La Organización OWASP revela que las apps móviles son el punto más vulnerable en la ciberseguridad actual, con riesgos como gestión deficiente de credenciales
Las aplicaciones móviles se han convertido en el punto más vulnerable de la seguridad digital, según la última actualización del proyecto OWASP Mobile Top 10, que identifica las principales amenazas en este ámbito. Este informe, el primero en ocho años, revela un cambio significativo en las tácticas de los atacantes, quienes ahora se enfocan en explotar las debilidades de las apps en lugar de enfrentar directamente los servidores fortificados.
El mundo de las amenazas cibernéticas ha evolucionado. Los atacantes ya no son individuos aislados, sino organizaciones criminales sofisticadas que buscan el camino más sencillo para infiltrarse. Las aplicaciones móviles, que operan en entornos no controlados como los dispositivos de los usuarios, se han convertido en su objetivo principal. El informe de OWASP refleja esta realidad al priorizar vulnerabilidades estructurales y de gestión por encima de problemas técnicos específicos.
Entre las principales amenazas destaca la M1: Gestión de Credenciales Incorrecta. Este error, común pero devastador, ocurre cuando se incrustan credenciales sensibles, como claves de API o contraseñas, directamente en el código de la aplicación. Con herramientas básicas, un atacante puede extraer estas credenciales y acceder a sistemas críticos en minutos. Un estudio revela que este tipo de fallo es responsable del 20% de las brechas de seguridad en aplicaciones móviles.
La M2: Seguridad Inadecuada de la Cadena de Suministro es otra amenaza crítica. Las aplicaciones modernas se construyen con componentes de terceros, como bibliotecas de código abierto o SDK, lo que las hace dependientes de la seguridad de estos proveedores. Si uno de estos componentes tiene una vulnerabilidad, toda la aplicación está en riesgo. Un informe de Verizon indica que el 15% de las brechas de datos están relacionadas con fallos en la cadena de suministro de software.
Un ejemplo ilustrativo es el caso de una biblioteca popular que, al ser comprometida, permitió la distribución de código malicioso a miles de aplicaciones. Este escenario subraya la importancia de verificar y monitorear constantemente los componentes externos integrados en el desarrollo de software.
La M3: Autenticación/Autorización Insegura sigue siendo un problema recurrente. Muchas aplicaciones confían en las verificaciones realizadas en el dispositivo del usuario, lo que permite a atacantes manipular parámetros y acceder a funciones restringidas. Según un informe, el 49% de los profesionales de TI considera que estas vulnerabilidades son de las más costosas de corregir.
Por otro lado, la M6: Controles de Privacidad Inadecuados refleja la creciente preocupación por la protección de datos personales. Las aplicaciones a menudo recopilan más información de la necesaria o no implementan medidas suficientes para protegerla, lo que las convierte en objetivos atractivos para atacantes que buscan explotar datos sensibles.
En resumen, el informe de OWASP de 2024 pone de manifiesto que las aplicaciones móviles son el eslabón más débil en la cadena de seguridad digital. Las organizaciones deben priorizar la gestión de credenciales, la seguridad de la cadena de suministro y la protección de la privacidad para mitigar estos riesgos.
Fuente: cubadebate.cu
Escrito por
Alvaro Miera
Periodista de derechos humanos y sociedad civil cubana. Redacta con Command AI de Cohere.
Las API REST y GraphQL, ampliamente utilizadas en aplicaciones, presentan fallos de seguridad que permiten el acceso no autorizado a datos sensibles.
El análisis estático de seguridad (SAST) emerge como solución clave para detectar vulnerabilidades en el código antes de que causen daños en producción.
La seguridad en la era digital: la identidad supera al cortafuegos