Evaluación de la seguridad de aplicaciones móviles bancarias

Abstract

En tiempos recientes, las entidades financieras están ofreciendo cada día más a sus clientes la posibilidad de operar con ellos mediante la llamada Banca Móvil: El usuario baja una aplicación a su celular la cual le permite realizar las operaciones bancarias más comunes: Consulta de saldo, revisión de información de su tarjeta de crédito, transferencias de dinero a otras cuentas, etc. A estas operaciones agregan otras como contacto en caso de emergencia bancaria, consulta de cuáles son los cajeros automáticos y sucursales del banco más cercanas al usuario, etc. Los bancos ofrecen estas aplicaciones a través de las tiendas de las diferentes plataformas móviles disponibles, bajo la premisa de permitir a sus usuarios el acceso a sus operaciones bancarias en forma fácil y segura. Dado que estas aplicaciones manejan información sensible, como la personal, geográfica y financiera, cabe hacerse la pregunta de cuál es el estado de su seguridad. Para responder esta pregunta, se realizó un estudio el cual involucró a diez aplicaciones de banca móvil nacionales para la plataforma Android disponibles en la Google Play Store. A cada aplicación se le realizó un procedimiento automatizado de ingeniería reversa, para posteriormente analizar estáticamente el código fuente extraído como parte de ese proceso. Adicionalmente, se realizaron pruebas pasivas sobre la aplicación en funcionamiento con la cooperación de algún cliente del banco que ofrece la aplicación. Posterior a ello, se determinó qué vulnerabilidades de seguridad tiene cada aplicación, y en base a ello se creó una taxonomía de malas prácticas en el desarrollo de estas aplicaciones las cuales tienen como consecuencia las vulnerabilidades encontradas. Esta tesis tiene como objetivo clasificar las aplicaciones bancarias móviles ofrecidas por los bancos nacionales dentro de la taxonomía recién mencionada, y dar lineamientos respecto de buenas prácticas de seguridad al momento de diseñar, implementar y lanzar al mercado aplicaciones móviles que manejan información sensible para sus usuarios.