Las aplicaciones web inseguras heredadas y abandonadas se encuentran entre los problemas críticos de seguridad que conducen a violaciones de datos de empresas de FT 500 de EE.UU. y la UE, como lo descubrió High-Tech Bridge, un proveedor de servicios de Pruebas de Seguridad de Aplicaciones (AST).

El estudio de High-Tech Bridge analizó las 1.000 compañías globales más grandes de los EE.UU. Y la UE para recopilar datos para su investigación, a través de un "descubrimiento a gran escala y evaluación no intrusiva de sus aplicaciones web y móviles externas, certificados SSL, software web y almacenamiento en la nube sin protección".

Hallazgos claves:

• El 70% de FT 500 tiene credenciales que se venden en Dark Web.
• El 92% de las aplicaciones web externas tienen fallas o debilidades de seguridad explotables.
• El 19% de las compañías tienen almacenamiento externo en la nube sin protección.
• El 2% de las aplicaciones web externas están debidamente protegidas con un WAF
• Todas las compañías tienen incumplimientos de GDPR

La investigación se basa en la información recopilada de los sistemas accesibles a través de los protocolos HTTP/S y no de los componentes de la red que podrían descubrirse con la ayuda de los motores de búsqueda de IoT, como Shodan.

Como lo descubrió High-Tech Bridge, las 500 compañías más importantes de los EE.UU. Tienen 293.512 sistemas accesibles a través de una conexión a Internet, de los cuales se ha encontrado que 42.549 sistemas con acceso a Internet ejecutan aplicaciones web activas con funcionalidad y contenido dinámicos.

Por otro lado, las empresas FT 500 de la UE tienen aplicaciones web en vivo en 22.162 máquinas con acceso a Internet de un total de 112.750 accesibles desde Internet.

Esto se traduce en que cada compañía estadounidense tiene aproximadamente 85,1 aplicaciones web que se ejecutan en un servidor con acceso a Internet y 44,3 de ellas para empresas de la UE, la mayoría de ellas sin controles de seguridad adicionales para limitar el acceso de posibles atacantes, así como sin dos. Soluciones de autenticación de factor.

Las aplicaciones web orientadas a Internet son un importante ataque vectorial utilizado para comprometer los servidores de las empresas FT 500 y robar datos

Además, "las empresas estadounidenses de esta investigación tienen solo el 2,94% de los servidores web con una calificación de "A" para la implementación y fortalecimiento de la seguridad, principalmente para los encabezados HTTP relacionados con la seguridad y la privacidad. La gran mayoría (76,9%) una calificación de "F" que falla" según el estudio de High-Tech Bridge.

Los servidores web de las empresas de la UE tienen índices de seguridad casi idénticos, con un 77,4% de ellos obteniendo una calificación de "F", mientras que solo el 2,98% de ellos recibió una "A".

La metodología de puntuación está disponible en la página Acerca de WebScan, con detalles completos sobre todos los puntos de puntuación utilizados para alcanzar la calificación final.

Además, como se indica en la sección de hallazgos clave del informe, el 19,5% de las empresas que participaron en el estudio tienen almacenamiento externo en la nube sin protección, mientras que "el 92% de las aplicaciones web externas tienen fallas o debilidades de seguridad explotables".

Además, High-Tech Bridge también descubrió que todas las empresas estudiadas de FT 500 tienen al menos un problema de incumplimiento de GDPR, y solo el 2% de las aplicaciones web orientadas a Internet están protegidas adecuadamente con un Servidor de seguridad de aplicaciones web configurado correctamente (WAF).

"La investigación ha demostrado claramente que las aplicaciones abandonadas y no mantenidas son una plaga en la actualidad", dijo Ilia Kolochenko, CEO y fundadora de High-Tech Bridge. Las grandes organizaciones tienen tantos sitios web, servicios web y aplicaciones móviles entrelazados que a menudo se olvidan de una parte considerable de ellos".

Se pueden encontrar más detalles sobre los hallazgos de High-Tech Bridge con respecto a IoT, políticas de seguridad de contenido, cifrado SSL / TLS y más, en la página web del estudio "Aplicaciones web abandonadas: el talón de Aquiles de las compañías del FT 500"

Fuente: Clases Ordenador