Amenazas automatizadas de OWASP para aplicaciones web

Las amenazas automatizadas son ataques maliciosos llevados a cabo mediante bots, scripts o kits de herramientas para hackers, en lugar de por personas que interactúan manualmente con la aplicación web. Estas amenazas pueden aprovechar vulnerabilidades inherentes a las aplicaciones web y las API, lo que puede dar lugar a brechas de seguridad, robo de datos, apropiación de cuentas, fraude y otras consecuencias perjudiciales.

El objetivo del proyecto OWASP (Open Worldwide Application Security Project) Automated Threats to Web Applications Project es ofrecer una visión completa y estandarizada de las distintas amenazas automatizadas a las que suelen enfrentarse las aplicaciones web. Estos ataques automatizados se dirigen cada vez más a aplicaciones móviles y API. El proyecto reúne investigaciones y análisis de ataques automatizados reales contra aplicaciones web para elaborar documentación que ayude a los operadores a protegerse frente a estas amenazas.

¿Qué son las amenazas automatizadas?

Las amenazas automatizadas hacen referencia a ataques maliciosos llevados a cabo por bots, scripts o kits de herramientas para hackers, en lugar de por personas que interactúan manualmente con la aplicación web. Estas amenazas pueden aprovechar vulnerabilidades inherentes a las aplicaciones web y las API, lo que puede provocar brechas de seguridad, robo de datos, apropiación de cuentas, fraude y otras consecuencias perjudiciales.

Aunque disponer de un carrito de compra en la aplicación no constituye una vulnerabilidad, la lógica de negocio que permite añadir artículos al carrito también puede ser objeto de ataques y manipulaciones automatizadas, lo que puede dar lugar al acaparamiento de existencias.

El proyecto ha creado un catálogo o taxonomía de distintas amenazas automatizadas dirigidas contra aplicaciones web. Al identificar y clasificar estas amenazas, los desarrolladores, los profesionales de la seguridad y las organizaciones pueden comprender mejor los riesgos a los que se enfrentan y el posible impacto en sus sistemas. Para cada amenaza automatizada, el proyecto también recomienda contramedidas eficaces y buenas prácticas para mitigar los riesgos. Al concienciar sobre estas amenazas, OWASP pretende fomentar medidas de seguridad proactivas y mejorar la postura general de seguridad de las aplicaciones web.

Dado que muchas amenazas automatizadas dependen de bots, conviene distinguir entre la gestión y la mitigación de bots. La gestión de bots hace referencia a las estrategias y prácticas utilizadas para gestionar los bots que interactúan con aplicaciones web. El objetivo de la gestión de bots no es únicamente bloquearlos o mitigar su actividad, sino también diferenciar entre el tráfico legítimo de bots (por ejemplo, los rastreadores de motores de búsqueda) y los bots maliciosos. La mitigación de bots se centra específicamente en el proceso de reducir o eliminar el impacto de los bots maliciosos en las aplicaciones web. Implica aplicar medidas defensivas para impedir que los bots lleven a cabo acciones dañinas o ataques que puedan provocar la apropiación de cuentas (ATO) y fraudes.

La lista de OWASP de amenazas automatizadas para aplicaciones web

Esta es la lista de amenazas automatizadas identificadas y recopiladas por el proyecto de OWASP sobre amenazas automatizadas para aplicaciones web.

1. Agregación de cuentas. El objetivo de estos ataques es recopilar credenciales de cuentas de usuario de varios sitios o plataformas, a menudo con fines maliciosos, como el robo de identidad, el fraude financiero o el acceso no autorizado a información confidencial. Los ataques de agregación de cuentas se llevan a cabo mediante bots o scripts automatizados que imitan las interacciones humanas con diversos servicios web o aplicaciones.
   
2. Creación de cuentas. Estos ataques implican el uso de scripts automatizados o bots por parte de actores maliciosos para crear un gran número de cuentas de usuario falsas en una plataforma o sitio web. Los atacantes pueden utilizar estas cuentas falsas para inundar la plataforma con contenido no deseado, anuncios o enlaces maliciosos, lo que provoca interrupciones y molestias a los usuarios legítimos. Las cuentas falsas también pueden utilizarse para manipular la opinión pública y las reseñas o valoraciones de un sitio web o una aplicación, o para suplantar a usuarios reales o figuras públicas con el fin de difundir información falsa o dañar su reputación. Esta amenaza también puede dar lugar a fraudes en la apertura de nuevas cuentas, también conocidos como fraudes de primera parte, y tiene repercusiones en todo el mundo digital.
3. Fraude publicitario. También conocido como fraude de clics, esta amenaza engloba actividades engañosas destinadas a falsear el número de interacciones con anuncios en línea, como clics o impresiones. Estas acciones fraudulentas suelen llevarse a cabo mediante bots o scripts automatizados y tienen como objetivo generar ingresos para los estafadores o manipular las métricas de rendimiento publicitario.
4. Superación de CAPTCHA. Esta amenaza utiliza técnicas automatizadas para eludir o sortear las pruebas CAPTCHA y supone un importante problema para la seguridad de las aplicaciones web, ya que permite a los actores maliciosos eludir una defensa habitual contra los bots. CAPTCHA (prueba de Turing pública y automática para distinguir a los ordenadores de los humanos) es un control de seguridad que se utiliza para diferenciar entre usuarios humanos y bots o scripts automatizados. Los atacantes pueden utilizar software de reconocimiento de imágenes para resolver CAPTCHA visuales y emplear algoritmos de aprendizaje automático para resolver CAPTCHA auditivos y de tipo rompecabezas. En algunos casos, los atacantes recurren a personas que resuelven CAPTCHA de forma manual y en tiempo real. Aunque es un control de seguridad de uso habitual, el CAPTCHA puede eludirse y añade fricción a la experiencia de los usuarios legítimos, lo que puede provocar el abandono de transacciones y la consiguiente pérdida de ingresos.
5. Descifrado de tarjetas. Se trata de un tipo de ciberdelito automatizado que consiste en adivinar o descifrar los elementos de seguridad de una tarjeta de pago, como el número de tarjeta, la fecha de caducidad y el código de seguridad (CVV/CVC). El descifrado de tarjetas suele recurrir a ataques de fuerza bruta, en los que bots o scripts automatizados prueban sistemáticamente numerosas combinaciones de datos de tarjetas hasta encontrar una que corresponda a una tarjeta válida. Una vez identificados los datos válidos de una tarjeta, pueden utilizarse para diversas actividades ilegales, como realizar compras no autorizadas o cometer fraude financiero. El atacante puede coger varias tarjetas regalo físicas sin saldo de una tienda física para comprobar si el emisor de las tarjetas regalo utilizaba patrones de numeración secuencial.
6. Carding. Esta modalidad de ciberdelincuencia automatizada consiste en utilizar sin autorización datos robados de tarjetas de pago para realizar transacciones o compras fraudulentas. Los delincuentes emplean bots o scripts automatizados para probar los datos de tarjetas de crédito o débito robadas en distintos sitios web o aplicaciones e identificar cuáles los aceptan. Una vez que los bots automatizados detectan objetivos vulnerables, utilizan los datos de las tarjetas robadas para realizar compras fraudulentas, a menudo de bienes de gran valor o servicios digitales, o para transferir el saldo disponible a otras cuentas.
7. Conversión en efectivo. Se refiere a la conversión de activos ilíquidos o moneda virtual en fondos reales o bienes tangibles. Esta amenaza suele producirse tras ataques exitosos que provocan el robo de activos valiosos de plataformas o cuentas en línea. Cuando los atacantes toman el control de cuentas de usuario en aplicaciones web o plataformas en línea, pueden utilizarlas para convertir en efectivo los activos del titular, como tarjetas regalo, puntos de fidelidad o moneda virtual. A menudo se utilizan bots para facilitar esta conversión, ya que permiten a los ciberdelincuentes llevar a cabo estas actividades fraudulentas a gran escala y de forma eficiente.
8. Descifrado de credenciales. Esta amenaza es un tipo de ataque de fuerza bruta dirigido contra los mecanismos de inicio de sesión de las aplicaciones web, como las páginas de inicio de sesión, los portales de cuentas de usuario o las API de autenticación. El atacante utiliza herramientas automatizadas para probar sistemáticamente combinaciones habituales de nombres de usuario y contraseñas hasta encontrar una que funcione y le permita acceder sin autorización a las cuentas de usuario. Esto permite al atacante llevar a cabo actividades maliciosas, como la suplantación de identidad, el fraude financiero u otras acciones no autorizadas.
9. Relleno de credenciales. Una de las formas más comunes de amenaza contra las aplicaciones web es el relleno de credenciales, que se produce cuando los ciberdelincuentes obtienen listas de pares de nombre de usuario y contraseña, a menudo adquiridas en la web oscura, e intentan utilizarlos para acceder a otras cuentas protegidas mediante inicio de sesión. Dado que muchas personas reutilizan sus nombres de usuario y contraseñas, estos ataques (también denominados apropiación de cuentas) pueden ser sumamente eficaces, lo que permite a los delincuentes hacerse con el control de las cuentas de los usuarios para robar activos o cometer fraudes contra terceros.
10. Acaparamiento de inventario. Este ataque se produce cuando los atacantes retiran de la circulación productos de comercio electrónico mediante bots que añaden grandes cantidades de artículos a un carrito de compra, sin llegar a finalizar el proceso de compra. Esta situación impide que otros compradores adquieran los productos porque el sistema los registra como agotados y, además, priva al vendedor de la venta, ya que la compra nunca se completa. Una variante de esta amenaza automatizada consiste en utilizar bots para hacer reservas o bloquear habitaciones de hotel, mesas de restaurantes o asientos de avión sin completar el pago.
11. Denegación de servicio (DoS) y denegación de servicio distribuida (DDoS). Estos ataques son intentos maliciosos de interrumpir el funcionamiento normal de un sistema o una red de destino para impedir que los usuarios legítimos puedan acceder a ellos. En un ataque DDoS, el atacante satura el objetivo con un volumen masivo de tráfico o solicitudes de recursos, lo que sobrecarga los servidores y hace que el servicio quede inaccesible. Estos ataques pueden llevarse a cabo mediante diversos métodos, como inundar el objetivo con paquetes o enviar solicitudes especialmente diseñadas. Los ataques DoS y DDoS son similares, pero, en el caso de los DDoS, el ataque procede de múltiples fuentes, normalmente coordinadas mediante botnets, que son redes de ordenadores o dispositivos comprometidos bajo el control del atacante. El atacante coordina estas múltiples fuentes para lanzar simultáneamente el ataque contra el objetivo. Al aprovechar los recursos combinados de la botnet, puede generar una cantidad masiva de tráfico o solicitudes, saturar la capacidad del sistema de destino y provocar una denegación de servicio. Estos ataques pueden saturar las tablas de estado del cortafuegos, los recursos de la CPU y el ancho de banda de la infraestructura. Un ataque DoS puede ejecutarse con una única solicitud cuidadosamente diseñada dirigida a una aplicación web; por ejemplo, una consulta SQL compleja que provoque un uso elevado de la CPU y una degradación del rendimiento.
12. Agilización. Esta amenaza consiste en utilizar bots o scripts automatizados para completar rápidamente una serie de procesos de una aplicación, eludiendo las restricciones o comprobaciones habituales. Al automatizar estos procesos, los atacantes o usuarios malintencionados pueden obtener una ventaja injusta frente a otros usuarios legítimos. Esta actividad suele estar asociada al engaño y puede ocasionar pérdidas a terceros.
13. Creación de huellas digitales. Los actores de amenazas utilizan la creación de huellas digitales como técnica de recopilación de información para obtener y analizar características o atributos únicos del navegador web o dispositivo de un usuario y crear así una «huella digital» distintiva. Esto les permite identificar y rastrear a usuarios concretos en distintos sitios web y plataformas en línea, o elaborar un perfil de una aplicación para atacarla posteriormente.
14. Reconocimiento de la huella digital. No se trata de una amenaza automatizada en sí misma, sino de una fase preliminar de un proceso de ataque informático o de reconocimiento. El reconocimiento de la huella digital consiste en utilizar bots o scripts para recopilar información sobre la composición, la configuración y los mecanismos de seguridad de una aplicación web objetivo, lo que permite a los atacantes planificar mejor ataques posteriores, como lanzar exploits dirigidos para obtener acceso no autorizado o aprovechar vulnerabilidades específicas.
15. Reventa especulativa o acaparamiento de existencias. Se trata de una forma de automatización de compras en la que los atacantes utilizan bots para adquirir grandes cantidades de bienes o servicios con existencias limitadas en cuanto salen a la venta por Internet (por ejemplo, entradas para conciertos y zapatillas de edición limitada). Al completar el proceso de compra de forma instantánea, los delincuentes se hacen con el control de una gran cantidad de existencias valiosas, que suelen revenderse en mercados secundarios con un sobreprecio considerable, lo que provoca escasez artificial, falta de existencias y frustración entre los consumidores.
16. Web scraping. Aunque no es intrínsecamente malicioso, el web scraping es el proceso automatizado de extracción de datos de sitios web o aplicaciones web. Se convierte en una amenaza automatizada cuando se utiliza con fines no autorizados o maliciosos, como cuando se emplean bots para recopilar contenido de un sitio web objetivo con el fin de analizarlo, reutilizarlo o manipular precios, especialmente en mercados competitivos. El web scraping también puede afectar al rendimiento del sitio e impedir que los usuarios legítimos accedan a él.
17. Distorsión. Se produce cuando actores maliciosos hacen clic, solicitan o envían contenido repetidamente en una aplicación web, lo que afecta de forma intencionada a métricas de la aplicación como recuentos, «Me gusta», impresiones, resultados de encuestas, frecuencias o tasas. La distorsión puede llevarse a cabo mediante bots automatizados que imitan el comportamiento humano para generar interacciones artificiales con la aplicación web. Su objetivo es manipular y tergiversar los datos generados por las métricas de la aplicación, lo que da lugar a resultados inexactos o engañosos.
18. Puja de último segundo. Se trata de un tipo de actividad maliciosa que consiste en utilizar bots o scripts automatizados para obtener una ventaja competitiva en subastas, ventas o sistemas de reservas en línea. El término «puja de último segundo» se utiliza habitualmente en el contexto de eventos con límite de tiempo o artículos con disponibilidad limitada, en los que la rapidez y la precisión temporal desempeñan un papel crucial, dejando a otros usuarios sin tiempo suficiente para pujar o presentar una oferta. Esta práctica permite a los atacantes obtener una ventaja competitiva frente a los usuarios que participan manualmente en el evento, ya que los bots pueden ejecutar acciones con mayor rapidez y precisión.
19. Envío de spam. Se refiere a contenido malicioso o información dudosa que los bots distribuyen y que aparece en contenido público o privado, bases de datos o mensajes de usuarios en aplicaciones web. El contenido malicioso puede incluir malware, ventanas emergentes IFRAME, fotografías, vídeos, anuncios y código de seguimiento o vigilancia. Los atacantes también utilizan el spam para añadir comentarios falsos en foros y otras aplicaciones de mensajería con el fin de falsear información o distribuir malware.
20. Descifrado de tokens. Este ataque automatizado se produce cuando los delincuentes prueban de forma masiva números de cupones, códigos de vales y tokens de descuento. El beneficio obtenido puede ser un descuento, una compensación en efectivo, un crédito o el acceso a una oferta especial.
21. Análisis de vulnerabilidades. Esta amenaza consiste en utilizar herramientas o scripts automatizados para identificar y explotar vulnerabilidades en aplicaciones web. A diferencia del análisis de vulnerabilidades legítimo, cuyo objetivo es identificar puntos débiles para mejorar la seguridad, el análisis de vulnerabilidades como amenaza automatizada se lleva a cabo con la intención maliciosa de comprometer la seguridad de la aplicación. Los delincuentes utilizan herramientas o scripts de análisis automatizados para examinar sistemáticamente las aplicaciones expuestas en Internet, normalmente justo después de que se divulgue una vulnerabilidad. Una vez identificadas las vulnerabilidades, los delincuentes intentan explotarlas para obtener acceso no autorizado a la aplicación, a datos confidenciales o a la infraestructura de servidores subyacente.

Argumentos a favor de los controles de seguridad integrados

F5 aborda los riesgos de seguridad de OWASP

F5 apoya a la Fundación OWASP y su compromiso con la mejora de la seguridad del software y la concienciación sobre los riesgos y las vulnerabilidades de seguridad de las aplicaciones web en distintos ámbitos. De hecho, existen riesgos de seguridad comunes tanto a las aplicaciones web como a las API que deben tenerse en cuenta al implementar soluciones de seguridad. Por ejemplo:

• Controles de autenticación/autorización débiles
• Configuración incorrecta
• Abuso de la lógica de negocio (relleno de credenciales, apropiación de cuentas)
• Falsificación de solicitudes del lado del servidor (SSRF).

F5 ofrece soluciones para abordar los riesgos descritos en el proyecto de amenazas automatizadas para aplicaciones web de OWASP.F5 Distributed Cloud Bot Defense evita el fraude y los abusos capaces de eludir las soluciones de gestión de bots existentes, y proporciona supervisión e inteligencia en tiempo real, así como análisis retrospectivos basados en aprendizaje automático, para proteger a las organizaciones frente a ataques automatizados sin generar fricción para los usuarios ni alterar la experiencia del cliente. Distributed Cloud Bot Defense mantiene su eficacia independientemente de cómo adapten sus herramientas los atacantes, tanto si los ataques pasan de las aplicaciones web a las API como si intentan eludir las defensas contra la automatización mediante la falsificación de datos de telemetría o el uso de personas para resolver CAPTCHA. Las soluciones de gestión de bots de F5 ofrecen puntos de inserción flexibles desde proxies de aplicaciones, plataformas y redes de distribución de contenidos (CDN).

F5 Web Application Firewall solutions también bloquean y mitigan un amplio espectro de riesgos identificados en OWASP Top 10, una lista ampliamente reconocida de los riesgos de seguridad más críticos para las aplicaciones web. Las soluciones WAF de F5 combinan protecciones basadas en firmas y en el comportamiento, incluida la inteligencia sobre amenazas de F5 Labs y la seguridad basada en aprendizaje automático, para seguir el ritmo de las amenazas emergentes. Reducen la carga y la complejidad que supone proteger de forma coherente las aplicaciones en entornos de nube, locales y perimetrales, al tiempo que simplifican la gestión mediante una infraestructura SaaS centralizada. Los WAF de F5 también agilizan la seguridad de las aplicaciones al integrar protecciones en marcos de desarrollo y canalizaciones de CI/CD, con funciones de seguridad esenciales, orquestación centralizada y supervisión mediante un único panel que ofrece una visión de 360 grados del rendimiento de las aplicaciones y de los eventos de seguridad en aplicaciones distribuidas. Un WAF integrado con una defensa especializada contra bots proporciona una solución sólida para mitigar los principales riesgos de seguridad, incluidos los ataques que aprovechan vulnerabilidades y las amenazas automatizadas.

F5 aborda los riesgos identificados en el OWASP API Security Top 10 con soluciones que protegen frente a la creciente superficie de ataque y las amenazas emergentes a medida que evolucionan las aplicaciones y aumentan las implementaciones de API. Las soluciones de protección de aplicaciones web y API (WAAP) de F5 protegen toda la superficie de ataque de las aplicaciones modernas mediante una protección integral que incluye WAF, seguridad de API, mitigación de DDoS de las capas 3 a 7 y defensa contra bots para combatir las amenazas automatizadas y el fraude resultante. La plataforma distribuida facilita la implementación de políticas coherentes y permite ampliar la seguridad en todo su entorno de aplicaciones y API, independientemente de dónde estén alojadas, además de integrar la protección en el ciclo de vida de las API y en ecosistemas de seguridad más amplios.

F5 también ofrece protección DDoS multicapa para una seguridad avanzada en línea mediante un servicio de mitigación gestionado y prestado desde la nube que detecta y mitiga en tiempo real ataques a gran escala dirigidos contra la red, los protocolos y las aplicaciones; estas mismas protecciones también están disponibles como soluciones locales de hardware y software, así como soluciones híbridas. F5 Distributed Cloud DDoS Mitigation protege frente a ataques volumétricos y específicos de aplicaciones en las capas 3 y 4, así como frente a ataques avanzados en la capa 7, antes de que alcancen su infraestructura de red y sus aplicaciones.

Para obtener más información sobre cómo los componentes de la plataforma F5 ADSP protegen frente a los riesgos de seguridad de OWASP, consulte los siguientes recursos:

• «Bots, fraude y el proyecto de amenazas automatizadas de OWASP (descripción general)»
• «La paradoja de la seguridad de las API: cuando la automatización se convierte tanto en solución como en amenaza»