侵害が増え、問題が増える：サードパーティーアプリへの信頼の代償

No es ningún secreto que nuestra principal misión es hacer que el software y su desarrollo sean seguros; creados teniendo en cuenta la seguridad desde el principio de la producción. Nuestra visión establece un nuevo punto de referencia para la creación de software, en el que los desarrolladores cuentan con las habilidades y los conocimientos necesarios para detectar el código vulnerable durante el proceso de escritura y solucionarlo incluso antes de que se convierta en un problema.

Así que, teniendo esto en cuenta, puede que piense que estamos encantados de oír hablar de nuevas violaciones de datos, ciberataques y códigos explotados que afectan a empresas de todo el mundo; estos incidentes ciertamente ponen de manifiesto la necesidad de nuestro servicio en múltiples verticales. La verdad es que es bastante frustrante. Está claro que, como industria, estamos cometiendo los mismos errores una y otra vez, porque la mayoría de la educación en seguridad no es lo suficientemente sólida como para minimizar el riesgo y detener estas violaciones.

La última víctima de la violación de datos es Ticketmaster. Si te encuentras entre los miles de clientes afectados, habrás recibido un correo electrónico en el que se te notifica el incidente y que debes cambiar tu contraseña. Nadie espera que sus datos personales sean violados simplemente por comprar entradas para un concierto o un evento deportivo, y sin embargo aquí estamos.

Es una situación horrible para todos; perjudicial para la reputación de Ticketmaster y una experiencia de cliente francamente mala. Sin embargo, hay un problema: no fue del todo culpa suya.

La empresa utilizaba los servicios de una aplicación de atención al cliente de terceros de Inbenta Technologies. Ticketmaster UK descubrió que el producto contenía un código malicioso, lo que hizo que el cinco por ciento de los datos de sus clientes a nivel mundial se vieran comprometidos.

¿Y cómo consiguieron exactamente los hackers explotar este sistema? Manipularon una única línea de código JavaScript, personalizada por Inbenta Technologies para las necesidades de Ticketmaster. Según Inbenta, el código se utilizó en una página para la que no fue construido, y de haberlo sabido, lo habrían identificado como una vulnerabilidad de seguridad.

La vulnerabilidad en sí es esencialmente un problema de seguridad de la biblioteca de carga/almacenamiento de archivos, en el que una sola violación puede afectar a todos los sitios en los que se cargue el mismo código. El código puede ser modificado para recoger y redirigir datos personales a los atacantes, sólo para empezar. Se trata de un simple exploit con un potencial de daño de gran alcance, y es algo contra lo que estamos trabajando con una serie de ejercicios de formación en la plataforma para los desarrolladores.

Por supuesto, es prácticamente imposible dirigir un negocio sin depender de algunas aplicaciones de terceros. Sin embargo, no tienes ningún control sobre cómo construyen su software, y esencialmente cero visibilidad en la fuerza de seguridad de su código. Se convierte en un ejercicio de confianza. Si su socio externo es poco riguroso en sus prácticas de codificación segura, puede estar abriendo la puerta a una brecha en su empresa.

Entonces, ¿cuál es la solución? En pocas palabras: todos debemos hacerlo mejor. Debemos dejar de pensar en la seguridad como un obstáculo irritante en el camino de la innovación empresarial.

Es más fácil de lo que cree dotar a su equipo de desarrollo de las herramientas y los conocimientos adecuados para adoptar la seguridad y detener el código malicioso en su camino. Nos ha complacido ver que muchas de las empresas financieras, de telecomunicaciones, de venta al por menor y de tecnología más grandes y conocidas del mundo han adoptado este nuevo enfoque, pero no debería ser un dominio exclusivo de las empresas de la lista Fortune 100 el tomar medidas en materia de educación en seguridad. Todas las empresas que cuentan con desarrolladores entre su personal necesitan implementar la formación para ayudar a los equipos a codificar de forma segura.

El libro blanco recientemente publicado que escribí junto con nuestro CTO Matias Madou, muestra los beneficios de construir una cultura de seguridad en su organización. Detallamos por qué es la clave para desbloquear la innovación, mantenerse ágil y reducir el impacto financiero del código inseguro.

Encontrarás consejos como:

Cómo hacer que la formación en seguridad sea relevante y atractiva para los desarrolladores

Cómo enseñar a los desarrolladores a identificar y solucionar sus propios problemas

* Cómo ayudar a los desarrolladores a construir su propio código de forma segura.

Le invito a que descargue este recurso y lo utilice para defender la seguridad en su organización, desarrollar las habilidades de su equipo y estar a la vanguardia del establecimiento de un estándar de código más alto.

Debemos dejar de pensar en la seguridad como un obstáculo irritante en el camino de la innovación empresarial.