Google cuenta con más de tres millones de apps en su tienda oficial. De todas ellas, las más descargadas son juegos como Candy Crush Saga o redes sociales como Facebook e Instagram. Esa es la superficie de un océano de aplicaciones. Y aunque la multinacional estadounidense dispone de mecanismos para garantizar la seguridad de sus usuarios, en ocasiones son insuficientes.
No lo fue cuando a final de agosto más de 300 apps se hicieron con el control de móviles y tabletas de más de 100 países para lanzar ataques DDoS. Tampoco en septiembre, cuando otras 50 aplicaciones infectadas con el virus ExpensiveWall obtuvieron dinero de sus víctimas tras enviar SMS a servicios de pago.
“Es imposible garantizar que el 100% de las aplicaciones sean limpias”, explica a eldiario.es Luis Corrons, director técnico de PandaLabs. Añade que “por mucho que se quiera, los atacantes también saben utilizar medidas para pasar desapercibidos”. Según el experto, para conseguirlo sería tan fácil como desarrollar una aplicación cuyo comportamiento malicioso se produzca en un momento concreto, como al llegar una fecha o recibir un mensaje. Entonces, ¿cómo puede Google proteger a sus usuarios?
El pasado mes de julio, la empresa estadounidense puso en marcha una nueva medida para reducir el riesgo de aplicaciones maliciosas. Se trata de Google Play Protect, un sistema de seguridad que automáticamente explora cualquier software potencialmente dañino incluso antes de que sea descargado. Aunque lleva presente desde Android 4.2, Google señala que lo ha mejorado desde entonces.
Este diario se ha puesto en contacto con Google para preguntar por qué los hackers logran colar sus aplicaciones en la tienda oficial, pero la respuesta de la compañía únicamente incide sobre la protección de Play Store. “Las apps son automáticamente escaneadas para detectar códigos maliciosos antes de que sean publicadas”, sostienen.
Además, la multinacional indica que “para complementar este esfuerzo hemos introducido un nuevo proceso proactivo de revisión de aplicaciones”. Esto, según Google, permitiría detectar rápidamente a los infractores de sus políticas. “Se llevan a cabo controles de seguridad muy concienzudos para todas las aplicaciones”, explica Corrons.
A pesar de todo, el escudo no fue suficiente para detener la presencia de apps maliciosas como las mencionadas. El equipo de seguridad reacciona eliminándolas de Google Play, pero cuando lo hacen ya es demasiado tarde para evitar que millones de personas las tengan instaladas en su teléfono.
Los móviles de Apple tampoco se salvan
La protección de Google no es la única puesta en entredicho. Apple, compañía destacada por tener un sistema operativo más cerrado y con menos vulnerabilidades, no siempre es tan segura como dice ser.
La compañía fundada por Steve Jobs también ha tenido algunos problemas, como el relacionado con XcodeGhost. Con este malware, los ciberdelincuentes infectaron la herramienta para desarrolladores de Apple y lograron obtener datos confidenciales de aquellos usuarios que instalaban esas aplicaciones.
Will Strafach, fundador de fundador de verify.ly, un software para analizar la seguridad de iOS, publicó un artículo en febrero donde hablaba de vulnerabilidades en iTunes. El experto detectó que 76 apps no eran lo bastante seguras y que podrían ser susceptibles a ataques externos.
Aun así, Luis Corrons apunta que “iOS es un sistema operativo mucho más cerrado que Android, por lo que es mucho más complejo llevar a cabo ciertas acciones maliciosas”. El director técnico también opina que el tamaño de la cuota de mercado es un factor importante. De esta forma, “podemos entender por qué los ciberdelincuentes están mucho más interesados en Android como objetivo de sus ataques”, manifiesta.
A la caza del 'malware': el juego del gato y el ratón
¿Sería posible evitar que una app llegue a la tienda oficial? “Es posible y se hace”, responde el encargado de PandaLabs. Aunque no se consigue evitar todo el software malicioso, el escudo de Google sí protege de una gran cantidad de aplicaciones nocivas. “Solo conocemos los casos de aquellas que han conseguido colarse”, menciona el experto.
Como recogen en Wired, solo hay una forma de protegerse: bajar únicamente apps de Google Play. A diferencia de lo que ocurre con iPhone, los usuarios de Android tienen posibilidad de instalar aplicaciones desarrolladas por terceros fuera de la tienda oficial. Lo que parece una ventaja, en ocasiones se convierte en un error: estas apps no tienen ningún tipo de verificación. Google lo sabe, y por eso también ha tomado algunas medidas.
“Para apps externas a Google Play tenemos una herramienta llamada 'verificar aplicaciones', que advierte o bloquea aquellas potencialmente dañinas”, explica la multinacional estadounidense. Según el texto de Wired, todo es como el juego del gato y el ratón, en el que los ciberatacantes buscan vulnerabilidades y los expertos en seguridad investigan cómo taparlas.
Además de instalar aplicaciones oficiales, Corrons sostiene que para estar protegido “es muy importante actualizar el dispositivo siempre con la última versión del sistema operativo”. Otras firmas de antivirus, como Kaspersky, también han hablado de los pasos necesarios para evitar el malware:
- Descarga aplicaciones solo desde Google Play.
- Elige aplicaciones de desarrolladores de confianza.
- Comprueba las calificaciones y las opiniones de los usuarios.
- Presta atención a los permisos que piden las aplicaciones durante la instalación.
- Usa una solución de seguridad de confianza.
Luchar contra las aplicaciones maliciosas se ha convertido en una batalla de difícil final. Cada vez existen más dispositivos, y con ellos más riesgos de que sean infectados. Los mecanismos en prevención también avanzan y, ante todo, pasan por hacer un uso responsable y consciente del teléfono.