Según un informe de Gartner Inc., los hackers se enfocarán más hacia los teléfonos inteligentes y las tabletas, y menos hacia las laptops y PCs. En 2014 se venderán aproximadamente 2,200 millones de teléfonos inteligentes y tabletas, lo que las convierte en un blanco tentador para los estafadores. Aunque los incidentes de seguridad son raros en los dispositivos móviles, Gartner plantea que para el 2017 un 75% de las violaciones de seguridad móvil serán resultado de una mala configuración de aplicaciones móviles.

La mayor parte de estos hackeos se originan en dispositivos o aplicaciones mal configurados. “Los compromisos de plataforma más obvios de esta naturaleza son la liberación o ‘jailbreaking’ en iOS, o ‘rooting’ en dispositivos Android. Al hacer esto, escalan los privilegios de usuario en el dispositivo, convirtiendo al usuario efectivamente en un administrador”, explica Dionisio Zumerle, investigador principal de Gartner.

Aunque estos métodos le permiten al usuario acceder a ciertos recursos del dispositivo que normalmente no son accesibles, también ponen en peligro los datos. Esto se debe a que se eliminan protecciones específicas que el sistema operativo provee para las aplicaciones. Asimismo el dispositivo queda abierto al malware y a todo tipo de acciones maliciosas, incluyendo la extracción de datos empresariales. Los dispositivos móviles liberados (“rooted” o “jailbroken”) también son propensos a los ataques de fuerza bruta sobre las contraseñas.

La mejor defensa es mantener a los dispositivos móviles fijos en una configuración segura mediante una política de gestión de dispositivos móviles suplementada por el blindaje de aplicaciones y por “contenedores” que protegen los datos importantes.

Gartner recomienda que los ejecutivos de seguridad informática cumplimenten una línea básica para la gestión de dispositivos móviles y de movilidad empresarial para los dispositivos Android y Apple, en la forma siguiente:

• Pedirle a los usuarios que adopten las políticas básicas de la empresa, y estén preparados para revocar controles de acceso en caso de que se produzcan cambios. Se debe negar el acceso, o dar acceso muy limitado, a los usuarios cuyos dispositivos no cumplen con los aspectos básicos establecidos.

• Exigir que las contraseñas de los dispositivos tengan la longitud y complejidad requerida, así como cumplir las normas de reintentos y tiempo límite.

• Especificar versiones de plataforma y sistema operativo mínimas y máximas. Desautorizar modelos que no pueden actualizarse o compatibilizarse.

• Poner en vigor una norma de no liberación del dispositivo (no jailbreaking/no rooting) y restringir el uso de tiendas de aplicaciones de terceros no autorizados. Los dispositivos que violen estas normas deberán ser desconectados de las fuentes de datos empresariales, y potencialmente borrados, en dependencia de las opciones que establezcan las políticas.

• Requerir aplicaciones y certificados firmados para el acceso al correo electrónico de la compañía, las redes virtuales privadas, la conexión WiFi y las aplicaciones protegidas.

Los ejecutivos de seguridad informática también requieren el empleo de métodos de control de acceso para denegar conexiones empresariales a los dispositivos que evidencias una actividad potencialmente sospechosa.