Según las encuestas, el 94% de los usuarios no tiene protegido su móvil contra malware. O no lo sabe. La realidad parece darles la razón: sólo se han identificado unos 500 códigos maliciosos para móviles, muy pocos; si no han aparecido más se debe, según Eugene Kaspersky, a que no hay un sistema operativo dominante. Otra razón es que no se ha conformado un mercado clandestino comparable al que funciona, y cómo, para el malware que infecta los ordenadores. Kaspersky opina que fabricantes y operadores tratan de “no dramatizar el problema, pero me consta que colaboramos con ellos en asuntos de seguridad en sus sistemas”. Pero el eslabón débil son los usuarios.
Eugene Kaspersky
Recuerdo que hace un año me dijo que la delincuencia informática existe porque es más rentable que atracar un banco, y explotar un código es menos peligroso que empuñar una pistola. Si a esto lo podemos llamar modelo de negocio, ¿por qué resiste y prospera?
Porque es muy eficiente. Ninguno de los componentes del ecosistema del malware está presente en todos los puntos de esta cadena de valor, y no le sorprenda la expresión. Unos diseñan el código, otros lo mercadean en un mercado opaco, una tercera línea lo alquila a quienes se dedican a contaminar ordenadores, lo que a su vez permite a otros lucrarse con la estafa. En medio, los que blanquean el dinero por cuenta ajena. Todo muy bien montado, pero no se puede decir que exista una organización estructurada.
O sea, ¿a un lado los delincuentes, al otro los vigilantes?
Lo veo más bien como un cuadrado. En uno de sus lados están los delincuentes y en el opuesto las víctimas; en otro, las empresas de seguridad, que compiten y colaboran entre sí, y la figura se cierra con la policía, constantemente desbordada. Pero el público sólo conoce una parte menor de los delitos, los que producen ruido mediático: la verdad es que la mayoría de las víctimas ni siquiera denuncian lo ocurrido.
Por lo que se ha publicado, las empresas de antimalware han seguido creciendo a pesar de la crisis…
Es lógico, nadie puede bajar la guardia. En nuestro caso, hemos seguido creciendo, aunque no a la misma velocidad de años anteriores. No hemos recortado nuestro presupuesto ni nuestros planes de desarrollo.
¿Se refiere a la expansión geográfica?
El nivel de cobertura que tenemos es muy amplio; ahora vamos a iniciar las operaciones en Japón. Pero estamos en Estados Unidos, América Latina, Oriente Medio, en todos los países europeos. También quiero decir que somos fuertes en el segmento del consumo, pero tenemos mucho que hacer en el mercado corporativo. Las empresas tienden a ser más conservadoras: mientras un usuario individual cambia así [chasca los dedos], para una empresa es complicado cualquier proceso de migración. Somos tenaces, y tenemos un plan muy serio para corregir esa debilidad nuestra.
Hay un fenómeno nuevo, el malware para móviles. ¿Es grave?
Como mínimo, es creciente, pero no hay mucho dinero en juego, y esto hace que alguna gente le preste poca atención. Durante 2009, nuestro equipo identificó 106 familias y 514 modificaciones de malware para dispositivos móviles, el triple que en 2008.
¿Se preparan ataques masivos?
No hay casos comparables a los que hemos visto muy recientemente en los PC. Pero si el malware existe, quiere decir que la posibilidad existe. La aparición de códigos maliciosos que conectan móviles con servidores remotos ha sido una de las alarmas del año pasado, y lo es en lo que llevamos de 2010. Más que un desarrollo de las técnicas de diseño del malware, está relacionada con la popularidad de los smartphones y con la capacidad de acceso vía WiFi. Esto anticipa la creación de botnets de móviles infectados.
¿Por qué hay tan pocos ataques de virus contra usuarios de móviles?
Por su escasa trascendencia económica, en los móviles no se mueven sumas importantes que atraigan a los delincuentes. Pero esto va cambiando: la extensión de Internet a los móviles conlleva riesgos evidentes y, como he dicho, los creadores de malware perfeccionan sus armas. La mayoría de los troyanos conocidos se usan para enviar SMS a ciertos números que recaudan dinero al menudeo, lo que normalmente se puede cargar sobre una tarjeta prepago.
¿…desproporción entre los medios de ataque y los resultados?
Eso es. Y como el mercado de los móviles está muy atomizado, mayor es la desproporción.
Se puede deducir que el antivirus para móviles de su empresa [Kaspersky Mobile Security 9] va a tener poco mercado […]
La necesidad crea el mercado. En esto, somos como los bomberos: sabemos que un día habrá fuego, pero no sabemos dónde ni cuándo; lo que tenemos que hacer es prepararnos y estar atentos.
Siguiendo su metáfora, un buen incendio promovería la conciencia del riesgo.
Muchos usuarios pagan a los operadores para cubrirse de las consecuencias del robo o pérdida de su móvil, lo que ya revela un cierto grado de conciencia. No tan alto, todavía, como el que existe en relación con los portátiles, pero un móvil es mucho más fácil de robar y de extraviar […] con todo su contenido. Creo que mientras la banca móvil no alcance el desarrollo que prevén los estudios de mercado, el dinero que puede robarse no es mucho, pero si el smartphone está sincronizado con un sistema corporativo, algo muy corriente, por esta vía se puede colar un código malicioso con el fin de apropiarse de información de valor.
Entonces, si el mercado es poco importante, ¿por qué entrar ahora?
No entramos ahora: llevamos varias versiones. Entramos en este mercado porque, si bien es por ahora un nicho, estamos convencidos de que la delincuencia le dedica mucha atención. Por lo tanto, tenemos que estar ahí, donde están ellos. La buena noticia para nosotros es que la mayoría de los competidores no están, y no porque no les interese, sino por consideraciones empresariales distintas a las nuestras.
¿Por qué un producto específico en lugar de embeber funciones de seguridad como un servicio en el móvil?
No estamos en contra de llegar a acuerdos con los proveedores de servicio; de hecho, tenemos varios. De todos modos, nunca es posible tener una solución segura al 100% que cubra el 100% del mercado. Usted sabe que cada automóvil tiene una llave distinta, y sin embargo, todo delincuente avezado sabe cómo abrir un coche sin necesidad de llave.
Hay distintos sistemas operativos para smartphones, cinco o seis por lo menos. ¿Unos son más peligrosos que otros? ¿O más seguros que otros?
Piense en el mundo de los PC. Poca gente recuerda que en los años 80 hubo cinco DOS, y que cuando Microsoft lanzó Windows, la lista se redujo a este y OS/2. Se impuso la compañía que mejor supo sellar su propia comunidad, y que dedicó esfuerzo e inversión para desarrollar software que funcionara con ese sistema específico. Hoy, muchos años después, Windows es la plataforma más atacada, por ser la más extendida, pero esto no significa que Mac o Linux sean menos vulnerables, sino que son minoritarias, por lo que resultan menos rentables para los malhechores. Ahora mire lo que pasa con los móviles: todos son vulnerables ante un ataque. Los sistemas operativos no se distinguen por ser intrínsecamente más o menos seguros, sino por el control sobre las aplicaciones.
De modo que ¿cuánto más cerrado sea un sistema, menos peligroso?
Depende de lo que usted entienda por cerrado. Los fabricantes podrían actuar como Apple con el iPhone, o como RIM con BlackBerry. No conocemos ningún malware que sea capaz de atravesar las barreras de los servidores de BlackBerry, aunque se ha difundido una prueba de concepto que no llegó a más, lo que significa que lo están buscando. Uno puede asumir que el iPhone es seguro, pero justamente por esto hay tanta gente tratando de reventarlo para descargar aplicaciones sin pasar por la tienda de Apple, y le aseguro que muchos lo consiguen.
Su nuevo producto funciona con Symbian y Windows Mobile, pero no con el iPhone.
Técnicamente, podría funcionar con cualquier sistema, y la prueba es que vamos a añadir Android. Pero, aunque quisiéramos, no podríamos lanzar una solución de seguridad para el iPhone mientras Apple no nos facilite el SDK. Que no nos den su permiso, no significa que sea más seguro.