Aplicaciones transferidas: el riesgo de menos restricciones

¿Confiaría en una aplicación en su dispositivo de una tienda de aplicaciones de terceros? ¿Confiaría en esa misma tienda de aplicaciones en los puntos finales conectados a su infraestructura corporativa?

La premisa de una tienda de aplicaciones de terceros es relativamente inocente en la superficie, con cientos de repositorios configurados para permitir que los usuarios de dispositivos móviles obtengan las aplicaciones que desean sin algunos de los obstáculos que pueden interponerse en su camino. Y más allá de eso, algunos desarrolladores de aplicaciones incluso brindan opciones de descarga directa que aprovechan las capacidades de Sideload para evitar los controles de la tienda de aplicaciones por completo. En el espacio de punto final tradicional, ninguna de estas alternativas o medios de acceso se siente fuera de lo común para un usuario convencional.

Pero para los terminales móviles, es una historia diferente. ¿Qué sucede si la tienda de aplicaciones oficial no examina esas aplicaciones?

Los dispositivos Android de Google y iOS de Apple vienen preinstalados con sus propias tiendas de aplicaciones, repletas de todo lo que un usuario puede desear. Protegidas bajo un paraguas de procesos desde escaneos de seguridad hasta aprobaciones, estas aplicaciones deben cumplir con las pautas para ser aceptadas y disponibles para los usuarios de estos dispositivos. El usuario ha aumentado la confianza en la propia aplicación con el guiño de confianza de Apple y Google (OEM).

Pero fuera de estas tiendas de aplicaciones OEM, existen medios alternativos que no tienen estas capas de confianza incorporadas. Si bien algunas tiendas de aplicaciones de terceros son alternativas OEM de Samsung y Huawei, la mayoría de ellas existen como repositorios masivos de aplicaciones para que los usuarios de terminales móviles eludan las reglas, los controles o las tarifas existentes para entregar su aplicación a las masas. Disponibles tanto en dispositivos iOS como Android, estas tiendas de aplicaciones alternativas a menudo actúan como un mercado negro con características muy similares; la aplicación disponible podría ser la misma, o una copia elaborada y un señuelo, y la única forma de saberlo es desarmarla. Pero como la mayoría de los usuarios de dispositivos móviles no descifrarán el código de la aplicación que acaban de instalar, estas alternativas se han llenado de códigos maliciosos.

En pocas palabras, no se puede confiar en las tiendas de aplicaciones no oficiales. Ponen en riesgo a los usuarios, las empresas y todos los datos a los que acceden.

Otra tendencia creciente en el mundo de las aplicaciones móviles es ofrecer una descarga directamente desde el sitio web del desarrollador, eludiendo cualquier control, restricción y administración que viene con las tiendas basadas en OEM. Al proporcionar instrucciones a los usuarios sobre la carga local, estos métodos directos se han utilizado para entregar aplicaciones a puntos finales móviles después de que se hayan prohibido debido a problemas de seguridad o privacidad, negándose a aceptar los términos de servicio establecidos o restricciones regionales.

Si bien la mayoría de las tiendas de aplicaciones de terceros se ejecutan a través de repositorios a los que se accede mediante un navegador, algunas han formalizado su proceso con su propia aplicación en el dispositivo. Ambos enfoques requieren que un usuario habilite la instalación de aplicaciones de fuentes desconocidas, incluido el navegador, sin pasar por los controles de seguridad estándar que se encuentran en las tiendas de aplicaciones OEM. Estas aplicaciones de tienda no administradas y desprotegidas abren los dispositivos móviles a riesgos y vulnerabilidades y, a veces, se utilizan para enviar malware directamente al teléfono del usuario.

Eludir los protocolos establecidos para la verificación de código, la administración de aplicaciones y la seguridad deja a los usuarios en riesgo de vulnerabilidades que podrían no haberse detectado durante el desarrollo. Y aunque muchos de estos desarrolladores están trabajando duro para ofrecer productos genuinos, las aplicaciones de carga lateral están fuera del alcance de las actualizaciones de la tienda de aplicaciones, lo que requiere que los usuarios actualicen manualmente.

¿Vale la pena el riesgo?

Los OEM son repositorios amigables para el consumidor con capas de control local para mantener las aplicaciones actualizadas con las últimas versiones y brindarles a los usuarios la información que necesitan. Y si bien muchas organizaciones confían en la administración de dispositivos móviles para su entorno, estas herramientas carecen de controles de seguridad y capacidades que puedan mantener seguros los terminales móviles de todas las aplicaciones, sin importar su origen.

Al final, la única forma en que un equipo de TI y seguridad puede estar seguro de que las aplicaciones móviles que se conectan a su red son seguras es con la defensa contra amenazas móviles (MTD). Proteger estos dispositivos altamente accesibles de los riesgos y vulnerabilidades en las tiendas de aplicaciones de OEM y de terceros y protegerlos contra otros vectores de ataque comunes aumenta la confianza en seguridad de un equipo y minimiza la superficie de ataque. Mientras los usuarios controlan el dispositivo en la mano, los equipos de TI y seguridad tendrán un control granular para proteger los datos empresariales.

“Los productos de MTD no solo previenen los ataques, sino que también los detectan y solucionan. MTD se enfoca en identificar y frustrar amenazas maliciosas, en lugar de depender de la configuración de administración de dispositivos para protegerse contra errores simples de los usuarios”. – Gartner

Si bien las empresas continúan adaptando y ampliando su accesibilidad a los datos con dispositivos móviles, deben abordar la seguridad de estos puntos finales con la misma mentalidad que los dispositivos tradicionales. Con más medios de conectividad, comunicación y portabilidad, el vector de ataque empresarial ya está al límite sin el riesgo de las tiendas de aplicaciones de terceros. Permitir que los equipos se adelanten a los ataques, escanear y remediar las aplicaciones de riesgo y cerrar estas brechas de seguridad mantiene a las empresas móviles y seguras.

Acerca de Zimperium

Zimperium, el líder mundial en seguridad móvil, ofrece la única protección basada en aprendizaje automático, en el dispositivo y en tiempo real contra las amenazas de Android, iOS y Chromebooks. Con tecnología z9, Zimperium brinda protección contra dispositivos, redes, phishing y ataques de aplicaciones maliciosas. Para obtener más información, visite www.zimperium.com.