Con una prevención proactiva, las empresas pueden mitigar las amenazas y los riesgos de seguridad detrás de los dispositivos móviles que utilizan los colaboradores de la organización.
Durante la Segunda Guerra Mundial y la Guerra Fría, cuando los servicios de inteligencia intentaban infiltrarse en empresas o instituciones, necesitaban ser muy ingeniosos. Ocultaban cámaras en los botones de un abrigo, escondían transmisores en maletas e incluso intentaron crear un libélula robot con un micrófono.
Hoy en día, si alguien quiere evadir las defensas de una empresa para espiar, solo necesitan tener acceso a los teléfonos de sus empleados. Casi todo el mundo tiene un teléfono celular y muchos descuidan su seguridad. Aunque es cierto que es muy raro ver malware propagándose desde un teléfono a una computadora de la empresa, un teléfono comprometido sigue siendo una amenaza si está conectado a la red interna de la empresa o si los atacantes roban las credenciales de un empleado, datos corporativos sensibles o información bancaria.
Teniendo en cuenta lo pequeños que son los teléfonos móviles, el universo de amenazas es desproporcionadamente enorme: un solo teléfono contiene varios dispositivos, como una cámara, un micrófono y un rastreador GPS, pero lo que es aún más grave es que cada uno de estos componentes y muchas de las aplicaciones alojadas en el teléfono pueden ser abusados para robar información sensible de los empleados y servir como un vector de ataque para que los ciberdelincuentes logren acceder a los sistemas de una empresa y causar aún más daño.
Algunas empresas enfrentan a estos riesgos utilizando la gestión de dispositivos móviles (MDM), imponiendo estrictas reglas de configuración en los dispositivos corporativos y permitiendo que los empleados utilicen solo un puñado de aplicaciones. Sin embargo, la mayoría de las empresas son pequeñas o medianas, y los responsables de la seguridad puede tener dificultades para controlar que se cumplan estas reglas.
Los investigadores de ESET podrían escribir libros sobre malware que ataca a los smartphones y el alcance de estos ataques para una empresa. Es por eso que ESET, compañía líder mundial en ciberseguridad, ha introducido ESET Mobile Threat Defense (EMTD) como parte de su última oferta para empresas. Para mejorar las capacidad de prevenir cualquier tipo de amenaza que afecte a los dispositivos móviles, quienes hayan contratado ESET PROTECT Advanced o niveles superiores ahora podrán disfrutar de esta protección para un dispositivo móvil de forma gratuita por cada solución que se haya contratado para otros dispositivos.
¿Qué amenazas contra teléfonos móviles existen?
Desde principios de 2020 hasta finales de 2023, las detecciones de malware para Android aumentaron un 222% según la telemetría de ESET.
El año pasado, por ejemplo, investigadores de ESET descubrieron dos campañas dirigidas a usuarios de Android distribuidas en varias tiendas de aplicaciones y sitios web dedicados.
Cibercriminales crearon aplicaciones falsas (troyanizadas) para Android a partir de apps de código abierto para Android como Signal y Telegram, a las cuales añadieron un malware que los investigadores de ESET han identificado bajo el nombre de BadBazaar. Las aplicaciones maliciosas se llamaban Signal Plus Messenger y FlyGram, y su propósito era extraer datos de usuario, como listas de contactos, registros de llamadas y cuentas de Google.
La app falsa Signal Plus Messenger es más peligrosa que FlyGram por su capacidad para espiar las comunicaciones de la víctima en la aplicación Signal legítima. Esta información sensible podría usarse para futuros ataques de phishing dirigidos a empleados de empresas.
Un caso similar fue cubierto en junio de 2023, cuando investigadores de ESET identificaron una nueva versión del spyware para Android GravityRAT. Este malware se distribuyó dentro de las apps de mensajería maliciosas pero igualmente funcionales BingeChat y Chatico, ambas basadas en la aplicación OMEMO Instant Messenger. Este spyware en particular es capaz de extraer registros del dispositivo infectado la lista de llamadas, listas de contactos, mensajes SMS, la ubicación del dispositivo, información básica del dispositivo y archivos con extensiones específicas, como jpg, PNG, txt, pdf, etc.
Y esto es solo el comienzo. Los teléfonos inteligentes pueden ser atacados de numerosas maneras que ponen en peligro las finanzas y los datos de las empresas. Por ejemplo, mediante troyanos bancarios, correos o mensajes de phishing, explotación de vulnerabilidades o mediante el robo físico.
Las pequeñas y medianas empresas son más vulnerables
Las pequeñas empresas suelen considerarse el pilar de las economías nacionales. En Estados Unidos, las pequeñas empresas (definidas como empresas con hasta 500 empleados) representan el 99.9% de todas las empresas estadounidenses. Y esta importancia de las PyMEs en las economías nacionales es similar en América Latina.
Al ser más económico y más fácil de implementar, la mayoría de las PyMEs suelen elegir una política de Traiga Su Propio Dispositivo (BYOD, por sus siglas en inglés) en lugar de que sea la empresa quien aporte los equipos. Algunas también pueden adoptar un enfoque híbrido, proporcionando dispositivos corporativos solo a empleados seleccionados. Pero sin una seguridad adecuada, esto conlleva riesgos.
De las empresas que optan por BYOD, el 48% dice que han detectado malware que se ha introducido a través del teléfono de un empleado, y solo 4 de cada 10 tienen MDM implementado, según una encuesta de Samsung 2023.
Y el error humano es un factor enorme. Varios estudios recientes muestran que más del 80% de las brechas de datos involucran un elemento humano. Los errores más frecuentes están relacionados con malos hábitos en el uso de contraseñas de los empleados y el mal uso del correo electrónico personal.
Sin embargo, no estamos aquí para culpar de cada incidente de ciberseguridad a un empleado promedio; después de todo, los profesionales de TI también pueden cometer algunos de los errores más comunes. Por ejemplo, según un estudio del Instituto Ponemon en 2020, la mitad de los profesionales de TI admitió reutilizar la misma contraseña.
Además, las PyMEs son menos propensas a invertir en capacitación para los empleados, según una encuesta realizada por el Departamento de Ciencia, Innovación y Tecnología del Reino Unido en 2023. Por ejemplo, solo el 28% de las pequeñas empresas encuestadas llevaron adelante capacitaciones de concientización, en comparación con el 77% de las grandes empresas.
La misma encuesta también encontró que las PyMEs a menudo carecen de gerentes senior debidamente capacitados: "Aunque tenemos gerentes senior que son buenos en el cargo, no tienen conciencia sobre riesgos de ciberseguridad. Intento asegurarme de que tengan una comprensión básica, capacitación y conocimiento en eso. Pero están enfocados en el día a día", dijo un administrador de recursos humanos que trabaja para una empresa mediana.
Minimizar las superficies de ataque
Teniendo en cuenta estas amenazas, implementar MDM es un gran paso adelante. Por ejemplo, ESET Mobile Threat Defense ofrece a los administradores la opción de monitorear y controlar aplicaciones tanto para Android como para iOS. EMTD es parte de la consola de gestión unificada en la nube y on-premises de ESET PROTECT, por lo que no se necesita una consola de administración adicional.
Con la protección para endpoint incluida, EMTD también proporciona funciones antivirus y anti-phishing, brindando a las empresas más capacidades de prevención contra ciberataques.
Ambos son también necesarios al optar por un enfoque Zero Trust, una estrategia cada vez más popular en la cual la empresa verifica cada cuenta o dispositivo antes de permitir que se conecte a su red.
Estas son algunas de las capacidades y características de ESET Mobile Threat Defense:
- Seguridad: Las características de seguridad van desde anti-malware, anti-phishing, anti-robo, seguridad del dispositivo hasta control sobre el acceso web y mucho más.
- Gestión: La gestión incluye el borrado remoto de dispositivos, la restricción de instalaciones de aplicaciones, la preconfiguración de dispositivos para usuarios y otros elementos relacionados con la gestión de TI.
- Múltiples sistemas operativos: La protección para dispositivos móviles generalmente cubre dispositivos Android y Apple, los dos sistemas operativos móviles más extendidos. Como estos sistemas operativos son diferentes, las capacidades de protección móvil también pueden variar entre ellos.
- Panel de vidrio simple (SPOG, por sus siglas en inglés): EMTD está integrado nativamente en la plataforma ESET PROTECT, por lo que no es necesario otra consola o plataforma de administración.
- Implementación remota: Los administradores de TI simplemente seleccionan empleados con dispositivos corporativos y automáticamente recibirán un código QR para descargar la protección de ESET. ¡Tan simple como eso!
- Sincronización perfecta con plataformas de gestión en la nube: Para simplificar, ESET admite Microsoft Intune, Microsoft Entra ID, VMware Workspace ONE y Apple Business Manager.
Invertir en prevención para evitar una crisis
Según el Informe de Impacto Empresarial 2023 de ITRC, casi el 50% de las PyMEs encuestadas de EE. UU. que experimentaron una brecha de datos estimaron sus pérdidas financieras en hasta $ 250,000, mientras que el 26% calculó sus pérdidas entre $ 250,000 y $ 500,000, y el 10% de las PyMEs estimaron que sus pérdidas podrían alcanzar $ 1 millón.
Viendo estos números, está claro que la frase "una onza de prevención vale más que una libra de cura" también se aplica a la ciberseguridad. Y eso no es todo: un tercio de esas empresas también experimentaron pérdida de confianza por parte de los clientes después de una brecha.
MDM con protección para endpoints es siempre una excelente opción para evitar riesgos y disminuir la superficie de ataque, a pesar de la falta de capacitaciones en concientización. Aún mejor es que la gestión y protección de los dispositivos se pueden operar desde una única plataforma que es muy fácil de usar, lo que ahorra tiempo valioso a los profesionales de TI.