robo de datos puede, por tanto, tener un gran impacto en el individuo, pero también en la organización. Esta última puede ver su productividad y su posicionamiento fuertemente degradados.

Daño a la reputación

Un ataque, cualquiera que sea, puede dañar fuertemente la imagen de la compañía. En efecto, los clientes que ven sus datos vendidos o expuestos en sitios comerciales pierden necesariamente la confianza.

Muchas estructuras se ven afectadas. En mayo de 2019, un sofisticado ciberataque explotó en el sistema de mensajería de la opción de videollamada de la aplicación Whatsapp. Este ataque envió malware a los dispositivos móviles de los usuarios. Aunque Whatsapp reaccionó rápidamente, el daño estaba hecho y la confianza en la app se redujo.

Blackmail o breachstortion

La imagen pública de una organización también está en juego en el caso del chantaje. Después de robar datos confidenciales, los cibercriminales aplican presión mediante la amenaza para exponerlo si no se paga un rescate. No es necesario que aporten pruebas porque se basan en el miedo. El mensaje que envían suele ser breve y urgente.

Ciberespionaje

Las ganancias financieras directas no son el único propósito de los cibercriminales. El espionaje es otro. Tanto las compañías privadas como las administraciones públicas pueden verse afectadas. El objetivo primero es obtener información altamente sensible, información clasificada como defensa secreta, de forma totalmente invisible, para reusarla. En el sector industrial, por ejemplo, una compañía sabe cómo puede ser revelada a la competencia.

El ataque Pegasus, que fue ampliamente cubierto en los medios, permitió que 50.000 números de teléfono y 17 medios de comunicación fueran espiados. Este tipo de ciberamenaza es incluso más peligrosa porque es difícil detectarla usando herramientas tradicionales.

Por lo tanto, los riesgos relacionados con los ataques a los teléfonos móviles deben tomarse tan en serio como los que se producen en los ordenadores. Para minimizarlos y protegerse del peligro, existen varias soluciones.

Buenas prácticas para aplicar en los móviles

Una seguridad fuerte requiere una combinación de varias medidas. Estas prácticas pueden ser usadas fácilmente como una primera barrera de protección:

• Implementar la encriptación de datos end-to-end para proteger todas las comunicaciones 
• Adoptar la autenticación multifactor
• Mantener el sistema operativo del teléfono móvil actualizado para prohibir vulnerabilidades y brechas
• Vigilar cuando se descargan aplicaciones y asegurarse de que es de confianza (algunas apps son atractivas porque son gratis, pero contienen código malicioso)
• Evitar redes públicas, incluso si son convenientes porque pueden no ser seguras o no ser seguras del todo

Estas pocas medidas están al alcance de todos y contribuyen a la seguridad de los dispositivos móviles. Sin embargo, deben completarse con la implantación de una solución de seguridad dedicada a este tipo de terminales. Entre las soluciones de ciberseguridad existentes en el mercado, encontramos los programas antivirus. Estos detectan los virus más conocidos y los bloquean.

Sin embargo, en un contexto en el que las ciberamenazas se multiplican, no son suficientes. Es recomendable un enfoque 360°, que incluya el análisis del comportamiento para detectar también las amenazas desconocidas. Solo así podremos tener nuestros teléfonos móviles realmente protegidos de una manera eficaz. 

Artículo elaborado por Éléna Poincet, CEO y fundadora de TEHTRIS, compañía dedicada a la  neutralización automática de ciberataques sin intervención humana.

• Acerca de
• Artículos recientes

Firma Invitada

En Applicantes también tienen cabida los artículos y textos de los especialistas y profesionales en la industria de las aplicaciones.

Últimas entradas de Firma Invitada (ver todo)

• Llevo 20 años creando e-commerce para las principales marcas del país, y esto es lo que he aprendido - 6 octubre, 2023
• El final del monopolio de las tiendas de aplicaciones móviles - 23 febrero, 2023
• Las apps no se libran de la ciberokupación - 24 enero, 2023