Las aplicaciones web están incorporando cada vez más componentes de terceros a su código, como pueden ser carros de compra o sistemas de pago con tarjeta, lo que incrementa su vulnerabilidad. Los formularios online que todos tenemos que rellenar, bien sea para iniciar sesión en un sitio web o a la hora de realizar una compra, se han convertido en una buena vía para que los hackers consigan acceder a nuestros datos personales y financieros, según se indica en el informe Application Report 2019, recientemente publicado por F5 Labs, la división de ciberseguridad de F5 Networks.
Después de analizar 760 casos de robo de datos, F5 Labs concluyó que la técnica de formjacking, mediante la que el hacker es capaz de mover los datos desde el navegador del usuario hasta otro sitio controlado por él, se está convirtiendo en uno de los métodos preferidos por los ciberdelincuentes, llegando a suponer el 71% de todos los casos analizados por F5 Labs durante 2018.
“Las aplicaciones web están incorporando a su código cada vez más componentes críticos de terceros, como pueden ser carros de compra o sistemas de pago con tarjeta. Los desarrolladores web utilizan librerías de código importadas o, en algunos casos, enlazan sus aplicaciones directamente a los comandos de terceros alojados en la web. Como consecuencia, la vulnerabilidad de las organizaciones se incrementa, ya que su código se compila a partir de múltiples fuentes de distinta procedencia, casi todas situadas fuera de los límites de los controles normales de seguridad empresarial. Dado que muchos sitios web hacen uso de los mismos recursos de esas terceras partes, los hackers saben que con lograr comprometer un solo componente pueden llegar a los datos de un gran número de usuarios, clientes de múltiples empresas“, afirma David Warburton, senior threat evangelist en F5 Networks.
La técnica del formjacking supone el 71% de los casos de robo de datos analizados
En sus investigaciones, F5 Labs ya ha detectado durante 2019 un total de 83 incidentes de formjacking, que en su conjunto afectaron a un total de 1,4 millones de tarjetas de crédito. Se estima que actualmente el 60% de todos los robos relacionados con tarjetas de crédito utilizan esta técnica. Los sectores de Retail, Transporte e Industria son los más afectados.
Aunque las vulnerabilidades por inyección de código no son una técnica nueva, F5 labs cree que sigue siendo un problema creciente, ya que la evolución de los negocios va acompañada de la aparición de nuevos riesgos y de la ampliación de las áreas de ataque. Según la Exploit Database, el 11% de los exploits descubiertos durante 2018 formaba parte de una cadena de ataques de formjacking, ya fuera mediante la ejecución remota de código (5,4%), la inclusión de archivos (3,8%) o la ejecución remota de CMD (1,1%).
F5 Labs recomienda:
- Crear de un inventario de aplicaciones web, que debe incluir una auditoría exhaustiva del contenido de terceros.
- Parchear el entorno. Aunque el parcheo no necesariamente va a corregir los defectos de los contenidos de terceros, sí conseguirá dificultar el compromiso de los datos.
- Escanear vulnerabilidades. Durante años, los CISO han reconocido la importancia de llevar a cabo escaneos externos con el objetivo de obtener una visión de la actividad de los hackers.
- Monitorizar cambios de código. Con independencia de dónde se encuentre alojado el código, es importante conseguir una mayor visibilidad, independientemente de si surgen nuevas vulnerabilidades o no.
- Autenticación multifactorial. Que debe ser implementada en cualquier sistema conectando activos de alto impacto, ya que la inyección se utiliza a menudo para evitar la autenticación a la hora de acceder al código del servidor web.
- Explorar el potencial de las herramientas de software de servidor. Por ejemplo, es posible establecer una Política de Seguridad de Contenidos (CSP) para bloquear inyecciones de código no autorizado en un sitio web o en una aplicación. Además, los métodos web SubResource Integrity (SRI) pueden verificar que las aplicaciones de terceros no han sido alteradas.
- Monitorización de certificados y de dominios registrados recientemente. Se usan a menudo para alojar scripts maliciosos con apariencia de auténticos para los usuarios.
