1. Retos de seguridad
en los dispositivos móviles
Ángel Barrio Martínez (EUKALTEL)
Álvaro del Hoyo Manene (S21SEC)
Urko Zurutuza Ortega (MONDRAGON U.)
David Sanz (SYMANTEC)
5 de marzo - 2013 - martxoak 5 - Palacio Euskalduna Jauregia - Bilbao

2. Smartphone = PC de bolsillo
2

3. Crecimiento exponencial movilidad
3

4. Crecimiento exponencial movilidad
Fuente: http://www.kantarworldpanel.com/global/News/Windows-sees-strong-European-growth
4

5. Crecimiento exponencial movilidad
Fuente: http://www.kantarworldpanel.com/global/News/Windows-sees-strong-European-growth
5

6. Siempre conectado / Tarifas planas móvil
X4
en 1 año
Tráfico móvil GGSN Euskaltel
6

7. La historia se repite
Tarifas Planas Banda Ancha + Plataforma dominante + Falta de sensibilización/concienciación
7

8. La historia se repite
+1000%
en 1 año
Fuente: http://www.symantec.com/threatreport/
8

9. Principales amenazas
Fraude
Usuario instala
1. App Infectada
6.
Malware envía
2. SMS Premium
Defraudador El proveedor
6. obtiene €€€€ Premium envía
3.
Confirmación
33XYZ
33XYZ
€
Usuario reclama
la factura al operador
Se factura
5. al usuario 6 €/SMS
Android/Boxer
Troyano SMS Malware Bloquea En 2004 
Premium 4. Confirmación
9

10. Principales amenazas
Robo de identidad
10

11. Principales amenazas
Robo/Pérdida del dispositivo
11

12. Principales amenazas
Botnets en móviles
Información sensible
• Agenda, fotos, contraseñas.
• Correos, documentos de empresa, etc.
• Doble factor de autenticación (OTP).
Capacidades multitarea & multi-conectividad
• Permiten ejecución de programas en “Background“(Troyanos
residentes).
• Redes GSM, WiFi, Bluetooth, NFC  Más vectores de ataque 
Mayor impacto.
Escasas o nulas medidas de protección
• Usuario administrador.
• Vector de infección sencillo: markets no oficiales & oficiales.
• Tendencia peligrosa de apertura de dispositivos (jailbreak / root).
Uso más intenso que un PC
• Móvil siempre en el bolsillo, elevada dependencia.
• Si me deja de funcionar el móvil, ¿a quién acudimos? 
OPERADOR
Juegos Gratuitos esconden SMS SPAMBOT: “Android/SpamSoldier”:
http://www.theregister.co.uk/2012/12/19/spamsoldier_android_botnet/
12

13. Principales vulnerabilidades
El factor humano
¿Cuántos tienen el móvil protegido con al menos un PIN de bloqueo?
13

14. Principales vulnerabilidades
El factor humano
¿Cuántos tienen realizado un “jailbreak” o “root” del dispositivo?
14

15. Principales vulnerabilidades
El factor humano
¿Cuántos tienen un software antivirus o antimalware en el dispositivo?
15

16. Principales vulnerabilidades
El factor humano
¿Cuántos tienen un control de localización y/o borrado remoto del
dispositivo? ¿Cuántos tienen cifrado el dispositivo y/o tarjetas de
memoria?
16

17. Principales vulnerabilidades
BYOD
¿Perímetro Seguro?
17

18. Seguridad,
¿de quién es la responsabilidad?
Usuarios
Sistemas
Operadores
operativos
Markets Hardware
Apps Seguridad
18

19. Cositas en el lado de operadores…
19

20. …de los fabricantes…
20

21. …de los proveedores de seguridad…
21

22. …de los markets…
22

23. …de los desarrolladores apps…
23

24. Personas: gran parte del problema,
pero también de la solución
24

25. Controles de seguridad en móviles
Accesos e Aplicaciones Dispositivos Amenazas Información
identidades
Credenciales Separación de Configuración, Detección y Colaboración
corporativas para apps personales control y gestión eliminación de segura y
acceder a nubes y corporativas de dispositivos malware compartición de
públicas y móviles archivos
privadas
25

26. Tendencia a futuro
BYOD
No gestionado
Corporativo no gestionado Organización gestiona sólo apps y datos corporativos
Gestionado
Organización gestiona dispositivo corporativo Organización gestiona dispositivo personal
Corporativo Personal
26

27. Investigación
 La historia se repite?
 Detección de intrusiones, detección de anomalías, firewalls, análisis
estático, análisis dinámico, políticas de acceso, virtualización,…
 Diferencias con el mundo PC
 Siempre encima, datos privados
 Batería
 “Control” de repositorios de aplicaciones (oficiales)
 El papel de la Operadora (de “punto a punto”)
27

28. Investigación
28

29. Conclusiones
•Los dispositivos móviles han venido para quedarse y
constituyen un reto solo comparable a lo que supuso en
su día el cambio cada día más sofisticadas y más abundantes y no
Las amenazas son
de computación centralizada (Mainframe)
hacia computación distribuida (PC).
podemos simplemente ignorarmásriesgo, dado que el abundantes y no
Las amenazas son cada día el sofisticadas y más impacto de un
incidente puede ser muy elevado y afectar gravemente al negocio. de un
podemos simplemente ignorar el riesgo, dado que el impacto
incidente puede ser muy elevado y afectar gravemente al negocio.
•La principal diferencia es que el panorama de amenazas
La seguridad y la gestión del riesgo en TI no es tarea sólo de TI, es
asíLa seguridad “know-how” riesgo en creadores de respecto y
como el toda la organización los concienciada al malware
importante que y la gestión del
de esté TI no es tarea sólo de TI, es
actual cuentan toda la organizacióndeaños de evolución y lay
que exista un que también por parte esté Dirección.
importante liderazgo claro con 30 La concienciada al respecto
historia tiende a repetirse.por parte de La Dirección.
que exista un liderazgo claro
Los controles organizativos: formación, organización de la seguridad,
son más efectivos que los técnicos con un organización de la seguridad,
Los controles organizativos: formación, coste reducido.
•Por tanto, todosque los técnicos con un coste reducido.
son más efectivos los actores implicados: fabricantes de
dispositivos, centros de investigación, operadores,
usuarios y empresas, debemos colaborar de forma
conjunta para proporcionar soluciones completas que
aporten seguridad y confianza en el uso de dispositivos
en movilidad.
29

30. ¿Preguntas?
Las amenazas son cada día más sofisticadas y más abundantes y no
podemos simplemente ignorar el riesgo, dado que el impacto de un
incidente puede ser muy elevado y afectar gravemente al negocio.
La seguridad y la gestión del riesgo en TI no es tarea sólo de TI, es
importante que toda la organización esté concienciada al respecto y
que exista un liderazgo claro por parte de La Dirección.
Los controles organizativos: formación, organización de la seguridad,
son más efectivos que los técnicos con un coste reducido.
30

31. ¡Muchas gracias por su atención!
Mila esker zuen arretagatik!