Según Check Point Research (CPR), casi todas las organizaciones (97%) se han enfrentado a amenazas móviles de todos los vectores en los últimos dos años. Este dato denota la importancia actual de mantener actualizada la seguridad de una compañía, pero, además, en un momento en el que las plantillas están cada vez más descentralizadas, se suma un riesgo real de que el ámbito móvil se convierta en el nuevo campo de batalla de la ciberseguridad corporativa.
Desde el spyware móvil que puede asumir el control total de los dispositivos iOS y Android a través de exploits de zero-click hasta los troyanos que pueden recopilar las credenciales de los usuarios, las compañías nunca han estado tan expuestas a las amenazas de los dispositivos móviles. El pasado febrero, Statista informaba de que el 30 % de la población activa mundial trabaja ahora exclusivamente desde casa. La misma encuesta indicaba que alrededor del 60 % de las empresas facilitan activamente el trabajo híbrido, dando a sus empleados la libertad de elegir dónde conectarse. Pero ¿cuántas de estas compañías están plenamente preparadas para securizar una plantilla en oficinas virtuales?
Como se indica en nuestro Security Report 2022, el número de ciberataques semanales a las redes corporativas alcanzó un máximo de 900 ataques de media por organización en el cuarto trimestre de 2021. A lo largo de todo el año, se registró un asombroso aumento del 50 % en los ataques por semana con respecto a 2020.
La nueva amenaza móvil… como muestra Pegasus
A lo largo del año pasado se han producido cambios preocupantes en el panorama de las amenazas móviles. Nuestro informe hacía referencia al software Pegasus de NSO, hoy en día en el punto de mira, famoso por su capacidad para obtener el control total de los dispositivos iOS y Android a través de un elaborado exploit de zero-click. El grupo responsable del programa espía es actualmente uno de los vendedores más conocidos de malware “access-as-a-service” y tiene soluciones de hacking paquetizadas que permiten a los ciberdelincuentes atacar los dispositivos móviles sin necesidad de contar con recursos propios.
En 2019, Pegasus se utilizó para aprovechar WhatsApp e infectar más de 1.400 dispositivos de usuarios, desde altos funcionarios del Gobierno hasta periodistas e incluso activistas de los Derechos Humanos. Más recientemente, en 2021, se informó de que se había sido utilizado para atacar los dispositivos móviles de más de 50.000 equipos en todo el mundo, incluidos los de ejecutivos de alto nivel. Pegasus destaca por su sofisticada capacidad de infección y exfiltración de datos, por lo que es probable que inspire amenazas de malware similares. En las últimas semanas, España ha sabido que numerosos miembros de su Gobierno pueden haber sido espiados por el mismo.
Estas amenazas emergentes de malware móvil no solo están diseñadas para afectar a los individuos; están pensadas para extorsionar y robar datos de las redes corporativas en un momento en el que las barreras entre los dispositivos personales y los de las empresas son cada vez más borrosas.
Empresas más seguras en el imparable contexto
La dificultad de los dispositivos móviles es que son vulnerables a varios vectores de ataque, incluyendo las capas de las aplicaciones, la red y el sistema operativo. Si una organización quiere protegerse de forma proactiva contra el malware móvil en lugar de limitarse a reaccionar a las infecciones cuando se producen, necesita algo más que el nivel básico de supervisión que ofrecen la mayoría de las soluciones MDM (Mobile Device Management).
En el panorama actual es imprescindible utilizar la inteligencia de amenazas en tiempo real para proteger cualquier corporación activamente contra las campañas de phishing de zero-day. A eso hay que sumarle un filtrado de URL para bloquear el acceso a páginas web maliciosas.
Nunca ha estado más claro que la seguridad móvil ya no es una opción para las empresas. En su lugar, deben tratar de ampliar sus capacidades al tiempo que adoptan un enfoque más holístico para proteger sus endpoints, cada vez menos centralizados.
Mario García
Director general de Check Point Software para España y Portugal
