Un estudio realizado por los expertos del equipo de Kaspersky Security Assessment ha identificado las vulnerabilidades más peligrosas y generalizadas en las aplicaciones web corporativas desarrolladas internamente. Entre 2021 y 2023, se encontraron defectos relacionados con el control de acceso y la protección de datos en la mayoría de las aplicaciones examinadas, con un total de varias docenas. El mayor número de vulnerabilidades de alto riesgo fueron las inyecciones de SQL.

Las aplicaciones web corporativas como redes sociales, correo electrónico y los servicios online son páginas web donde los usuarios interactúan con un servidor a través de un navegador. El último estudio de Kaspersky investigó las vulnerabilidades en estas aplicaciones utilizadas por empresas de TI, seguros, telecomunicaciones, criptomonedas, comercio electrónico, atención médica y gobiernos para identificar los tipos de ataques más frecuentes que les ocurren a las empresas1.

Las vulnerabilidades más destacadas involucraban el potencial de uso malicioso de fallos de control de acceso, así como en la protección de datos confidenciales. Entre 2021 y 2023, el 70% de las aplicaciones examinadas en el estudio mostraron debilidades en estas categorías.

Cuando una vulnerabilidad rompe el control de acceso, los atacantes intentan eludir las políticas de la página web que limitan los permisos autorizados de los usuarios. Esto puede dar lugar a un acceso no autorizado y alterar o eliminar datos, entre otros aspectos. El segundo fallo más común registrado, es la exposición de información confidencial como contraseñas, detalles de tarjetas de crédito, registros médicos, datos personales e información empresarial confidencial, lo que destaca la necesidad de mayores medidas de seguridad.

“La calificación se llevó a cabo teniendo en cuenta las vulnerabilidades más comunes en las aplicaciones web desarrolladas internamente en varias empresas y su nivel de riesgo. Por ejemplo, una de estas vulnerabilidades podría permitir a los atacantes robar datos de autenticación de usuarios, mientras que otra podría ayudar a ejecutar código malicioso en el servidor, cada uno con distintos grados de consecuencias para la continuidad y la resiliencia del negocio. Así lo reflejan nuestras clasificaciones basadas en la experiencia práctica del equipo en la realización de proyectos de análisis de seguridad”, explica Oxana Andreeva, experta en seguridad del equipo de Kaspersky Security Assessment.

Asimismo, los expertos de Kaspersky analizaron el peligro que suponen estos defectos en las empresas mencionadas anteriormente. Según el estudio, la mayor proporción de vulnerabilidades que representan un alto riesgo estaban asociadas con inyecciones SQL, concretamente, el 88% de todas las vulnerabilidades de inyección SQL analizadas se consideraron de alto riesgo. Por otra parte, los analistas encontraron otro fallo importante vinculado con las contraseñas débiles utilizadas por parte de los usuarios, con un total del 78% de vulnerabilidades clasificadas como de alto riesgo. Según el equipo de Kaspersky Security Assessment, tan solo el 22% de todas las aplicaciones web estudiadas tenían contraseñas débiles. Esto puede deberse a que las aplicaciones incluidas en la muestra del estudio se realizaron en sistemas reales, no en versiones de prueba.

Corregir las vulnerabilidades encontradas en las aplicaciones web ayudará a las empresas a proteger los datos confidenciales y evitar comprometer a estas apps, así como a los sistemas relacionados. Para mejorar la seguridad y detectar posibles ataques, el equipo de Kaspersky Security Assessment recomienda:

    Utiliza un software seguro, como Secure Software Development Lifecycle (SSDLC).
    Realiza evaluaciones periódicas de seguridad en las aplicaciones.
    Usa mecanismos de registro y monitorización para rastrear el funcionamiento de las aplicaciones.

Para profundizar más en el estudio, visita la web de Securelist. Las vulnerabilidades descritas en la investigación se alinean con las categorías y subcategorías de la clasificación Top Ten de OWASP.