La nueva amenaza para las tiendas online se llama 'formjacking'

Según este informe, aquí la fuente de amenazas más importante es todavía el minado malicioso de criptomonedas, hasta tal punto que acumula el 2,3% del total mundial. Le siguen los bots y el phishing. En España, más de la mitad (52,9%) de los correos electrónicos encierra spam en su interior. En 1 de cada 510 emails hay amenazas de malware y en 1 de cada 3.680, phishing. Cabe destacar que un año antes la proporción era de 1 de cada 6.929. El phishing afecta, sobre todo, al pequeño comercio. También ataca a los fabricantes y al sector de las finanzas y los seguros.

Los criminales están apostando ahora por alternativas como el 'formjacking', esto es, se lanzan a copiar datos de tarjetas en el mundo virtual. Para ello, inyectan código en las tiendas online y roban detalles de las tarjetas de los consumidores. Se calcula que más de 4.800 sitios únicos acaban comprometidos de media al mes por el código del 'formjacking', principalmente las webs de tiendas pequeñas y medianas. Su actividad se anima en los meses de noviembre y diciembre.

Symantec advierte de que, en un año, los ciberdelincuentes pueden recabar millones de dólares con el fraude de las tarjetas y la venta de información en la dark web. Una única tarjeta de crédito se puede vender por 45 dólares en ese mercado negro. Y, con una decena de tarjetas robadas por cada sitio que queda comprometido, se llegarían a generar al mes unos 2,2 millones de dólares.

«El formjacking representa una seria amenaza tanto para las empresas como para los consumidores», señala Ramsés Gallego, Director, Security Strategies en Symantec. «Los consumidores no tienen forma de saber si están visitando una tienda online infectada sin utilizar una solución de seguridad completa, lo que deja su valiosa información personal y financiera vulnerable a un robo de identidad potencialmente devastador. Para las empresas, el súbito incremento en el formjacking refleja el riesgo creciente de los ataques en la cadena de suministro, por no mencionar los riesgos para la reputación y las responsabilidades legales a las que se enfrentan las compañías».

Con el reciente escándalo de datos de Cambridge Analytica y las investigaciones a Facebook por la privacidad de los datos, la implementación del Reglamento General de Privacidad de Datos (GDPR) o las revelaciones sobre la monitorización de la ubicación de aplicaciones y los bugs de privacidad en apps tan utilizadas como FaceTime de Apple, la privacidad de los consumidores ha acaparado la atención el año pasado.

Los smartphones podrían considerarse el mayor dispositivo de espionaje creado hasta la fecha: una cámara, un micrófono y un localizador de ubicación, todo en uno, que es voluntariamente transportado y utilizado en todas partes por su propietario. Aunque ya han sido objetivos gubernamentales para el espionaje tradicional, los smartphones se han convertido además en un medio lucrativo con el que reunir información personal de los consumidores, con «los desarrolladores de apps móviles como los peores delincuentes».

El informe recuerda que una parte notable de las aplicaciones más populares en Android y en iOS piden información de ubicación (45% y 25%, respectivamente) y permiso para accede a la cámara (46% y 24%), y que con ellas se comparten las direcciones de email (44% y 48%). Al mismo tiempo, crecen las herramientas que permiten recoger datos móviles para localizar a niños, amigos o terminales perdidos. De ahí que Symantec hable de «los desarrolladores de apps móviles como los peores delincuentes».

Los mismos errores de seguridad que se cometieron con los ordenadores, ahora ocurre con el fenómeno tecnológico de la nube, donde se están cometiendo errores similares. Por ejemplo, al configurar cargas de trabajo e instancias de almacenamiento. Los dispositivos conectados del internet de las cosas también dan pie a que se creen agujeros de seguridad adicionales. Pese a que los routers y cámaras conectadas conforman el mayor porcentaje de dispositivos infectados (90%), casi todos los dispositivos IoT han demostrado ser vulnerables, por lo que desde las bombillas inteligentes a los asistentes de voz crean puntos de entrada adicionales para los atacantes.