Los datos sensibles, como la información de identificación personal (PII), datos financieros y credenciales de cuentas, requieren un control estricto sobre quién puede acceder a ellos. Aunque se puedan seguir buenas prácticas, es fundamental evaluar el impacto que pueden tener las aplicaciones utilizadas por usuarios o empleados en la protección de estos datos.
La dependencia creciente de los dispositivos móviles en actividades diarias ha ampliado su uso tanto en entornos profesionales como personales. La adopción de políticas BYOD (trae tu propio dispositivo) ha incrementado el riesgo de exposición de datos corporativos y privados, debido a la posible vulnerabilidad de las aplicaciones móviles.
En 2024, más de 1.700 millones de personas vieron comprometidos sus datos personales, lo que representa un aumento del 312% respecto a los 419 millones de 2023. Esta situación ha generado una pérdida financiera estimada de 280.000 millones de dólares. Los dispositivos móviles se han convertido en la principal puerta de entrada a servicios digitales, pero también representan una superficie creciente para ataques.
El equipo de investigación de Zimperium analizó 54.648 aplicaciones móviles, incluyendo 9.078 para Android y 45.570 para iOS, en busca de riesgos relacionados con la protección de datos. Los resultados revelaron una serie de problemas que ponen en peligro la privacidad y seguridad de los usuarios.
Las fugas de datos: un fenómeno común
Las fugas de datos ocurren cuando información confidencial se expone involuntariamente al público, ya sea en tránsito, en reposo o en uso. A diferencia de las filtraciones, que suelen ser resultado de intentos de intrusión externa, las fugas a menudo son causadas por negligencia, prácticas de seguridad deficientes o procesos inadecuados dentro de las aplicaciones mismas.
Los servicios en la nube: un arma de doble filo
La integración en la nube es común en el desarrollo de aplicaciones móviles, y el 62% de las analizadas utilizan algún tipo de API o SDK. Sin embargo, si no se implementa correctamente, puede representar un riesgo significativo.
- Se detectaron 103 aplicaciones de Android que utilizaban almacenamiento en la nube desprotegido o mal configurado, y 4 de ellas estaban entre las 1.000 más populares de la Play Store.
- Diez aplicaciones de Android contenían credenciales expuestas a los servicios en la nube de AWS, lo que permitió el acceso a datos empresariales confidenciales.
Las consecuencias de configuraciones incorrectas pueden ser devastadoras. Un fabricante automotriz sufrió una filtración masiva de datos afectando a 260.000 clientes debido a un entorno de nube mal configurado.
Debilidades criptográficas: socavando la seguridad
El cifrado es fundamental para proteger los datos confidenciales. Los datos sin cifrar o con métodos inadecuados pueden ser explotados de dos maneras.
- En tránsito: mediante un ataque de intermediario, donde un atacante puede ver los datos que entran y salen de los servidores.
- En reposo: si un atacante obtiene permisos de lectura para un repositorio de datos, los datos correctamente cifrados son prácticamente inútiles para él.
El 88% de todas las aplicaciones y el 43% de las 100 principales utilizan uno o más métodos criptográficos que no siguen las mejores prácticas.
Almacenamiento local: un riesgo oculto
El análisis reveló patrones alarmantes en la gestión de datos confidenciales por parte de aplicaciones móviles. Estos hallazgos resaltan los riesgos incluso en las aplicaciones oficiales.
- El 6% de las 100 principales aplicaciones de Android escriben información personal identificable (PII) en el registro de depuración, lo que permite a otras aplicaciones con permisos de registro acceder a datos confidenciales.
- El 4% de las 100 principales aplicaciones de Android escriben PII en un almacenamiento externo de datos, donde otras aplicaciones pueden acceder o extraer la información si el dispositivo se ve comprometido.
- El 91% de las aplicaciones de Android almacenan información personal identificable (PII) en el almacenamiento local de datos. Aunque no se comparte entre aplicaciones, los datos permanecen allí si un atacante accede al dispositivo.
Transmisión de datos: fuga silenciosa
El 31% de todas las aplicaciones y el 37% de las 100 principales envían información personal identificable (PII) a servidores remotos, a menudo sin cifrado adecuado.
Vulnerabilidades y filtraciones: la tormenta perfecta
La combinación de prácticas deficientes en el almacenamiento local y transmisión insegura crea condiciones ideales para las vulneraciones de datos. El análisis reveló que el 62% de las 100 principales aplicaciones de Android presentan algún tipo de vulnerabilidad.
Impacto empresarial
Estas vulnerabilidades representan riesgos significativos para organizaciones:
- Exposición de datos: Un almacenamiento en la nube mal configurado puede provocar la exposición inmediata de datos corporativos confidenciales.
- Incumplimiento de normas: Las prácticas de cifrado deficientes pueden resultar en infracciones de normativas como el RGPD o estándares como HIPAA o MASVS.
- Impacto financiero: El coste medio de una filtración de datos es de 4,88 millones de dólares por incidente.