I device mobili e le app per il business hanno la potenzialità di ottimizzare i processi di lavoro in svariati ambienti e contesti, sia in ufficio sia in mobilità, ma nascondono in realtà anche gravi insidie e minacce per la diffusione di dati sensibili: è quanto afferma Appthority nel suo nuovo “Mobile Enterprise Threat Report”, la quale lancia anche un monito alle organizzazioni illustrando quali siano le problematiche a cui prestare la massima attenzione.
Le app inviano dati oltre i confini nazionali
Appthority sostiene che le app business possono inviare dati all’esterno delle aziende mettendo a repentaglio informazioni sensibili: per giungere a queste conclusioni, i loro ricercatori hanno analizzato il grado di sicurezza e i comportamenti rischiosi di oltre tre milioni di applicazioni, valutando le modalità in cui questi rischi incidono effettivamente sulle organizzazioni.
Quando normalmente si pensa alle applicazioni business da utilizzare in azienda, si legge nel report, si tengono in conto solo i dati scambiati tra l’app in questione e i server aziendali. Il problema sorge nel momento in cui (come avviene la maggior parte delle volte) le applicazioni comunicano con server per i servizi pubblicitari o con framework aggiuntivi di terze parti: questo meccanismo tende a creare un sistema per cui i dati si diffondono verso l’esterno, anche superando confini nazionali, nella totale inconsapevolezza del personale.
I servizi cloud, per loro stessa natura, implicano un approccio per il quale non si conosce mai con certezza la posizione geografica dei propri dati: anche per questo l’utilizzo di informazioni sensibili con le app comporta un rischio non ignorabile, tanto più che il quadro giuridico per la governance dei dati che ruota intorno al settore del cloud computing è ancora incerto e poco definito. La ricerca ha rilevato, infatti, che le principali applicazioni iOS inviano dati in 92 diversi paesi, mentre le principali di Android si “limitano” a “soli” 63 paesi.
L’uso delle librerie di terze parti e app store che non controllano
La causa più diffusa nell’aumento della vulnerabilità delle app è l’affidarsi eccessivamente alle librerie di terze parti: molto frequentemente gli sviluppatori di app si ritrovano con brevi scadenze e budget risicati, il che rende l’uso di librerie esterne e l’utilizzo di Software development kit (SDK) di altre società una comoda soluzione.
Per quanto comodo però, questo sistema porta a una maggiore vulnerabilità; come se non bastasse, a peggiorare le cose ci pensano i principali app store che passano la maggior parte del loro tempo a ispezionare i propri server per identificare malware e violazioni ai termini delle condizioni contrattuali, piuttosto che impiegarlo nell’analizzare le vulnerabilità delle applicazioni aziendali da loro distribuite.
Il rischio di questi “falsi controlli” è che la percezione della sicurezza sia falsata: sia gli utenti sia le aziende credono che in questo modo le loro applicazioni siano già state esaminate, sottovalutando quindi l’importanza di un ulteriore controllo o, peggio, pensando addirittura che il proprio software sia completamente fuori pericolo.
Le App Zombie: una minaccia difficile da rilevare
Gli app store più utilizzati, come ad esempio Google Play, l’App Store di Apple, e il Microsoft Windows Store, non hanno alcun obbligo di notificare agli utenti quando revocano un app dal loro shop. Le ragioni della revoca possono variare dalle violazioni di copyright a gravi problemi di sicurezza o privacy scoperti dopo il rilascio di un aggiornamento. Neppure lo sviluppatore è obbligato a comunicare agli utenti quando avviene una revoca e nella maggior parte dei casi, anche se le applicazioni sono state rimosse dagli store, possono ancora essere trovate sui dispositivi degli utenti che l’hanno scaricata.
Si tratta di “App Zombie” facilmente attaccabili e molto vulnerabili a cui non vengono più inviati aggiornamenti: la pericolosità di questa falla nei processi di gestione delle app è evidente. Il numero di applicazioni identificate da Appthority rivela cifre allarmanti: il 100% delle imprese intervistate per la ricerca possiede “App Zombie” nei propri device, esponendosi a rischi che nemmeno sapevano di correre.
“La minaccia delle app zombie continua ad essere molto problematica per le aziende“, ha dichiarato Domingo Guerra, Presidente e co-fondatore di Appthority. “La soluzione per elimare questa minaccia in realtà è duplice: app store devono rivedere le proprie policy per includere un meccanismo di notifica per gli utenti finali della revoca di un’app; a loro volta gli utenti finali devono essere più informati sull’importanza di aggiornare sempre le proprie app”.
In conclusione, le aziende dovranno comprendere quali sono i reali rischi che portano le applicazioni per i device mobili, in particolare per quanto riguarda la diffusione di dati sensibili a terze parti: minacce simili non sono immediatamente percepibili (emblematico il caso delle “App Zombie”) e le organizzazioni dovranno farsene presto carico, prima che sia troppo tardi.
Facebook Comments