El futuro del malware móvil está aquí. Por primera vez, los ciberdelincuentes están infiltrando dispositivos iOS y Android y robando los escaneos faciales de los usuarios. Luego, armados con el poder de los deepfakes y la inteligencia artificial, replican la apariencia del usuario para acceder a sus cuentas bancarias.
Sí, leíste correctamente. La tecnología actual permite a los actores maliciosos falsificar las salvaguardias biométricas y secuestrar tu rostro. Este hack es tan novedoso como aterrador, y merece una acción inmediata tanto de las empresas como de los usuarios.
La llegada del hackeo deepfake
Realmente estamos ante un nuevo mundo valiente del hacking. Se cree que fue desarrollado por el grupo criminal chino GoldFactory, este hack utiliza aplicaciones falsas para engañar a los usuarios y realizar verificaciones biométricas. Sin darse cuenta, los usuarios comparten los escaneos faciales necesarios para omitir las mismas verificaciones empleadas por las aplicaciones bancarias legítimas en Asia Pacífico.
Los hackers logran esto – y aquí está la verdadera innovación – utilizando plataformas de intercambio de rostros con inteligencia artificial. Con los datos biométricos en mano, así como la capacidad de interceptar mensajes de texto 2FA, estos ciberdelincuentes crean réplicas deepfake de sus víctimas, permitiendo un acceso no autorizado a sus cuentas bancarias. El resultado es una estafa de aplicaciones que los investigadores nunca habían visto antes.
De alguna manera, este hack me recuerda a Cherryblos, otra amenaza de la que escribí en noviembre que utiliza malware móvil para extraer contraseñas e información sensible de imágenes. Ahora parece que los hackers están redirigiendo sus esfuerzos desde imágenes estáticas hacia los rostros de los usuarios.
Desafortunadamente, se entiende por qué los hackers están siguiendo este camino. La biometría facial es uno de los métodos de acceso móvil más populares y es utilizada por más de 130 millones de estadounidenses al menos una vez al día con una aplicación. Hasta este punto, la biometría facial se consideraba una alternativa confiable a las contraseñas. El método de autenticación es rápido, conveniente y difícil de falsificar. Este astuto ataque muestra que en efecto es difícil de descifrar, pero no imposible.
Links sociales de navegación
Fundador y CEO, Hexnode.
Las empresas deben luchar fuego con fuego
Este hack actualmente solo está activo en una región específica y en una vertical de aplicaciones específica, pero no te dejes engañar: es una señal de las amenazas por venir. La barrera de entrada para la inteligencia artificial y la tecnología deepfake es baja y cualquier actor de hacking con un presupuesto y conocimiento mínimos está mirando este caso en busca de inspiración. Para las empresas, esto significa luchar fuego con fuego y construir protecciones sólidas contra malware móvil e identificación biométrica hoy.
Esto comienza por tomar control de las aplicaciones en tu ecosistema. Una buena manera de hacerlo es creando una “tienda” personalizada con aplicaciones aprobadas para los puntos finales corporativos. Piénsalo como tu propia Play Store o App Store. Aquí, también puedes modificar permisos para regular el nivel de control que la aplicación tiene sobre los dispositivos objetivo y eliminar cualquier comportamiento arriesgado. También es vital tener criterios estrictos de ciberseguridad al inspeccionar qué aplicaciones entran o no en tu tienda. Si algo no cumple con tus estándares, bloquéalo.
Luego, sigue las mejores prácticas para combatir el malware móvil, comenzando por mantener los dispositivos actualizados a través de una gestión efectiva de parches. Habilita las actualizaciones automáticas, instala actualizaciones rápidamente al ser lanzadas y automatiza las modificaciones del software fuera del horario laboral. De igual manera, prioriza los exámenes de seguridad y la monitorización de dispositivos. Implementa un sistema de monitorización de sesiones de usuario para identificar malware y bloquear sesiones sospechosas antes de que los usuarios compartan algún dato personal.
Finalmente, mantente alerta a las señales de infección por malware. Esto incluye cosas como el drenaje de la batería del dispositivo, almacenamiento de datos inusual, rendimiento lento y comportamiento extraño. Auditorías regulares con una plataforma de software unificado de protección de puntos finales pueden ayudar a detectar estas disfunciones en los dispositivos. Además, también lo puede hacer otro recurso empresarial: los empleados.
Detectar y detener los ataques de ingeniería social
En el “rostro” de esta nueva amenaza – disculpen el juego de palabras –, los empleados son probablemente el elemento de ciberseguridad más importante para que las empresas lo hagan bien. ¿Por qué? Porque la ingeniería social es la principal vía de infección de malware y este caso no es diferente.
Este hack no se aprovecha de vulnerabilidades en Android o iOS. Más bien, para que este malware de secuestro facial funcione, la víctima debe autorizar los permisos relevantes, requiriendo por tanto una estrategia de ingeniería social de varias etapas para ingresar al teléfono.
Este punto vale la pena repetirlo. El malware no puede extraer datos biométricos oficiales en Android o iOS ya que esta información está – con razón – encriptada y separada de las aplicaciones en ejecución. Todo el hack se basa en engañar al usuario. Solo una vez dentro del dispositivo puede el caballo de Troya entonces leer los mensajes SMS entrantes, controlar funciones en segundo plano y solicitar capturar el rostro de la víctima.
Ahora más que nunca, los usuarios deben entender cómo mantenerse seguros por su propio bien y el de la empresa. El departamento de TI debe liderar iniciativas de ciberhigiene e instruir a los empleados para evitar hacer clic en enlaces sospechosos, usar aplicaciones aprobadas por la empresa y reportar problemas del dispositivo como actualizaciones de software fallidas o rendimiento irregular.
Y, en este panorama cada vez más complicado de ciberseguridad e IA, recuérdales a los usuarios que piensen dos veces cada vez que una aplicación solicite un escaneo facial.
Hemos enumerado las mejores aplicaciones gratuitas para Android.
Este artículo fue producido como parte del canal Expert Insights de TechRadarPro donde presentamos a las mentes más brillantes de la industria tecnológica de hoy. Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si estás interesado en contribuir, obtén más información aquí: https://www.techradar.com/news/submit-your-story-to-techradar-pro