Pagos móviles: las graves vulnerabilidades que ponen en riesgo tu dinero

Solía pensar que las aplicaciones de pago móvil eran seguras. Millones de personas las usan a diario, los bancos las respaldan y ofrecen cifrado y tokenización. Parecía un sistema robusto.

Me equivoqué. Cuando investigué, descubrí una verdad sorprendente: las aplicaciones a las que confiamos nuestro dinero a menudo ocultan graves debilidades que la mayoría de los usuarios ni siquiera notan.

Las aplicaciones de pago móvil son herramientas digitales que permiten a los usuarios realizar transacciones financieras con un teléfono inteligente. Operan en todo el mundo, conectando a consumidores, comerciantes y bancos, y se basan en tecnologías como la comunicación de campo cercano (NFC), los códigos QR y los servicios en la nube.

En 2023, las transacciones globales de pago móvil alcanzaron los 8,7 billones de dólares, según Statista, lo que representó un aumento del 15% respecto al año anterior. Este crecimiento masivo no solo significa más usuarios, sino que también crea un blanco más atractivo para los ciberdelincuentes. Mi investigación comenzó con este mercado en rápido crecimiento, ya que quería entender lo seguro que era en realidad.

Cuanto más investigaba, más veía la complejidad de estos sistemas, lo que crea muchas oportunidades para los atacantes. Desarrolladores, procesadores de pagos e incluso los usuarios, todos influyen en la seguridad. Mi perspectiva cambió de la confianza ciega a un escepticismo cauteloso.

Las debilidades que encontré

Un estudio de 2022 realizado por Positive Technologies reveló algo preocupante: el cuarenta por ciento de las aplicaciones móviles probadas, incluidas las de pago, contenían debilidades graves. Este hecho modificó mi percepción de forma considerable.

Una categoría importante de fallos proviene de las debilidades del lado del cliente, que residen directamente en el dispositivo del usuario. Muchas aplicaciones almacenan datos sensibles de forma insegura, lo que podría incluir detalles de tarjetas de pago o números de identificación personal (PIN). Si un teléfono se ve comprometido, estos datos se vuelven fácilmente accesibles. De hecho, la investigación del Top 10 móvil del Open Web Application Security Project (OWASP) suele señalar el almacenamiento inseguro de datos como un riesgo significativo.

También encontré problemas con la forma en que las aplicaciones manejan la autenticación. Algunas utilizan PIN débiles o permiten ataques de fuerza bruta sencillos, mientras que otras no implementan una autenticación de dos factores adecuada. Esto deja las cuentas de usuario expuestas a accesos no autorizados. El NIST, por ejemplo, afirma que una autenticación multifactor sólida es esencial.

Mi investigación también descubrió debilidades del lado del servidor y de la API. Las aplicaciones móviles se comunican con los servidores backend a través de interfaces de programación de aplicaciones (API), y estas a menudo están mal protegidas o carecen de controles de autorización adecuados. Un atacante podría explotar estas brechas para acceder a datos de usuario o manipular transacciones. Troy Hunt, el investigador de seguridad detrás de “Have I Been Pwned”, suele señalar las configuraciones incorrectas de la API y afirma que son una vía común para las filtraciones. Esto me sorprendió, ya que me había centrado mucho en el propio dispositivo.

Troy Hunt es un experto en seguridad web australiano y el creador de 'Have I Been Pwned', un servicio gratuito que permite a cualquiera verificar si sus datos personales han sido comprometidos en una filtración de datos. Con frecuencia destaca las configuraciones incorrectas de la API como una vulnerabilidad crítica, un punto que se hace eco en el análisis de las debilidades de las aplicaciones de pago móvil. (Fuente: vpnmentor.com)

Otro problema común es la gestión inadecuada de sesiones. Una vez que un usuario inicia sesión, su token de sesión podría no caducar correctamente o ser vulnerable al robo. Esto permite a un atacante secuestrar una sesión de usuario activa y, posteriormente, realizar compras o acceder a los detalles de la cuenta. Este tipo de debilidad aparece regularmente en los informes de pruebas de penetración.

Finalmente, analicé las amenazas relacionadas con la red. Los usuarios a menudo se conectan a redes Wi-Fi públicas que, con frecuencia, no están protegidas. Esto las hace vulnerables a ataques de intermediario (MitM), donde un atacante puede interceptar los datos transmitidos entre la aplicación y su servidor para robar credenciales o información de pago. ESET, una empresa de ciberseguridad, alerta con frecuencia sobre los riesgos de usar Wi-Fi público para transacciones sensibles, un riesgo que muchos usuarios simplemente pasan por alto.

Desafíos sistémicos más allá del código

El fraude financiero derivado de los pagos móviles costó a los consumidores un estimado de 12 mil millones de dólares en 2023. La Comisión Federal de Comercio informó esta elevada cifra, que muestra problemas más grandes y sistémicos, y que se extienden más allá de los meros errores técnicos de codificación.

Un desafío importante es la constante presión de los ciclos de desarrollo rápidos. Los desarrolladores a menudo priorizan nuevas funciones y la velocidad de comercialización, lo que puede hacer que las pruebas de seguridad se conviertan en algo secundario. Esto lleva a implementaciones apresuradas con una revisión insuficiente. La Dra. Jessica Barker, experta en ciberseguridad, suele hablar de la lucha entre la velocidad y la seguridad, y afirma que esta presión a menudo compromete la seguridad básica.

También observé grandes lagunas en las regulaciones y en cómo se aplican. Las regulaciones de ciberseguridad varían ampliamente entre regiones. Si bien el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) proporciona una base para los datos de tarjetas, muchos sistemas de pago móvil implican más que solo datos de tarjetas, y los nuevos métodos de pago a menudo quedan fuera de las reglas existentes. Esto crea un mosaico de requisitos de seguridad. La Autoridad Bancaria Europea (EBA) ha trabajado en directrices más estrictas, pero las reglas globales consistentes todavía no son una realidad.

El cambio constante en las amenazas hace las cosas aún más difíciles. Los ciberdelincuentes adaptan constantemente sus métodos y surgen nuevos vectores de ataque, lo que significa que lo que era seguro ayer podría ser vulnerable mañana. Por ejemplo, el aumento de campañas de phishing sofisticadas dirigidas a usuarios móviles hace que incluso las aplicaciones bien protegidas sean riesgosas, ya que un usuario podría conceder acceso a su cuenta sin saberlo. Mandiant, una empresa de inteligencia de amenazas, siempre monitoriza la evolución de los ataques y muestra con qué rapidez pueden aparecer nuevas amenazas.

Las redes Wi-Fi públicas, comunes en cafeterías y aeropuertos, con frecuencia no están protegidas, lo que las convierte en objetivos principales para ataques de intermediario (MitM) donde los atacantes pueden interceptar datos sensibles como información de pago. (Fuente: beambox.com)

Lo que realmente me sorprendió fue la gran escala de este problema, que el público en general a menudo subestima. Asumen que sus billeteras digitales son tan seguras como las físicas, una suposición peligrosa. La complejidad de los sistemas de pago modernos significa que la seguridad no se trata solo de un candado fuerte, sino de asegurar cada posible grieta.

Qué podemos hacer: reducir los riesgos

La implementación de la autenticación multifactor (MFA) ha demostrado ser muy efectiva, reduciendo el fraude de apropiación de cuentas en más del 99%, según Microsoft. Este paso sencillo ofrece una defensa sólida, ya que requiere que los usuarios verifiquen su identidad de múltiples maneras.

Para los usuarios, mantenerse alerta es clave. Utilice siempre contraseñas robustas y únicas para las aplicaciones de pago, y habilite la autenticación de dos factores siempre que sea posible. Actualice regularmente sus aplicaciones y sistema operativo, ya que estas actualizaciones a menudo incluyen parches de seguridad críticos. Sea extremadamente cauteloso con los mensajes o llamadas no solicitados que pidan detalles de pago y nunca realice transacciones financieras a través de redes Wi-Fi públicas no seguras.

Los desarrolladores tienen una gran responsabilidad: deben incorporar la seguridad desde el principio. Esto significa adoptar prácticas de codificación seguras, realizar auditorías de seguridad regulares y pruebas de penetración, que son esenciales. El modelado de amenazas ayuda a identificar posibles vectores de ataque con antelación. Adherirse a estándares como OWASP MASVS (Mobile Application Security Verification Standard) proporciona una guía sólida. También deben implementar un cifrado robusto para todos los datos sensibles, incluyendo datos en reposo y en tránsito.

Las instituciones financieras y los proveedores de pago también deben tomar más medidas. Necesitan sistemas robustos de detección de fraude que puedan identificar patrones de transacciones sospechosas. Los planes claros de respuesta a incidentes son esenciales para asegurar una acción rápida si ocurre una filtración. Educar a los usuarios sobre estafas comunes y mejores prácticas de seguridad también es fundamental. La Autoridad de Conducta Financiera (FCA) del Reino Unido, por ejemplo, destaca la importancia de la educación del consumidor en la lucha contra el fraude.

Mi investigación cambió mi perspectiva. Ahora creo que un enfoque de múltiples capas es esencial, ya que ninguna solución única asegurará los pagos móviles. Requiere la cooperación entre usuarios, desarrolladores e instituciones.

Preguntas frecuentes

¿Son todas las aplicaciones de pago móvil igualmente vulnerables? No. Las aplicaciones principales de bancos o empresas tecnológicas establecidas a menudo tienen más recursos e invierten mucho en medidas de seguridad. Las aplicaciones más pequeñas o nuevas, sin embargo, podrían tener más debilidades.

La autenticación multifactor (MFA) es una medida de seguridad crítica que requiere que los usuarios verifiquen su identidad de múltiples maneras, como una contraseña y una huella digital o un código de un solo uso. Según Microsoft, implementar MFA puede reducir el fraude de apropiación de cuentas en más del 99%, lo que la convierte en una defensa altamente efectiva contra las vulnerabilidades de los pagos móviles. (Fuente: saaspass.com)

¿Cuál es la mayor amenaza para mis pagos móviles? El error humano, como caer en estafas de phishing, es una amenaza importante. Las redes Wi-Fi inseguras y las aplicaciones desactualizadas también suponen un riesgo considerable. Los atacantes a menudo apuntan al eslabón más débil.

¿Pueden los datos biométricos realmente asegurar mis transacciones? Los datos biométricos, como la huella dactilar o el reconocimiento facial, ofrecen una gran comodidad y añaden una capa de seguridad. Sin embargo, no son infalibles y pueden ser eludidos en algunos casos.

¿Qué debo hacer si mi aplicación de pago se ve comprometida? Contacte inmediatamente a su banco o proveedor de pagos, cambie la contraseña de su aplicación, supervise sus cuentas en busca de transacciones no autorizadas e informe el incidente a las autoridades pertinentes.

El camino a seguir: mantenerse seguro

La Directiva NIS2 de la Unión Europea, efectiva a partir de octubre de 2024, amplía los requisitos de ciberseguridad y cubre a los proveedores de servicios digitales, incluidas las plataformas de pago. Esto demuestra una creciente conciencia global sobre la necesidad de una seguridad más robusta, y las regulaciones seguirán evolucionando.

Las nuevas tecnologías introducirán nuevos desafíos de seguridad. La inteligencia artificial (IA) puede mejorar la detección de fraudes, pero también puede ser utilizada por los atacantes para estafas más sofisticadas. La computación cuántica, aunque todavía lejana, podría acabar rompiendo los estándares de cifrado actuales. Necesitamos innovación constante para mantenernos a la vanguardia.

El futuro de los pagos móviles exige una alerta constante. La seguridad no es una solución única, sino un proceso continuo de adaptación y defensa. Debemos permanecer curiosos y críticos, y no podemos permitirnos ser complacientes.

Las computadoras cuánticas, a menudo con distintivos refrigeradores de dilución como este, operan a temperaturas extremadamente bajas para mantener estados cuánticos delicados. Aunque todavía están en desarrollo temprano, su potencial para eventualmente romper los estándares de cifrado actuales plantea un desafío futuro significativo para la seguridad de los pagos móviles. (Fuente: reddit.com)

---

También te puede interesar:

👉 Cientos de fallos de seguridad: por qué actualizar tu dispositivo es vital

👉 WannaCry: El ciberataque de 2017 que puso de rodillas al NHS

👉 Futuros Sostenibles: Inversión, Ciberseguridad y Futuro del Trabajo