Bots maliciosos se infiltran en la entrega de alimentos en línea


Con la entrega de comestibles en mayor demanda que nunca, han surgido nuevos complementos para asegurar las máquinas tragamonedas para los consumidores, presentando una nueva vía para que los robots malos causen estragos.

En la nueva y extraña period de COVID-19, asegurar un espacio de entrega de comestibles a veces puede parecer una lotería. Casi tienes que pestañear para creer que es real cuando obtienes un puesto.

A medida que aumenta la demanda de compras de comestibles en línea, también lo hace la disponibilidad de nuevas extensiones de navegador para ayudar a los compradores a jugar con el sistema de entrega. En las últimas semanas, los desarrolladores han lanzado complementos que realizan funciones como escanear y alertar a los usuarios sobre los espacios de entrega, completar el pago y presentar inadvertidamente una vía para que los robots maliciosos recopilen información del usuario.

Esa última puede no ser la intención de desarrolladores bien intencionados que buscan ayudar a los compradores a obtener la comida que necesitan de manera oportuna, pero de acuerdo con Ido Safruti, cofundador y CTO de PerimeterX, estas extensiones presentan una serie de nuevos riesgos.

«Los compradores que buscan asegurar espacios de tiempo de entrega muy codiciados ahora tienen la opción de instalar extensiones de navegador o usar scripts para automatizar el proceso», dice Safruti. «A menudo realizan tareas más allá de lo que las instaló. Pueden estar infectadas o maliciosas, recolectando información de identificación individual para uso futuro o registrando pulsaciones de teclas para obtener contraseñas y números de cuenta que no desea compartir».

De hecho, dice, el aumento en la actividad bot ha sido noteworthy.

«Desde mediados de enero hasta mediados de marzo, la entrega de alimentos y comestibles experimentó un aumento del tráfico del 41%, tanto bueno como malo», dice. «El mal tráfico incluye bots maliciosos que ejecutan ataques que incluyen la toma de cuenta y el raspado de la Web. Hemos visto un aumento en el volumen de ataques y en la sofisticación de los ataques de bot en todos los sitios».

Este es un gran desafío para los propietarios de aplicaciones, que carecen de visibilidad de la actividad de terceros en el lado del cliente y que, en muchos casos, están ampliando las empresas de inicio que no anticipaban servir como líneas de vida en una pandemia international.

En un correo electrónico a Darkish Studying, un portavoz de Instacart advirtió que los servicios y extensiones independientes que ofrecen notificar a los clientes o asegurar las ventanas de entrega en su nombre de ninguna manera están afiliados o autorizados por la compañía. Los compradores no deben participar con estos servicios, de acuerdo con Instacart, especialmente aquellos que solicitan un nombre de usuario o contraseña de Instacart, o información de tarjeta de crédito. La compañía también hizo referencia a su propia «seguridad robusta», pero no especificó qué medidas se están tomando para protegerse proactivamente contra nuevos ataques.

Un portavoz de Amazon no respondió directamente al problema de las ranuras de entrega aseguradas por bot, pero dijo que en respuesta a la demanda de su servicio Amazon Clean, la compañía «expandió rápidamente la recolección de comestibles, aumentó la contratación, cambió las tiendas seleccionadas para cumplir exclusivamente con los pedidos de entrega y más.»

Amazon lanzará «en las próximas semanas … una función de colas que ofrece a los clientes un lugar virtual en línea para asegurar el tiempo para comprar y programar la entrega, lo que permite una distribución más equitativa de los plazos de entrega», dijo el portavoz.

Por supuesto, las extensiones de exploración de entrega no son el único desafío para estos servicios. Instacart recientemente corrigió una falla en su sitio world wide web que habría permitido a los atacantes enviar mensajes SMS que contienen enlaces maliciosos a cualquier número de teléfono móvil. Un investigador de seguridad descubrió la vulnerabilidad mientras usaba el servicio para comprar comida para perros.

Limpieza de aplicaciones

A medida que estas aplicaciones de entrega de comestibles funcionan para escalar para manejar la demanda imprevista, los expertos dicen que ahora deben tomar medidas para mejorar la seguridad y garantizar que los clientes no experimenten interrupciones en el servicio.

Jack Manning, CEO del proveedor de seguridad de aplicaciones nVisium, sugiere que «la lógica de negocios dentro de los flujos de pago y entrega debe probarse a fondo, así como garantizar que los usuarios no puedan darse un golpe preferencial en las listas de espera o negar a otros usuarios la capacidad de realizar pedidos».

El profesor William Kresse, de Governors Point out College, un experto en detección de fraudes que usa el apodo de Profesor Fraud, dice que las firmas de aplicaciones deberían combinar su código «línea por línea, y revisarlo con una mentalidad fraudulenta», para ver qué podría explotarse. .

Charles Ragland, ingeniero de seguridad en Electronic Shadows, recomienda la adhesión a marcos como PCI-DSS para servicios que procesan transacciones financieras. Y James McQuiggan, defensor de la conciencia de seguridad en KnowBe4, insta a la autenticación multifactor. «Se ha sabido que confiar en un nombre de usuario y contraseña para proteger la información personal y la identidad de sus clientes, que incluye nombres, direcciones e información de tarjetas de crédito, ha fallado en otras organizaciones en el pasado», dice.

En general, se trata de que estos desarrolladores de aplicaciones sean proactivos. Espere ver más ataques a los servicios de entrega a medida que las personas continúen confiando en que les entreguen comestibles, comidas, medicamentos y otros artículos esenciales a sus puertas. Ahora se gasta más dinero en alimentos y artículos para el hogar que en entretenimiento en vivo y otros campos previamente lucrativos para los piratas informáticos. Datos de Apptopia demostró que solo desde mediados de febrero hasta mediados de marzo, Instacart, Walmart Grocery y Shipt vieron aumentos repentinos en la descarga de aplicaciones del 218%, 160% y 124%, respectivamente.

«Los ciberatacantes siguen el dinero. A medida que más consumidores compran en línea y usan aplicaciones de entrega, los atacantes tienen más formas de ganar dinero», dice Safruti de PerimeterX. «Pueden hacerse cargo de las cuentas, crear cuentas fraudulentas, usar puntos de fidelidad y saldos de tarjetas de regalo, obtener precios competitivos, acumular productos codiciados o espacios de entrega, inyectar malware en las extensiones del navegador, o robar información de identificación individual en las páginas de pago».

«La naturaleza automatizada de estos ataques y sus altos niveles de sofisticación hacen que las aplicaciones de entrega sean extremadamente vulnerables», dice.

Aprenda de los expertos de la industria en un entorno propicio para la interacción y la conversación sobre cómo prepararse para eso «realmente mal día «en ciberseguridad. Haga clic para más información y para registrarse.

Contenido relacionado:

Nicole Ferraro es escritora, editora y narradora independiente con sede en la ciudad de Nueva York. Ha trabajado en b2b y medios tecnológicos de consumo durante más de una década, anteriormente como editora en jefe de World-wide-web Evolution y Foreseeable future Cities de UBM y como director editorial en The Webby Awards. … Ver biografía completa

Lectura recomendada:

Más ideas





Enlace a la noticia initial