El mercado de la seguridad online está inmerso en un continuo de cambio estructural, del que este blog ha dado cuenta con frecuencia. Pese a ello, la herramienta que durante dos décadas ha servido para proteger a los usuarios, sobrevive en su esencia. El software se va mutando en servicios, pero hay algo que no cambia, la conciencia de que los problemas de seguridad se originan mayormente en el descuido de los usuarios, por lo que las licencias de antivirus siguen siendo el único modelo viable para dar una protección sólida. En una visita a la sede de la empresa ESET, en Bratislava, sus directivos han destacado el giro que estos problemas están dando hacia las empresas, impulsado por la multiplicación de dispositivos móviles.
Año tras año, la industria y tras ella los medios, proclaman que el siguiente será «el año en el que las infecciones del malware para móviles serán explosivas», y año tras año el presagio se posterga. Ignacio Sbampato, director de marketing de ESET, afirma categóricamente que 2014 no será el año de la explosión. Lo que no quita gravedad al problema, que es real pero Sbampato matiza según se trate de una u otra de las plataformas que dominan el mercado de los móviles y las tabletas.
Por un lado, iOS tiene su propio sandbox, lo que implica que no permite penetrar en el sistema operativo a través de una API. En un iPhone «liberado», hay subterfugios posibles, pero desde luego no son recomendables porque el dispositivo queda desguarnecido frente a los ataques del malware. La circunstancia, y la naturaleza cerrada del entorno de Apple, explican que esos casos sean menos frecuentes que en Android. Este sistema operativo es abierto, pero no permite el análisis de su acceso a la red, de modo que no se puede instalar un cortafuegos como sería de rigor en un PC. Según Sbampato, el número de malware para Android ha alcanzado magnitudes de seis cifras, aunque matiza que se contabilizan como «firmas» lo que no son sino nuevas versiones de una familia de virus. En consecuencia, el fenómeno existe pero no es tan explosivo como se dice, según el director de marketing de ESET. En consecuencia, cree que si bien tiene sentido alertar sobre esos riesgos, no lo tiene hacer de ello el eje de su marketing.
La visita a Bratislava permitió apreciar que esta empresa aporta una perspectiva peculiar en el segmento de mercado de los antivirus. En primer lugar, por su origen geográfico: fue fundada en 1992 en lo que entonces se llamaba Checoslovaquia, donde también nacieron Avast y AVG, pero tras la partición en dos estados, estas dos quedaron del lado checo de la frontera y ESET se mantuvo en la capital eslovaca. Es curioso, o quizá no lo sea tanto, que los países del extinto Pacto de Varsovia hayan sido propicios a la creación de empresas de seguridad inmediatamente después de la caída de sus regímenes. Muchos especialistas formados en criptografía que habían trabajado para la seguridad gubernamental, encontraron un modo de vida en la creación do empresas especializadas, y el caso más notorio es la rusa compañía rusa Kaspersky Labs, que hoy es la cuarta del ranking mundial. Otras, la mayoría, se han atrincherado en sus mercados locales.
ESET, que empezó su andadura en los 90 vendiendo un antivirus llamado NOD32, se ha globalizado, y actualmente comercializa sus productos en Europa, Estados Unidos y América Latina. Cuenta con 900 empleados, y en 2012 facturó 320 millones de euros, un 58% a empresas y el resto a consumidores. En opinión de Sbampato, esta proporción corresponde a la tendencia del mercado en los últimos años, que ha llevado a ESET a «refrescar su marca». El uso de dispositivos personales para usos profesionales es el mayor quebradero de cabeza para el sector, y por tanto no extraña que tanto ESET como sus competidores adviertan que a menudo el riesgo está más en la inconsciencia de los usuarios. Pero las amenazas existen, aunque esta industria tiende a abusar de los mensajes de alerta como mecanismo de marketing, en un – no está claro si eficaz o no – intento de cambiar el comportamiento de aquéllos.
Puede que algunos usuarios se hayan resignado a la impotencia ante las amenazas, a la vista de la impunidad con la que opera el espionaje electrónico. En realidad, deberían extremar sus precauciones y tomar en serio la vigencia del software antimalware. Una tipología de las amenazas actuales revela que el spam es el único fenómeno de hardware del que se puede decir que está controlado, no así el phishing, que se reinventa continuamente. Las redes sociales son uno de los principales vectores por los que las amenazas se expanden, pero no por mucho insistir en ello se ha conseguido que los usuarios modifiquen sus malos hábitos. Un reportaje reciente ha revelado que es posible (y, lo peor, frecuente) comprar 1.000 cuentas falsas de Twitter por 60 dólares, una práctica que puede parecer inocente pero que distorsiona el mercado del marketing online.
ESET cuenta con una herramienta gratuita en Facebook que impide al usuario ingenuo hacer clic en determinados enlaces y, de paso, monitoriza el uso de esta red social, lo que tiene dos ventajas apreciables: obtiene información útil para su inteligencia, y aumenta su visibilidad. El acceso al malware no está realmente tan oculto como se creé.
Puesto que el contagio se produce a través de Internet, cabe pensar que el antivirus tradicional, instalado en un equipo, está pasado de moda, pero la protección está supeditada a la conexión y, por ello, la seguridad que ofrecen algunos proveedores de servicio siempre deberá compatibilizarse con un software que funcione localmente, explica Sbampato. Este es el momento en que todas las compañías informáticas importantes, como HP, hablan de seguridad o compran empresas para estar a la última en ese mercado, como Cisco.
Los virus convencionales ya no necesitan de «organismos anfitriones»: esta visión, que en su día se tomó prestada de la biología, ha dejado paso a la inquietud por el modo de propagación de las infecciones. Uno de ellos son los ficheros ejecutables, muy difíciles de controlar por su capacidad de extensión a otros dispositivos – especialmente a través de USB – que los usuarios en general replican con demasiada alegría. La captura de datos o el robo de dinero son sus propósitos directos. Luego hay otro nivel, pudorosamente llamado «potencialmente inseguro», en el que el daño se traduce en información que el raptor podrá vender en el mercado negro para propósitos publicitarios, en principio no delictivos pero sí intrusivos.
ESET tiene decidido afrontar los nuevos retos. Por un lado, añadiendo funcionalidades para las empresas y menos para el consumo (lo opuesto a los tiempos iniciales de la compañía) pero al mismo tiempo compactando las capas del antivirus para hacer que el producto sea más liviano. En realidad, el mercado de consumo está creciendo poco, lo que lleva a que el ritmo sea de algo menos del 10%, en un mercado global que IDC estima en unos 7.400 millones de dólares – en el que ESET es el quinto de la tabla, con un 4% de cuota – se salva sobre todo gracias a la inversión de las empresas en antivirus. Cuando este blog preguntó a Sbampato qué quieren los clientes empresariales de ESET, respondió sin vacilar: «control de dispositivos, navegación segura e identificación continua de las nuevas amenazas».
En los planes de las empresas, explica, no entra la sustitución de portátiles por tabletas, sino que las ven – y a los smartphones – como complementos. Esto ha propiciado que se hable de lonely point en lugar de endpoint, pero la realidad es que se tiende a que el perfil corporativo, aunque esté en el dispositivo personal, se pueda administrar desde el departamento de TI. Esta preocupación de las empresas es comprensible si se tiene en cuenta la facilidad con la que florecen las amenazas en entornos móviles como Android, dentro y fuera de Google Play. Con lo que la conversación vuelve al segundo párrafo de esta crónica.
[informe de Pablo G.Bejerano]