Fallos de acceso y exposición de datos en las aplicaciones web corporativas
Las aplicaciones web corporativas como redes sociales, correo electrónico y los servicios online son páginas web donde los usuarios interactúan con un servidor a través de un navegador.
El último estudio de Kaspersky investigó las vulnerabilidades en estas aplicaciones utilizadas por empresas de TI, seguros, telecomunicaciones, criptomonedas, comercio electrónico, atención médica y gobiernos para identificar los tipos de ataques más frecuentes que les ocurren a las empresas.
Las vulnerabilidades más destacadas involucraban el potencial de uso malicioso de fallos de control de acceso, así como en la protección de datos confidenciales. Entre 2021 y 2023, el 70% de las aplicaciones examinadas en el estudio mostraron debilidades en estas categorías.
Cuando una vulnerabilidad rompe el control de acceso, los atacantes intentan eludir las políticas de la página web que limitan los permisos autorizados de los usuarios. Esto puede dar lugar a un acceso no autorizado y alterar o eliminar datos, entre otros aspectos. El segundo fallo más común registrado, es la exposición de información confidencial como contraseñas, detalles de tarjetas de crédito, registros médicos, datos personales e información empresarial confidencial, lo que destaca la necesidad de mayores medidas de seguridad.
“La calificación se llevó a cabo teniendo en cuenta las vulnerabilidades más comunes en las aplicaciones web desarrolladas internamente en varias empresas y su nivel de riesgo. Por ejemplo, una de estas vulnerabilidades podría permitir a los atacantes robar datos de autenticación de usuarios, mientras que otra podría ayudar a ejecutar código malicioso en el servidor, cada uno con distintos grados de consecuencias para la continuidad y la resiliencia del negocio. Así lo reflejan nuestras clasificaciones basadas en la experiencia práctica del equipo en la realización de proyectos de análisis de seguridad”, explica Oxana Andreeva, experta en seguridad del equipo de Kaspersky Security Assessment.
Asimismo, los expertos de Kaspersky analizaron el peligro que suponen estos defectos en las empresas mencionadas anteriormente. Según el estudio, la mayor proporción de vulnerabilidades que representan un alto riesgo estaban asociadas con inyecciones SQL, concretamente, el 88% de todas las vulnerabilidades de inyección SQL analizadas se consideraron de alto riesgo. Por otra parte, los analistas encontraron otro fallo importante vinculado con las contraseñas débiles utilizadas por parte de los usuarios, con un total del 78% de vulnerabilidades clasificadas como de alto riesgo. Según el equipo de Kaspersky Security Assessment, tan solo el 22% de todas las aplicaciones web estudiadas tenían contraseñas débiles. Esto puede deberse a que las aplicaciones incluidas en la muestra del estudio se realizaron en sistemas reales, no en versiones de prueba.
