La aparición de aplicaciones móviles de billetera digital ha hecho más accesible el mundo de la inversión. Han eliminado barreras como las elevadas comisiones de intermediación y los requisitos mínimos de inversión, permitiendo incluso a inversores con presupuestos limitados participar en el mercado financiero, lo que ha dado lugar a un aumento significativo del número de personas que utilizan apps financieras para gestionar sus acciones, fondos de inversión y activos digitales.
Por otra parte, las empresas de servicios financieros son ya el segundo objetivo de los ciberataques en el mundo, según una encuesta realizada por el laboratorio Netskope. Los estudios de Intertrust han demostrado que el 77% de las aplicaciones financieras tienen al menos una vulnerabilidad importante que podría dar lugar a una violación de datos y el 88% no superan las pruebas criptográficas. Esto significa que los piratas informáticos pueden romper el cifrado utilizado como defensa para obtener datos sensibles de clientes y pagos o manipular la aplicación.
Cada violación de datos, incluidas las de clientes y pagos, cuesta a las empresas una media de más de 4 millones de dólares en pérdidas de negocio y registros internos. «A medida que se lanzan nuevas apps de inversión y se añaden nuevas funciones a diario, las empresas financieras compiten por la misma inversión y atención. Los desarrolladores de aplicaciones móviles deben encontrar formas de seguir el ritmo de esta evolución, protegiendo sus aplicaciones y garantizando la seguridad de los usuarios”, subraya Chris Roeckl, director de producto de Appdome.
Con esto en mente, Appdome, la ventanilla única para la defensa de aplicaciones móviles enumera tres de los ataques más comunes a las aplicaciones de inversión.
- Manipulación y aplicaciones falsas
La propagación de apps de inversión falsas, a menudo haciéndose pasar por marcas legítimas y de confianza como Barclays, Gemini, Kraken, TDBank y Binance, ha sido una táctica nefasta de los ciberdelincuentes para atraer a personas desprevenidas y hacer que envíen fondos directamente a sus manos.
- Malware de accesibilidad
Las aplicaciones de inversión se enfrentan a crecientes amenazas de malware como Xenomorph, que utiliza tácticas avanzadas de superposición. En este tipo de ataque, una pantalla o ventana falsa, controlada por el atacante, se superpone a una aplicación legítima, engañando al usuario para que revele información sensible.
Estas superposiciones maliciosas pueden solicitar credenciales de usuario, lo que permite capturar datos y utilizarlos para transferencias ilegales de fondos u otros fines maliciosos.
- Ataques dinámicos en tiempo de ejecución
Los atacantes utilizan técnicas dinámicas para analizar o modificar las aplicaciones móviles mientras se ejecutan. Lo hacen para comprender cómo se comporta la aplicación móvil e interactúa con otros componentes. De este modo, los atacantes pueden comprometer aplicaciones bancarias para robar o recopilar datos de transacciones o incluso modificar los flujos de trabajo de una aplicación móvil en tiempo real, algunos ejemplos de este tipo de ataques son: Magisk, Frida, Ingeniería Social, Ataques MitM e ingeniería inversa.
Otra preocupación con los ataques dinámicos es la posibilidad de crear cuentas fraudulentas. «Los hackers pueden utilizar estas versiones manipuladas de las aplicaciones para registrar cuentas falsas en nombre de usuarios legítimos o incluso crear identidades ficticias. Estas cuentas fraudulentas pueden utilizarse para realizar transacciones ilícitas, transferencias de fondos y compras de activos financieros sin la autorización del usuario legítimo. Esto podría provocar importantes pérdidas financieras a los inversores afectados, así como dañar la reputación de las plataformas de inversión comprometidas”, explica Roeckl.
Para identificar fallos y prevenir ataques antes de que se produzcan, Appdome sugiere a los desarrolladores que utilicen herramientas de seguridad automatizadas para incorporar protecciones a las aplicaciones móviles y, a continuación, recurran a pruebas de penetración para validar la seguridad adecuada. En una prueba de penetración, profesionales especializados llamados hackers éticos llevan a cabo una serie de investigaciones para identificar vulnerabilidades o fallos de seguridad relativos a la información sensible y los datos personales de los usuarios. Evalúan la capacidad de seguridad de la estructura, la red y las aplicaciones móviles de la empresa, con el objetivo de encontrar puntos débiles en los programas y datos existentes. Una vez completada la evaluación, los hackers éticos pueden asociarse con los desarrolladores para explorar formas de solucionar o al menos minimizar las vulnerabilidades de seguridad del sistema.
