Clau per emportar
- Dos informes recents destaquen que els atacants van perseguint cada cop més l'enllaç més feble de la cadena de seguretat: les persones.
- Els experts creuen que la indústria hauria d'introduir processos per fer que la gent s'adhereixi a les millors pràctiques de seguretat.
-
Un entrenament adequat pot convertir els propietaris de dispositius en els defensors més forts contra els atacants.
Moltes persones no aprecien l'abast de la informació confidencial als seus telèfons intel·ligents i creuen que aquests dispositius portàtils són inherentment més segurs que els ordinadors, segons informes recents.
Tot i que s'enumeren els principals problemes que afecten els telèfons intel·ligents, els informes de Zimperium i Cyble indiquen que no hi ha cap quantitat de seguretat integrada suficient per evitar que els atacants comprometin un dispositiu si el propietari no pren mesures per protegir-lo.
"El principal repte, trobo, és que els usuaris no aconsegueixen establir una connexió personal d'aquestes bones pràctiques de seguretat amb la seva pròpia vida personal", va dir Avishai Avivi, CISO de SafeBreach, a Lifewire per correu electrònic. "Sense entendre que tenen un interès personal en la seguretat dels seus dispositius, això continuarà sent un problema."
Amenaces per a mòbils
Nasser Fattah, president del Comitè de Direcció d'Amèrica del Nord a Shared Assessments, va dir a Lifewire per correu electrònic que els atacants persegueixen els telèfons intel·ligents perquè proporcionen una superfície d'atac molt gran i ofereixen vectors d'atac únics, com ara phishing o smishing d'SMS..
A més, els propietaris habituals de dispositius estan dirigits perquè són fàcils de manipular. Per comprometre el programari, cal que hi hagi una fallada del codi no identificada o no resolta, però les tàctiques d'enginyeria social de fer clic i esquer són perennes, va dir Chris Goettl, vicepresident de gestió de productes d'Ivanti, a Lifewire per correu electrònic.
Sense entendre que tenen un interès personal en la seguretat dels seus dispositius, això continuarà sent un problema.
L'informe de Zimperium assenyala que menys de la meitat (42%) de les persones van aplicar solucions d' alta prioritat en els dos dies posteriors al seu llançament, el 28% requeria fins a una setmana, mentre que el 20% triguen fins a dues setmanes peguen els seus telèfons intel·ligents.
"En general, als usuaris finals no els agraden les actualitzacions. Sovint interrompen les seves activitats laborals (o de joc), poden canviar el comportament al seu dispositiu i fins i tot poden causar problemes que poden suposar un inconvenient més llarg", va opinar Goettl..
L'informe de Cyble esmentava un nou troià mòbil que roba codis d'autenticació de dos factors (2FA) i es distribueix a través d'una aplicació McAfee falsa. Els investigadors pensen que l'aplicació maliciosa es distribueix a través de fonts diferents de Google Play Store, cosa que la gent no hauria d'utilitzar mai, i demana massa permisos, que mai s'han de concedir.
Pete Chestna, CISO d'Amèrica del Nord a Checkmarx, creu que sempre serem l'enllaç més feble de la seguretat. Creu que els dispositius i les aplicacions han de protegir-se i curar-se o ser resistents als danys, ja que la majoria de la gent no es pot molestar. Segons la seva experiència, la gent és conscient de les pràctiques recomanades de seguretat per a coses com les contrasenyes, però opten per ignorar-les.
"Els usuaris no compren per seguretat. No l'utilitzen per seguretat. Certament, no pensen mai en la seguretat fins que els han passat coses dolentes personalment. Fins i tot després d'un esdeveniment negatiu., els seus records són curts", va observar Chestna.
Els propietaris de dispositius poden ser aliats
Atul Payapilly, fundador de Verifiably, ho mira des d'un punt de vista diferent. Llegir els informes li recorda els incidents de seguretat d'AWS que s'informaven sovint, va dir a Lifewire per correu electrònic. En aquests casos, AWS funcionava tal com es va dissenyar, i les infraccions eren en realitat el resultat de permisos dolents establerts per la gent que utilitzava la plataforma. Finalment, AWS va canviar l'experiència de la configuració per ajudar la gent a definir els permisos correctes.
Això ressona amb Rajiv Pimplaskar, director general de Dispersive Networks. "Els usuaris se centren en l'elecció, la comoditat i la productivitat, i és responsabilitat de la indústria de la ciberseguretat educar i crear un entorn de seguretat absoluta, sense comprometre l'experiència de l'usuari."
La indústria hauria d'entendre que la majoria de nos altres no som persones de seguretat, i no es pot esperar que entenguem els riscos teòrics i les implicacions de no instal·lar una actualització, creu Erez Yalon, vicepresident d'investigació de seguretat de Checkmarx.. "Si els usuaris poden enviar una contrasenya molt senzilla, ho faran. Si es pot utilitzar el programari encara que no s'ha actualitzat, s'utilitzarà", ha compartit Yalon amb Lifewire per correu electrònic.
Goettl es basa en això i creu que una estratègia eficaç podria ser restringir l'accés des de dispositius que no compleixin els requisits. Per exemple, un dispositiu amb jailbreak, o un que té una aplicació dolenta coneguda, o està executant una versió del sistema operatiu que se sap que està exposada, es pot utilitzar com a activadors per restringir l'accés fins que el propietari corregeixi el pas fals de seguretat.
Avivi creu que, tot i que els venedors de dispositius i els desenvolupadors de programari poden fer molt per ajudar a minimitzar a què es veurà exposat l'usuari, mai no hi hauria una bala de plata ni una tecnologia que realment pugui substituir el wetware..
"La persona que pot fer clic a l'enllaç maliciós que ha superat tots els controls de seguretat automatitzats és la mateixa que pot informar-ne i evitar ser afectat per un dia zero o un punt cec tecnològic", va dir Avivi..
