Existe mucha FUD (miedo, incertidumbre y duda) en torno a cualquier tendencia tecnológica emergente, especialmente cuando implica a enormes cantidades de consumidores deseosos de participar. Y aunque resulta bastante fácil restar importancia a la paranoia de que los bots y otros elementos tecnológicamente «inteligentes» puedan ir a por ti por iniciativa propia (al menos hasta ahora), no es tan fácil ignorar el hecho de que pueden utilizarse tanto para hacer el mal como para hacer el bien.
Pensemos, por un momento, en el ataque DDoS masivo que tuvo lugar entre el 30 de noviembre y el 1 de diciembre contra trece de los servidores raíz de nombres de Internet. En conjunto, estos servidores sustentan prácticamente toda Internet. Es cierto que están diseñados para funcionar de forma distribuida y que, si llegaran a fallar, otros servidores de todo el mundo tomarían el relevo y seguirían proporcionando direcciones IP a cambio de nombres de dominio. Por eso, lo verdaderamente aterrador de esta historia no es el impacto del ataque, sino los mecanismos que lo hicieron posible.
«En el momento álgido del ataque DDoS, los servidores recibieron más de cinco millones de consultas por segundo y más de 50.000 millones de consultas en total durante los dos días». (http://www.ibtimes.co.uk/john-mcafee-massive-ddos-attack-internet-was-smartphone-botnet-popular-app-1532993).
Según diversos expertos en seguridad, el origen de esas consultas fueron, casi con toda certeza, teléfonos móviles. Quizá el tuyo. Quizá el mío. Es difícil saberlo con seguridad, ya que la cantidad de variables en juego —WiFi, red móvil, operador, etc.— dificulta determinar de dónde procedía ese conjunto de direcciones IP distribuidas uniformemente.
Los expertos señalan a los teléfonos móviles que tienen instalada una aplicación comprometida, ya que un volumen semejante de bots de ataque podría conseguirse fácilmente con un número relativamente pequeño de aplicaciones maliciosas activadas. ¿Por qué instalaría alguien una aplicación maliciosa? Porque, naturalmente, no sabe que lo es. Por ahora, se cree que la aplicación maliciosa se hace pasar por algo inofensivo, como una aplicación de linterna u otra utilidad sencilla que ocupa poco espacio, resulta útil y es totalmente gratuita.
Esto no supone en absoluto forzar la realidad ni resulta tan descabellado como pudo parecer en su día. El número de «cosas» que pueden aprovecharse gracias a su conectividad y dependencia de las API está aumentando y pronto podría ser lo bastante grande como para considerarse una amenaza equiparable a la que representan hoy los teléfonos móviles incluso para las instituciones más grandes.
Entre las instituciones señaladas como posibles objetivos destacan, por supuesto, las entidades financieras, que conocen bien el mundo de los bots, el malware y otros elementos maliciosos. Esto se debe a que una de las formas más habituales en que los delincuentes cometen fraude consiste en instalar malware en teléfonos móviles mediante phishing u otras técnicas de ingeniería social. Una vez en el dispositivo, estos pequeños y desagradables programas utilizan «distintas técnicas para obtener permisos de administración en el dispositivo de la víctima, robar los TAN (números de autorización de transacciones) de los usuarios, interceptar mensajes SMS que contienen OTP, sustraer credenciales, mostrar contenido fraudulento, realizar transferencias de dinero automáticas y mucho más», según Shaul Vilkomir-Preisman, analista sénior de malware de nuestro SOC de F5.
Shaul ha publicado recientemente un análisis sobre una amenaza emergente, Tashua-Bot, que ha elevado aún más el nivel de riesgo en el ya peligroso mundo del fraude al perfeccionar la técnica tradicional de superponer contenido en sitios web legítimos de entidades financieras para engañar a los consumidores y conseguir que faciliten información confidencial. Se trata de una evolución peligrosa, ya que no solo permite a sus controladores atacar un «número prácticamente ilimitado de aplicaciones legítimas», sino también mostrar en ellas contenido fraudulento personalizado sin modificar el propio malware. Esto significa que, una vez instalado, puede utilizarse una y otra vez, eludiendo las medidas de protección que las entidades puedan implantar para proteger a sus clientes frente a actividades fraudulentas.
La frase «hay una aplicación para eso», que suele utilizarse a la ligera para describir la entusiasta visión del mercado en general sobre la economía de las aplicaciones, no solo es cierta para los consumidores, sino también, al parecer, para los ciberdelincuentes. Ya se trate de teléfonos móviles, tu frigorífico o de esos «dispositivos» que conectas a tus electrodomésticos y que piden automáticamente nuevos suministros a Amazon, los ciberdelincuentes buscan con avidez nuevas formas de aprovecharse de los consumidores y del creciente número de conexiones que estos tienen a Internet. Como demuestra nuestro análisis de Yasuo-Bot, tampoco permanecen inactivos, sino que están en constante movimiento, tratando de encontrar nuevas formas de explotar nuestro deseo de comodidad en beneficio propio.
Mantente a salvo y abróchate el cinturón, porque se avecina un viaje movidito.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.