SIN CLASIFICAR

Buenas Prcticas
CCN-CERT BP-03/16
Dispositivos Mviles

Octubre 2016

SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

CENTRO CRIPTOLOGICO NACIONAL

2.5.4.13=Qualified Certificate: AAPP-SEP-M-SW-KPSC,
ou=sello electrnico, serialNumber=S2800155J,
o=CENTRO CRIPTOLOGICO NACIONAL, cn=CENTRO
CRIPTOLOGICO NACIONAL, c=ES
2016.10.18 10:26:04 +02'00'

LIMITACIN DE RESPONSABILIDAD
El presente documento se proporciona de acuerdo con los trminos en l recogidos, rechazando
expresamente cualquier tipo de garanta implcita que se pueda encontrar relacionada. En
ningn caso, el Centro Criptolgico Nacional puede ser considerado responsable del dao
directo, indirecto, fortuito o extraordinario derivado de la utilizacin de la informacin y software
que se indican incluso cuando se advierta de tal posibilidad.
AVISO LEGAL
Quedan rigurosamente prohibidas, sin la autorizacin escrita del Centro Criptolgico Nacional,
bajo las sanciones establecidas en las leyes, la reproduccin parcial o total de este documento
por cualquier medio o procedimiento, comprendidos la reprografa y el tratamiento informtico,
y la distribucin de ejemplares del mismo mediante alquiler o prstamo pblicos.

2
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

NDICE
1. SOBRE CCN-CERT ................................................................................................................. 4
2. INTRODUCCIN ................................................................................................................... 4
3. BUENAS PRCTICAS EN LA CONFIGURACIN Y USO DE LOS DISPOSITIVOS MVILES ... 6
3.1 Pantalla de bloqueo ........................................................................................................ 6
3.1.1 Cdigo de acceso o huella dactilar digital ........................................................... 7
3.1.2 Funcionalidad en la pantalla de bloqueo ............................................................. 8
3.2 Comunicaciones a travs de USB ................................................................................. 9
3.3 Actualizacin del sistema operativo y de las aplicaciones .................................... 11
3.4 Cifrado del dispositivo mvil ......................................................................................... 12
3.5 Configuracin por defecto .......................................................................................... 13
3.6 Copias de seguridad ..................................................................................................... 14
3.7 Gestin remota del dispositivo mvil .......................................................................... 14
3.8 Capacidades de comunicacin inalmbricas ........................................................ 16
3.8.1 NFC (Near Field Communications)......................................................................... 16
3.8.2 Bluetooth y Bluetooth Low Energy (BLE) ................................................................ 16
3.8.3 Wi-Fi.............................................................................................................................. 17
3.8.4 Redes de telefona: mensajera/voz y datos mviles (2/3/4G) ......................... 17
3.8.5 Capacidades y servicios de localizacin ............................................................. 18
3.9 Aplicaciones mviles (apps) ........................................................................................ 18
3.9.1 Instalacin de apps .................................................................................................. 18
3.9.2 Permisos de las apps ................................................................................................. 19
3.9.3 Correo electrnico.................................................................................................... 20
3.9.4 Aplicaciones de mensajera.................................................................................... 20
3.9.5 Redes sociales ........................................................................................................... 22
3.9.6 Navegacin web ...................................................................................................... 23
4. OTRAS RECOMENDACIONES DE CARCTER GENRICO ................................................. 26
5. DECLOGO DE RECOMENDACIONES .............................................................................. 27
6. ANEXO A. REFERENCIAS .................................................................................................... 28

3
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

1. SOBRE CCN-CERT
El CCN-CERT (www.ccn-cert.cni.es) es la Capacidad de Respuesta a incidentes
de Seguridad de la Informacin del Centro Criptolgico Nacional, CCN. Este servicio se
cre en el ao 2006 como CERT Gubernamental Nacional espaol y sus funciones
quedan recogidas en la Ley 11/2002 reguladora del Centro Nacional de Inteligencia, el
RD 421/2004 de regulacin del CCN y en el RD 3/2010, de 8 de enero, regulador del
Esquema Nacional de Seguridad, modificado por el RD 951/2015, de 23 de octubre.
De acuerdo a todas ellas, el CCN-CERT tiene responsabilidad en ciberataques
sobre sistemas clasificados y sobre sistemas de las Administraciones Pblicas y de
empresas y organizaciones de inters estratgico para el pas. Su misin, por tanto, es
contribuir a la mejora de la ciberseguridad espaola, siendo el centro de alerta y
respuesta nacional que coopere y ayude a responder de forma rpida y eficiente a los
ciberataques y a afrontar de forma activa las ciberamenazas.

2. INTRODUCCIN
En los ltimos aos, el desarrollo de los dispositivos y comunicaciones mviles junto
con las tecnologas inalmbricas ha revolucionado la forma de trabajar y comunicarse.
El uso creciente de estas tecnologas sita a los dispositivos mviles como uno de los
objetivos principales para los atacantes.
La proliferacin de dispositivos mviles unido al desarrollo de capacidades,
prestaciones y posibilidades de utilizacin de los mismos, hace necesario plantearse cual
es la seguridad ofrecida por este tipo de dispositivos respecto a la informacin que
gestionan, tanto dentro de los entornos corporativos como en el mbito particular.
Se considera como dispositivo mvil aquel dispositivo electrnico de uso personal
o profesional de reducido tamao que permite la gestin (almacenamiento,
intercambio y procesamiento) de informacin y el acceso a redes de comunicaciones
y servicios remotos, tanto de voz como de datos, y que habitualmente dispone de
capacidades de telefona, como por ejemplo telfonos mviles, smartphones (telfonos
mviles avanzados o inteligentes), tablets (tabletas) y agendas electrnicas (Personal
Digital Assistant) independientemente de si disponen de teclado fsico o pantalla tctil.
El nivel de percepcin de la amenaza real existente no ha tenido la suficiente
trascendencia en los usuarios finales y las organizaciones pese a que los dispositivos
mviles se utilizan para establecer comunicaciones personales y profesionales, privadas
y relevantes, y para el almacenamiento e intercambio de informacin sensible. No slo
las organizaciones, tambin la informacin no corporativa de los usuarios (datos
personales) suelen ser objeto de numerosos ataques.
ltimamente, se ha identificado un incremento notable no slo en el nmero de
especmenes de cdigo daino para dispositivos mviles (mobile malware) sino que
tambin en su complejidad y sofisticacin, encontrndose Espaa entre los pases ms
afectados a nivel mundial en base al nmero de infecciones.

4
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

Figura 2-1 Pases ms afectados por infecciones mviles. Fuente: McAfee Labs (Intel) [Ref 1]

La concienciacin, el sentido comn y las buenas prcticas en la configuracin y

el uso de los dispositivos mviles constituyen la mejor defensa para prevenir y detectar
este tipo de incidentes y amenazas.

Figura 2-2 Cuota de mercado mundial de dispositivos mviles. Fuente: IDC [Ref 2]

Debido a que existe una adopcin generalizada en la industria, tanto a nivel

empresarial como personal, de dos de las plataformas mviles por encima del resto,
Android (Google) e iOS (Apple), la mayora de ejemplos empleados en la presente gua
hacen referencia a estas dos plataformas mviles 1.

1 Debe tenerse en cuenta que existen diferencias significativas en la configuracin y utilizacin de los
dispositivos mviles en funcin de la versin concreta de Android o iOS disponible.

5
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

El presente documento tiene como objetivo describir estas prcticas con el fin de
ayudar a los usuarios finales a proteger y hacer un uso lo ms seguro posible de los
dispositivos mviles, profundizando en la configuracin y utilizacin de los mecanismos
de proteccin existentes en la actualidad.
Para ello, se ofrecern un conjunto de pautas y recomendaciones de seguridad
para mitigar posibles acciones dainas dndose a conocer las tcnicas ms habituales
de ataque, as como los recursos utilizados por los atacantes para conseguir infectar un
dispositivo mvil u obtener informacin personal de un usuario vctima.

3. BUENAS PRCTICAS EN LA CONFIGURACIN Y USO DE LOS

DISPOSITIVOS MVILES

A continuacin, se indica que el conjunto de recomendaciones mostrado se

encuentra dividido en mltiples grupos, cada uno de ellos relacionado con las diferentes
capacidades y funcionalidades ofrecidas por los dispositivos mviles, como por ejemplo:
mejorar la proteccin frente a un acceso fsico no autorizado al propio dispositivo,
reducir el impacto frente a la prdida o robo del mismo, o mejorar la confidencialidad
y seguridad del almacenamiento de la informacin y de las comunicaciones con otros
equipos y servicios remotos.
El objetivo de estas recomendaciones es que el usuario pueda aumentar el nivel
de proteccin y de seguridad de sus dispositivos mviles, tanto desde el punto de vista
de su configuracin como de su uso diario, evitando as ser vctima de alguno de los
ataques mencionados.
Debe tenerse en cuenta que algunas de las caractersticas descritas y, por tanto,
de las recomendaciones de seguridad planteadas, son dependientes del tipo de
sistema operativo empleado por el dispositivo mvil (Android, iOS, Windows Phone, etc.),
de la versin de ste y del fabricante y modelo concreto asociados al mismo.
Por tanto, no necesariamente todas las recomendaciones ofrecidas sern de
aplicacin en todos los dispositivos mviles existentes. En cualquier caso, se recomienda
aplicar el mayor nmero de recomendaciones posible.

3.1 Pantalla de bloqueo

La pantalla de bloqueo es el principal mecanismo de defensa frente al acceso
fsico no autorizado al dispositivo mvil por parte de un potencial atacante. Los
dispositivos mviles modernos resultan muy atractivos para su sustraccin o robo debido
tanto a su valor econmico (del propio hardware), como al valor asociado a la
informacin sensible y personal que almacenan.
Por este motivo, la pantalla debe de estar protegida por un cdigo de acceso y
permanecer bloqueada el mayor tiempo posible. Asimismo, se recomienda limitar la
funcionalidad disponible en la pantalla de bloqueo para un tercero que no conoce el
cdigo de acceso.

6
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

3.1.1 Cdigo de acceso o huella dactilar digital

Para poder acceder al dispositivo mvil y disponer de toda la funcionalidad
ofrecida por el mismo, se recomienda proteger el dispositivo mvil mediante un cdigo
de acceso asociado a la pantalla de bloqueo.
Aunque este cdigo ser solicitado al usuario en mltiples ocasiones a lo largo del
da, es necesario seleccionar un cdigo de acceso robusto, de al menos seis (6) u ocho
(8) dgitos, y preferiblemente combinando letras y nmeros. En ningn caso, se
recomienda hacer uso de un PIN, o cdigo de acceso de cuatro (4) dgitos, que por
contra es empleado de manera habitual y generalizada.
Adicionalmente, y con el objetivo de que el dispositivo mvil est expuesto el
menor tiempo posible frente a accesos no autorizados, incluso temporales, se
recomienda configurar el mismo para que el cdigo de acceso sea solicitado
inmediatamente tras apagarse la pantalla, que debera de bloquearse
automticamente lo antes posible si no hay actividad por parte del usuario (por
ejemplo, tras un minuto).

Figura 3-1 Pantalla de bloqueo con cdigo de acceso en Android e iOS.

Con el objetivo de encontrar el equilibrio adecuado entre seguridad y

funcionalidad, teniendo en cuenta que el usuario tiene que desbloquear su dispositivo
mvil decenas de veces al da para hacer uso del mismo, se recomienda configurar la
funcionalidad de desbloqueo mediante una huella dactilar digital (en aquellos
dispositivos que disponen de estas capacidades y cuentan con un sensor de huella)
complementado por un cdigo de acceso robusto.
7
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

Esta funcionalidad permite al dispositivo mvil disponer de un mecanismo de

proteccin y que su utilizacin sea lo ms confortable para el usuario.

Figura 3-2 Pantalla de bloqueo con huella dactilar digital en Android e iOS.

3.1.2 Funcionalidad en la pantalla de bloqueo

La pantalla de bloqueo del dispositivo mvil permite acceder a numerosas
capacidades y funcionalidades de manera rpida y sencilla por parte del usuario sin
necesidad de desbloquear el mismo, como por ejemplo recibir y responder mensajes o
llamadas de telfono, recibir notificaciones de eventos y recordatorios, acceder a la
cmara, modificar algunos ajustes como las capacidades de comunicacin
inalmbrica (Bluetooth, Wi-Fi, 2/3/4G, etc.) y gestionar el estado del modo avin, tener
acceso a informacin de aplicaciones (app) concretas, como por ejemplo la
informacin meteorolgica o de inversiones, o interactuar con los asistentes personales
digitales, como Siri en iOS, Google Assistant (o Google Now) en Android o Cortana en
Windows (Phone).
La posibilidad de interactuar con algunas de estas capacidades por parte de un
tercero sin conocer el cdigo de acceso tiene implicaciones muy relevantes desde el
punto de vista de seguridad.
Por ejemplo, un potencial atacante que obtenga acceso no autorizado al
dispositivo mvil (tras ser extraviado o robado), podra activar el modo avin del mismo,
interrumpiendo todas las comunicaciones del dispositivo mvil con otras redes y servicios
remotos, e imposibilitando las capacidades de gestin a distancia que permiten al
usuario localizar la ubicacin actual de su dispositivo mvil, o eliminar remotamente los
8
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

datos almacenados en el mismo (ver apartado "3.7. Gestin remota del dispositivo
mvil").
Adicionalmente, a lo largo del tiempo se han identificado mltiples
vulnerabilidades basadas en la interaccin con estas capacidades, que permiten evitar
la pantalla de bloqueo y el cdigo de acceso del dispositivo mvil [Ref - 18].
Se recomienda, por tanto, limitar y minimizar lo mximo posible la funcionalidad
disponible en la pantalla de bloqueo si no se introduce el cdigo de acceso. Para ello,
se recomienda deshabilitar Google Assistant (o Now) y eliminar los iconos ms crticos
del panel de control de acceso a los Ajustes Rpidos disponible en la parte superior de
Android (funcionalidad disponible en Android 7.0 o versiones superiores), mientras que
para iOS se recomienda deshabilitar Siri, el Centro de Control disponible en la parte
inferior o el Centro de Notificaciones, as como cualquier otra funcionalidad relevante.

Figura 3-3 Funcionalidad sensible disponible en la pantalla de bloqueo en Android e iOS.

3.2 Comunicaciones a travs de USB

Los puertos de carga y sincronizacin de los dispositivos mviles, situados
normalmente en su parte inferior, permiten la conexin por cable mediante un puerto
USB a un ordenador o enchufe. La conexin a travs de USB proporciona dos (2)
funcionalidades: por un lado, permite la transmisin de energa elctrica para llevar a
cabo la carga de la batera del dispositivo mvil, y por otro, permite establecer
comunicaciones de datos.

9
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

Debido a que una de las limitaciones actuales de los dispositivos mviles es la

capacidad y duracin de la batera, debiendo los usuarios cargar en ocasiones sus
dispositivos mviles a mitad del da y con cierta urgencia, los atacantes han empleado
esta funcionalidad dual de las conexiones o comunicaciones USB para comprometer
los dispositivos mviles a travs de la conexin de datos, hacindose pasar por una
estacin de carga en lugares pblicos, ataque conocido como juice jacking.
Mediante este ataque es potencialmente posible extraer datos personales
almacenados en el dispositivo mvil, as como llevar a cabo acciones ms dainas,
como la instalacin de apps dainas:

Figura 3-4 Ataques de juice jacking. Fuente: KrebsonSecurity [Ref - 3]

Los sistemas operativos modernos han implementado medidas de proteccin

frente a estos ataques, debiendo establecerse una relacin de confianza la primera vez
que se conecta el dispositivo mvil a un ordenador a travs de USB.
El dispositivo mvil solicitar al usuario si desea establecer esa relacin de
confianza, siendo necesario desbloquear previamente el dispositivo mvil para
confirmar dicha solicitud.
Se recomienda por tanto no conectar el dispositivo mvil a puertos USB
desconocidos y no aceptar ninguna relacin de confianza a travs de USB si no se tiene
constancia de estar conectando el dispositivo mvil a un ordenador de confianza.

10
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

Figura 3-5 Establecimiento de relaciones de confianza va USB en Android e iOS.

Las capacidades de comunicacin a travs de USB por parte de los dispositivos

mviles tambin permiten la instalacin de apps en los mismos (ver apartado 4.8). Para
que un potencial atacante pueda tener xito en la instalacin de una app, es necesario
que el dispositivo mvil presente una configuracin insegura que facilite este tipo de
comunicacin (en el caso de Android) y/o que el dispositivo mvil no est bloqueado
(en el caso de Android e iOS).
Para evitar la instalacin de apps a travs de USB, se recomienda (en funcin de
la plataforma mvil) no habilitar las capacidades de depuracin mediante USB del
dispositivo mvil, disponibles especficamente para los desarrolladores de apps, y no
dejar el dispositivo mvil desatendido sin bloquear.

3.3 Actualizacin del sistema operativo y de las aplicaciones

Los dispositivos mviles disponen de un sistema operativo mvil (Android, iOS,
Windows Phone, etc.), tambin denominado firmware, que proporciona toda la
funcionalidad existente por defecto, y que tambin incluye un conjunto de aplicaciones
mviles que han sido instaladas por defecto por el fabricante del sistema operativo, del
dispositivo o del operador de telecomunicaciones.
Adicionalmente, el usuario puede llevar a cabo la instalacin de otras apps de
terceros desde los mercados oficiales de aplicaciones o desde otros repositorios (ver
apartado 4.8 Aplicaciones mviles (apps)").

11
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

Se recomienda disponer de un sistema operativo siempre actualizado en el

dispositivo mvil. Asimismo, se recomienda disponer siempre de la ltima actualizacin
de todas las apps instaladas en el dispositivo mvil.
La ltima versin tanto del sistema operativo como de las apps soluciona
vulnerabilidades pblicamente conocidas y, por tanto, reduce significativamente la
exposicin del dispositivo frente a ataques.
Existen herramientas ofensivas para la explotacin de vulnerabilidades en los
dispositivos mviles que tienen capacidad para comprometer el dispositivo con tan solo
abrir un mensaje de texto (SMS) o multimedia (MMS), o visitar un enlace web (sin
necesidad de descargar o ejecutar ningn fichero) al aprovecharse de las debilidades
en el navegador web o en el sistema operativo.
Ya que en ocasiones las herramientas ofensivas disponen de 0-days (exploits para
vulnerabilidades desconocidas que no han sido parcheadas), es aconsejable que el
usuario sea muy prudente a la hora de abrir mensajes o enlaces web no solicitados,
desconocidos o extraos.

3.4 Cifrado del dispositivo mvil

Una caracterstica crtica en la proteccin de los datos y la informacin
almacenada localmente por el dispositivo mvil es el cifrado de su memoria interna,
empleada como unidad de almacenamiento principal, as como de cualquier otra
unidad de almacenamiento externa, como por ejemplo una tarjeta SD (Secure Digital).
Las capacidades que permiten cifrar la memoria del dispositivo mvil son
imprescindibles frente al acceso fsico no autorizado al mismo por parte de un tercero,
ya que, en caso contrario, sera posible extraer el contenido del chip de memoria del
dispositivo mvil y tener acceso a toda la informacin almacenada.
Independientemente de que algunas apps existentes en el dispositivo mvil cifren
sus datos antes de almacenarlos, se recomienda hacer uso de las capacidades nativas
de cifrado del dispositivo mvil con el objetivo de proteger todos los datos e informacin
asociadas al usuario, u organizacin, almacenados en el mismo.
Para hacer uso de estas capacidades es imprescindible establecer un cdigo de
acceso en el dispositivo mvil, que adicionalmente se recomienda que sea robusto (ver
apartado 3.1.1 Cdigo de acceso o huella dactilar digital"), ya que ste ser utilizado
durante el proceso de cifrado.
Algunos dispositivos mviles como iOS activan de manera automtica las
capacidades de cifrado una vez se establece un cdigo de acceso, escenario
indicado por el texto "La proteccin de datos est activada.", mientras que otros como
Android, requieren activar los mecanismos de cifrado intencionadamente.

12
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

Figura 3-6 Activacin de las capacidades nativas de cifrado en Android e iOS. Fuente: EFF 2

En caso de que el dispositivo mvil disponga de una ranura para una unidad de
almacenamiento externa, normalmente basada en la utilizacin de tarjetas de memoria
SD, se recomienda hacer uso de capacidades de cifrado que permitan proteger
tambin los contenidos de dicha unidad externa de almacenamiento.
En muchas ocasiones no es posible cifrar dichos contenidos, por lo que se
recomienda no almacenar ningn dato o informacin sensible en la tarjeta SD, como
por ejemplo documentos corporativos.

3.5 Configuracin por defecto

Los dispositivos mviles, tras su activacin inicial, disponen de una configuracin
por defecto que, por un lado, puede ser insegura y habilitar funcionalidades que
podran ser empleadas por un potencial atacante para comprometer los mismos y, por
otro, contribuyen a desvelar informacin innecesaria acerca del propio dispositivo y/o
de su propietario.
Por ejemplo, es habitual que al activar el dispositivo mvil la mayora de sus
servicios y capacidades permanezcan activos, con el objetivo de que el usuario pueda
hacer un uso inmediato de los mismos, como por ejemplo el interfaz inalmbrico
Bluetooth o Wi-Fi, el asistente personal digital o los servicios de sincronizacin en la nube.

https://ssd.eff.org/en/module/how-encrypt-your-iphone

13
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

En los dispositivos mviles ms modernos, otros servicios, considerados ms crticos

desde el punto de vista de la privacidad del usuario, como por ejemplo los servicios de
localizacin, deben de ser activados manualmente por el usuario durante el proceso de
configuracin inicial del dispositivo mvil.
Se recomienda deshabilitar todos los servicios y funcionalidades del dispositivo
mvil que no vayan a ser utilizados de forma permanente por parte del usuario. En su
lugar, se recomienda habilitarlos nicamente cuando vayan a ser utilizados y volver a
deshabilitarlos cuando finalice su uso.
Asimismo, se puede desvelar informacin acerca del propio dispositivo y/o de su
propietario, como por ejemplo el fabricante y modelo del mismo o el nombre de su
propietario a travs del nombre del dispositivo mvil, que es difundido a travs de las
redes de comunicaciones de datos o mediante otras comunicaciones inalmbricas,
como Bluetooth, o al llevar a cabo la configuracin de un hotspot (punto de acceso)
Wi-Fi para compartir la conexin de datos mvil 2/3/4G.
Se recomienda modificar la configuracin existente por defecto en el dispositivo
mvil, eliminando cualquier referencia a las caractersticas tcnicas del propio
dispositivo y/o de su propietario.

3.6 Copias de seguridad

La proteccin de la informacin y los datos almacenados y gestionados por el
dispositivo mvil debe de extenderse frente a escenarios de prdida o robo del mismo,
as como frente a daos en el hardware que no permitan acceder a los contenidos
existentes en su unidad de almacenamiento principal (o en las unidades externas).
Para evitar la prdida de los datos, el usuario debe de realizar copias de seguridad
(backups) peridicas, y preferiblemente automticas, de todos los contenidos del
dispositivo mvil que se desea proteger y conservar, preferiblemente de forma local a
travs de USB o de una comunicacin inalmbrica Wi-Fi con el ordenador del usuario.
Alternativamente, se puede hacer uso de las capacidades de realizacin de
copias de seguridad en la nube asociadas a las principales plataformas mviles,
mediante una comunicacin inalmbrica.
Sin embargo, el usuario debe de ser consciente de que la facilidad y comodidad
asociadas a estos mecanismos de copias de seguridad remotas conlleva implicaciones
en la privacidad y seguridad de sus datos, ya que sern transferidos y almacenados en
un servidor gestionado por un tercero (en la nube).

3.7 Gestin remota del dispositivo mvil

Los dispositivos mviles modernos y las capacidades de gestin remotas
proporcionadas por los fabricantes de los mismos a travs de sus plataformas mviles y
servicios en la nube, como iCloud [Ref - 4] en el caso de iOS o el Administrador de
Dispositivos [Ref - 5] en el caso de Android, permiten a cualquier usuario potencialmente
localizar la ubicacin actual de su dispositivo mvil, bloquearlo en caso de encontrarse
actualmente desbloqueado, hacer que suene para identificar su ubicacin cercana,
14
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

mostrar un mensaje con el objetivo de que alguien que lo encuentre pueda contactar
con su propietario o eliminar remotamente los datos almacenados en el mismo.
Se recomienda al usuario familiarizarse con las capacidades de gestin remota
del dispositivo mvil y su plataforma mvil asociada, y comprobar el correcto
funcionamiento de este servicio y de toda su funcionalidad antes de que sea necesario
hacer uso de las mismas en un escenario real tras la prdida o robo del dispositivo mvil.
Para poder hacer uso de estos servicios, el usuario debe disponer de una cuenta
en la plataforma del fabricante, como por ejemplo un ID (identificador de usuario) de
Apple para iCloud (iOS) o una cuenta de usuario en Google para el Administrador de
Dispositivos (Android). Asimismo, el dispositivo mvil debe de estar asociado a la cuenta
del usuario en la plataforma del fabricante.
Complementariamente, la funcionalidad "Buscar mi iPhone" (o iPad, en iOS) y
"Device Manager" (en Android) deben estar habilitadas y correctamente configuradas
en el dispositivo mvil:

Figura 3-7 Activacin de las capacidades de gestin remota en Android e iOS.

Debe tenerse en cuenta que muchas de estas capacidades remotas no estarn

realmente operativas si la plataforma de gestin no puede contactar con el dispositivo
mvil (o viceversa) o si el dispositivo no tiene la capacidad de obtener su ubicacin.
Existen numerosos motivos y escenarios en los que la comunicacin entre la
plataforma de gestin y el dispositivo mvil no puede establecerse, o por los que no
podra obtenerse la ubicacin actual como, por ejemplo, estar el dispositivo mvil
apagado, agotarse su batera, no disponer de cobertura de las redes de datos mviles
15
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

2/3/4G o no tener ninguna red Wi-Fi conocida cercana, estar activado el modo avin,
encontrarse en el stano o garaje de un edificio, etc.

3.8 Capacidades de comunicacin inalmbricas

A continuacin, se describirn otros aspectos de seguridad de gran importancia
relacionados con la confidencialidad e integridad de los datos intercambiados a travs
de las redes de comunicaciones.
Muchas de las funcionalidades existentes en los dispositivos mviles implican el uso
de comunicaciones de datos con plataformas remotas, en las cuales se ven
involucradas diversas tecnologas y servicios. Entender los escenarios de uso y el
funcionamiento, al menos de forma genrica, de estas tecnologas permitir conocer
en mayor profundidad, primero, cules son las carencias de seguridad que presentan y,
segundo, porqu es necesario tomar algunas medidas de proteccin para suplir y
mejorar dichas carencias.
De manera genrica, se recomienda deshabilitar todos los interfaces de
comunicaciones inalmbricas del dispositivo mvil que no vayan a ser utilizados de
forma permanente por parte del usuario. En su lugar, se recomienda habilitarlos
nicamente cuando vayan a ser utilizados y volver a deshabilitarlos cuando finalice su
uso.
3.8.1 NFC (Near Field Communications)
Las capacidades NFC de los dispositivos mviles permiten establecer
comunicaciones inalmbricas de corto alcance y son utilizadas actualmente en los
controles de acceso y para la realizacin de pagos desde el dispositivo mvil, al estar
integradas con las apps y las tarjetas bancarias.
Disponer del interfaz NFC activo en todo momento podra permitir a un potencial
atacante, suficientemente prximo al dispositivo mvil, forzar la realizacin de
transacciones y pagos fraudulentos [Ref - 6].
3.8.2 Bluetooth y Bluetooth Low Energy (BLE)
Las tecnologas Bluetooth y BLE son ampliamente utilizadas a da de hoy para la
integracin, monitorizacin y control de mltiples dispositivos electrnicos, como por
ejemplo dispositivos personales o wearables (como los relojes inteligentes o
smartwatches), vehculos (manos libres) o dispositivos asociados al Internet de las Cosas
(IoT, Internet of Things), desde el propio dispositivo mvil, actuando ste como el cerebro
o controlador central del mundo digital que le rodea.
Como consecuencia, disponer del interfaz Bluetooth activo en todo momento
podra permitir a un potencial atacante manipular las comunicaciones y acciones
asociadas al resto de dispositivos o la informacin intercambiada entre estos [Ref - 7].

16
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

3.8.3 Wi-Fi
El interfaz Wi-Fi es probablemente el mecanismo de comunicacin ms utilizado
en la actualidad en los dispositivos mviles a la hora de intercambiar datos y acceder a
servicios y aplicaciones remotas.
Disponer del interfaz Wi-Fi activo en todo momento puede permitir a un potencial
atacante suplantar alguna de las diferentes redes Wi-Fi conocidas por el dispositivo mvil
y a las que se conecta habitualmente (como por ejemplo la red Wi-Fi de la oficina, de
casa, de la biblioteca, de la cafetera, etc.), forzando a que ste se conecte
automticamente a la misma, estando en condiciones para capturar todo el trfico
generado/recibido por el dispositivo mvil y realizar ataques directamente sobre el
mismo [Ref - 8].
Adicionalmente, se recomienda no conectar el dispositivo mvil a redes Wi-Fi
pblicas abiertas (o hotspots Wi-Fi) que no implementan ningn tipo de seguridad.
Aunque su utilizacin no tenga ningn coste asociado, se est poniendo en riesgo la
informacin personal del usuario. La utilizacin de esas redes permite a un potencial
atacante interceptar y manipular todo el trfico intercambiado por el dispositivo mvil
[Ref - 9].
En su lugar debe hacerse uso de redes Wi-Fi de confianza y que tienen
configurados mecanismos de seguridad (como WPA2-PSK). En el caso excepcional en
el que se deba hacer uso de una red Wi-Fi pblica, debe emplearse un servicio de VPN
(Virtual Private Network, o red privada virtual) para cifrar todo el trfico transmitido a
travs de la red Wi-Fi.
3.8.4 Redes de telefona: mensajera/voz y datos mviles (2/3/4G)
Una de las capacidades fundamentales ofrecidas por la mayora de dispositivos
mviles modernos es la posibilidad de conectarse a las redes de telefona mvil para
hacer uso tanto de sus servicios de voz, como de mensajera y datos (2/3/4G).
Se asume que estas capacidades estarn activas en los dispositivos mviles la
mayora del tiempo, para poder realizar y recibir llamadas, mensajes y comunicar con
servicios y aplicaciones remotas cuando no se dispone de una red Wi-Fi de confianza
prxima. Es necesario, por tanto, ser consciente de las debilidades de estas tecnologas
que se comenzaron a extender a finales de los aos 80 3 en Europa (GSM).
Las redes de telefona 2G, todava existentes hoy en da, no hacen uso de
mecanismos de seguridad que permitan al dispositivo mvil estar seguro de que se est
conectando a la red legtima del operador de telecomunicaciones (conocidos como
autentificacin mutua).
En consecuencia, un atacante podra suplantar dicha red legtima (de manera
similar a como ocurre con las redes Wi-Fi), forzando a que el dispositivo mvil se conecte

http://www.gsmhistory.com/who_created-gsm/

17
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

automticamente a la misma e interceptar de nuevo sus comunicaciones con

dispositivos conocidos como IMSI-Catchers o Stingrays [Ref - 10].
Se recomienda que en ningn caso el usuario otorgue prioridad a las redes 2G en
su dispositivo mvil frente a las redes 3G o 4G, aunque el consumo de batera sea mayor
en estas ltimas debido, entre otras, a sus altas capacidades de transferencia de datos.
De ser posible, se debera deshabilitar el uso de redes 2G.
3.8.5 Capacidades y servicios de localizacin
Por ltimo, la disponibilidad de las capacidades y los servicios de localizacin en
los dispositivos mviles modernos, que les permiten conocer su ubicacin por todo el
planeta mediante el sistema de satlites GPS o a travs de las redes Wi-Fi y torres de
telefona mvil, ha abierto un amplio abanico de servicios y posibilidades.
Sin embargo, la obtencin y comparticin de la ubicacin del dispositivo mvil de
manera constante, incluso en tiempo real, y por tanto de su propietario, tiene
implicaciones muy relevantes desde el punto de vista de la privacidad y seguridad de
los usuarios.
Por un lado, los servicios que hacen uso de estas capacidades pueden monitorizar
y controlar donde se encuentra el usuario en todo momento. Por otro lado, el usuario, a
propsito, o de manera inadvertida puede difundir su localizacin actual o pasada a
travs de los metadatos de las fotogrficas tomadas con el dispositivo mvil y
publicadas posteriormente, a travs de mensajes en las redes sociales o a travs del uso
de otras apps [Ref - 11].
Se recomienda que el usuario deshabilite los servicios de localizacin si no est
haciendo uso de ellos, y en caso de estar siendo utilizados, que restrinja lo mximo
posible tanto la utilizacin intencionada de los mismos, como el acceso a estos servicios
por parte de las apps instaladas en el dispositivo mvil, desactivando el permiso
asociado para la mayora de apps.

3.9 Aplicaciones mviles (apps)

Los dispositivos mviles, como los smartphones (telfonos inteligentes), son
considerados inteligentes, entre otros motivos, porque disponen de la capacidad de
extender la funcionalidad existente por defecto mediante la instalacin de nuevas
aplicaciones mviles (apps).
3.9.1 Instalacin de apps
El usuario puede llevar a cabo la instalacin de nuevas apps desde las tiendas o
mercados oficiales, como Google Play (Android), App Store (iOS) o Microsoft Store
(Windows Phone), o desde otros repositorios o mercados no oficiales de terceros (en
funcin de la plataforma mvil).
Algunas plataformas mviles como iOS slo permiten por defecto la instalacin de
apps desde el mercado oficial, por lo que, aunque puede producirse una infeccin por

18
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

cdigo daino, ste debe ser introducido y propagado previamente en el mercado

oficial.
Aunque se han dado varios casos de cdigo daino en la App Store de Apple, los
controles existentes hacen que la probabilidad de infeccin sea menor que en otras
plataformas mviles, y una vez detectado, es eliminado del mercado lo antes posible
(aunque los dispositivos mviles ya infectados permanecern infectados).
Otras plataformas mviles como Android son ms flexibles y permiten, si el usuario
as lo desea, la instalacin de apps tanto desde el mercado oficial de apps como desde
otros mercados no oficiales, as como directamente desde servidores web o mediante
mensajes de correo electrnico incluyendo la app como un fichero adjunto [Ref - 12].
Esta flexibilidad es utilizada por los atacantes para distribuir cdigo daino e infectar los
dispositivos mviles de los usuarios vctima.
Recientemente, en versiones ms modernas de iOS (9 o superior) existe tambin la
posibilidad de llevar a cabo la instalacin de apps a travs de USB (ver apartado 4.2
Comunicaciones a travs de USB"), tcnica conocida como sideloading, al igual que
ocurra ya en versiones previas de Android, si el dispositivo presenta una configuracin
insegura o no est bloqueado (en funcin de la plataforma mvil).
Teniendo en cuenta estas capacidades, es importante que el usuario no instale
ninguna app que no provenga de una fuente de confianza, como por ejemplo los
mercados oficiales de apps.
En las plataformas mviles que disponen de esta flexibilidad, se recomienda no
habilitar la funcionalidad que permite la instalacin de apps desde repositorios de
terceros que no son de confianza (fuentes desconocidas) y en ningn caso instalar apps
desde fuentes de dudosa reputacin, aunque estas sean gratuitas.
Es preferible pagar el precio de una app (entre 0,99 y 2,99 para la mayora de
ellas), que exponer toda nuestra informacin personal por tan solo ahorrar unos pocos
euros.
3.9.2 Permisos de las apps
Los dispositivos mviles disponen de un entorno de ejecucin restringido, donde
una app no dispone por defecto de acceso a los ficheros y datos de otras apps o del
sistema operativo. Para obtener acceso a esos datos y/o funcionalidad adicional, la
app debe de solicitar permisos al usuario, por ejemplo, para acceder a sus contactos, a
su calendario, a componentes hardware del dispositivo mvil, como la cmara o el
micrfono, o a las fotos.
En funcin de la plataforma mvil y de la versin de sistema operativo, los permisos
sern solicitados al usuario en el momento de la instalacin de la app, o durante su
ejecucin, en el momento de hacer uso de cierta funcionalidad para la que un permiso
concreto sea necesario, como, por ejemplo, una aplicacin que permite escanear
cdigos de barras y solicita permiso para acceder a la cmara del dispositivo mvil.
Se recomienda no otorgar permisos innecesarios o excesivos a las apps, limitando
as los datos y la funcionalidad a la que estas tendrn acceso. Para ello es necesario
19
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

que previamente el usuario entienda porqu una app solicita un permiso determinado,
y para qu es necesario dicho permiso dentro de la funcionalidad proporcionada por
la app.
Las apps correctamente desarrolladas deberan informar al usuario de los motivos
concretos por los que solicitan un permiso.

Figura 3-8 Solicitud de permisos por parte de las apps en Android e iOS. Fuente: Android
Developers [Ref - 13] y Apple Developers [Ref - 14]

3.9.3 Correo electrnico

Una de las tareas ms habituales para las que son empleados los dispositivos
mviles es para el acceso al correo electrnico, disponiendo de una app por defecto
para la utilizacin de este servicio.
Se recomienda consultar la gua de buenas prcticas de correo electrnico del
CCN-CERT [Ref - 15], ya que muchas de las recomendaciones all expuestas son de
aplicacin no solo para los equipos tradicionales (como los ordenadores personales),
sino tambin para los dispositivos mviles.
3.9.4 Aplicaciones de mensajera
Adicionalmente, los dispositivos mviles son frecuentemente utilizados para
establecer comunicaciones personales y profesionales con familiares, amigos,
conocidos, compaeros y otros contactos de trabajo a travs de las aplicaciones de
mensajera, ya sea mediante el envo y recepcin de mensajes de texto (SMS) o

20
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

multimedia (MMS), o mediante el uso de otros servicios de mensajera como WhatsApp,

Telegram, Line, etc.
A travs de estos servicios es posible recibir mensajes con enlaces web que
albergan cdigo daino, con el objetivo de infectar y comprometer el dispositivo mvil
del usuario vctima. El uso de enlaces dainos es una de las tcnicas ms utilizadas para
conseguir ejecutar cdigo en el dispositivo mvil de la vctima o bien para obtener
informacin de la misma. El tipo de enlace (donde apunta, qu tipo de acciones
ejecutar, etc.) depender de los objetivos de los atacantes.
Los usos ms habituales de enlaces dainos estn descritos en la gua de buenas
prcticas de correo electrnico del CCN-CERT [Ref - 15], y son de aplicacin a las
comunicaciones de mensajera: phishing, descarga de ficheros dainos o kits de
explotacin web (Web Exploit Kits).
Los ataques basados en enlaces maliciosos distribuidos a travs de las apps de
mensajera se suelen referenciar como SMiShing, en lugar de phishing (trmino
empleado en la distribucin mediante correo electrnico), y tambin incluyen mensajes
atractivos, sugerentes o sobre los que el usuario debera llevar a cabo una accin
urgente:

Figura 3-9 Ejemplos de mensajes de SMiShing. Fuentes: OSI 4, Hora Jan 5, MDE 6.

https://www.osi.es/es/actualidad/blog/2013/09/09/fraudes-online-vii-smishing-estafa-que-llega-traves-de-un-sms
http://horajaen.com/detienen-a-siete-jiennenses-por-una-estafa-de-pishing/
6 http://descubre.mdeinteligente.co/smishing-5-consejos-para-cuidarte-de-las-estafas-via-mensaje-de-texto/
4
5

21
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

El ataque apodado como Pegasus [Ref - 16] que tuvo lugar en agosto de 2016
contra Ahmed Mansoor, un defensor de los derechos humanos de reconocido prestigio
a nivel internacional y residente en los Emiratos rabes Unidos, utiliz este tipo de
tcnicas basadas en el envo de un mensaje SMS daino para intentar infectar el iPhone
de la vctima y tomar el control completo del mismo mediante un software de espionaje
(spyware) sofisticado, empleando tres (3) nuevas vulnerabilidades desconocidas
pblicamente con anterioridad (0-days):

Figura 3-10 Mensajes SMS dainos recibidos por Mansoor con el remitente falseado (Pegasus).
Fuente: Citizenlab [Ref - 16]

Sin duda alguna, el consejo ms eficaz para identificar mensajes dainos es el

sentido comn, al igual que para el correo electrnico. Esto significa que cualquier
sntoma o patrn fuera de lo considerado normal o habitual debe despertar la sospecha
del usuario.
Un patrn o sntoma irregular puede significar: recibir un mensaje de un remitente
no conocido, recibir un mensaje que solicite informacin personal, que el contenido del
mensaje sea demasiado atractivo como para ser cierto, etc.
Por ejemplo, un mensaje remitido por una compaa de confianza que presente
un asunto o solicitud poco habitual y en el que se incluya algn enlace, debe generar
cierta desconfianza por parte del usuario. Ante este escenario, lo ms recomendable,
antes de pulsar en el enlace, es contactar con el supuesto remitente utilizando otra va
de contacto diferente, por ejemplo, telfono, correo electrnico, etc. De este modo se
podr corroborar si el mensaje recibido es legtimo o no.
Debe tenerse en cuenta que, al igual que sucede con los correos electrnicos, un
atacante podr en ocasiones suplantar el remitente del mensaje, intentando hacerse
pasar por l, por lo que no se debe confiar ciegamente en esta informacin.
3.9.5 Redes sociales
Otro de los usos muy habituales de los dispositivos mviles por parte de los usuarios
es la interaccin con redes sociales, como por ejemplo Facebook, Twitter, Instagram,
etc.
22
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

A la hora de publicar cualquier tipo de informacin personal o imgenes en las

redes sociales, se recomienda evaluar la sensibilidad y privacidad de los datos a
publicar y tener en cuenta que esos contenidos pasarn a estar disponibles
potencialmente para numerosas personas, no nicamente para el crculo cerrado de
amistades del usuario.
Esa informacin es frecuentemente utilizada tanto para coaccionar o chantajear
al usuario con su difusin, como para obtener datos decisivos o establecer relaciones y
comunicaciones que determinen el xito o fracaso de una campaa de phishing
dirigido (spear phishing) contra el usuario o la organizacin en la que trabaja.
3.9.6 Navegacin web
Igualmente, es muy habitual que los dispositivos mviles sean utilizados para tareas
de navegacin web, con el objetivo de consultar contenidos web o de interactuar con
multitud de servicios disponibles en Internet, disponiendo del navegador web estndar
o de una app especfica para su utilizacin.
El protocolo involucrado en el proceso de navegacin web para el acceso a
contenidos y servicios web es HTTP. Este protocolo ha sido utilizado desde 1991 7 y cuando
fue implementando no se tuvieron en cuenta medidas de seguridad tales como el
cifrado o la autenticacin robusta de las comunicaciones.
Esto quiere decir que todo el proceso de peticin y respuesta de contenidos entre
el dispositivo mvil y un servidor o aplicacin web se realiza en texto plano, es decir, que
en cualquier punto de la trasmisin un atacante podra ver y manipular el contenido de
las pginas web.
Debido a estas carencias en HTTP, se han ido desarrollado diversas tecnologas y
extensiones que permiten incorporar medidas de seguridad a las comunicaciones web,
por ejemplo, para garantizar el cifrado de los datos transmitidos. Por este motivo surgi
el protocolo HTTPS, basado en TLS, indicando mediante la letra "S" sus caractersticas de
seguridad adicionales.
Utilizar HTTPS permite, por ejemplo, inicializar un intercambio TLS con el servidor web
previo al envo de cualquier dato sensible, como las credenciales del usuario necesarias
al acceder a un servicio web como el correo electrnico, redes sociales o un banco o
tienda online. De esta forma, un atacante que monitorice las comunicaciones no podra
acceder a dicha informacin sensible.
En el caso de la navegacin web a travs de un dispositivo mvil, como por
ejemplo Safari, Chrome, Firefox, etc., el usuario dispone de la posibilidad de indicar que
desea hacer uso del protocolo HTTPS.
A diferencia de las comunicaciones empleadas por las aplicaciones mviles,
donde la conexin se lleva a cabo automticamente por parte de la app, sin que el

http://info.cern.ch/hypertext/WWW/History.html

23
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

usuario deba o pueda indicar el servidor al que se quiere conectar, o como desea
conectarse.
Los proveedores, organizaciones y compaas ms conocidas que disponen de
una pgina web permiten el acceso a sus servidores web mediante HTTPS, aunque
todava muchas organizaciones hoy en da siguen haciendo uso exclusivo de HTTP.
Por tanto, se recomienda, siempre que sea posible, hacer uso del protocolo HTTPS
mediante la insercin del texto "https://" antes de introducir la direccin web del servidor
con el que se desea conectar.
Debe tenerse en cuenta, que estas medidas de seguridad son susceptibles de ser
atacadas. Por ejemplo, HTTPS es vulnerable frente a ataques Man-in-the-Middle (MitM),
donde un atacante se sita en medio de la comunicacin entre el dispositivo mvil y el
servidor o aplicacin web remoto, con el objetivo de manipular la comunicacin.
Por un lado, el atacante puede intentar suplantar al servidor o aplicacin web
legtimo, ofreciendo al usuario vctima un certificado digital que puede ser similar al
legtimo, pero que no ser aceptado como vlido o de confianza por su navegador
web.
Como resultado, el navegador web generar un mensaje de error del certificado
que, en caso de ser aceptado por el usuario, har que se establezca una conexin
cifrada con el atacante, permitindole interceptar todos los datos intercambiados,
incluyendo credenciales de acceso y otra informacin confidencial y crtica.
Por otro lado, el atacante puede intentar eliminar el uso de HTTPS en toda
comunicacin entre el usuario y el servidor o aplicacin web legtimo, empleando un
ataque conocido como sslstrip, con consecuencias similares para el usuario.
El usuario nunca debera aceptar un mensaje de error del navegador web
asociado a un certificado digital invlido, recomendndose cancelar la conexin. En su
lugar, se debe verificar si realmente se est conectando al servidor web que pretende
conectarse a travs de la direccin web e intentar obtener ms detalles del motivo por
el que se ha generado el error de certificado.
En caso de ser necesario establecer la conexin, se recomienda hacer uso de otra
red, por ejemplo, la red de datos mviles 2/3/4G si se estaba empleando una red Wi-Fi
o incluso un ordenador conectado a otra red diferente, como la red de la oficina o de
casa.

24
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

Figura 3-11 Ataques MitM y sslstrip: Error de certificado o ausencia de HTTPS.

Para verificar si la conexin con un servidor o aplicacin web es cifrada, debe

verificarse que la barra de direccin del navegador web hace uso de HTTPS, indicado
por el texto "https://" al comienzo de la direccin web.
Desafortunadamente, por defecto, la barra de direccin de los navegadores web
de los dispositivos mviles modernos tiende a minimizar la informacin mostrada al
usuario, destacando nicamente el dominio con el que se ha establecido la conexin.
Para poder obtener todos los detalles del servidor web y del recurso accedido, as
como verificar si el mtodo de conexin empleado es HTTPS (verificar que aparece un
candado no siempre es suficiente), puede ser necesario seleccionar la barra de
direccin y desplazarse hacia la izquierda para visualizar todos los detalles:

Figura 3-12 Ataques MitM y ssltrip: Verificacin manual del uso de HTTPS.

25
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

4. OTRAS RECOMENDACIONES DE CARCTER GENRICO

Desde el punto de vista corporativo, se recomienda hacer uso de soluciones de

gestin empresarial de dispositivos mviles (MDM, Mobile Device Management), con
el objetivo de disponer de capacidades para definir, establecer y monitorizar las
diferentes recomendaciones de seguridad sobre todos los dispositivos mviles de la
organizacin de manera homognea.
Estas soluciones permiten aplicar configuraciones de seguridad en los dispositivos
mviles en funcin de las polticas de seguridad definidas previamente por la
organizacin.

El proceso de jailbreak (iOS) o rooting (Android) consiste en llevar a cabo ciertas

acciones (mediante la explotacin intencionada de vulnerabilidades) en el
dispositivo mvil para tomar control completo del mismo y disponer de los mximos
privilegios.
Aunque algunos usuarios realizan este proceso para disponer de capacidades y
funcionalidades no existentes por defecto, debido a limitaciones impuestas por el
fabricante, no se recomienda su utilizacin.
Como resultado, se deshabilitan muchos de los mecanismos de seguridad existentes
en las plataformas mviles. Si no se dispone de los suficientes conocimientos
tcnicos, tras realizar el proceso de jailbreak o rooting, el usuario dispondr de un
dispositivo mvil ms inseguro y que podra ser ms fcilmente comprometido o
infectado.

Se recomienda hacer uso de contraseas robustas [Ref 17] para todos y cada uno
de los servicios y aplicaciones que son accedidos desde el dispositivo mvil. Dichas
contraseas no deben de ser reutilizadas entre distintos servicios o aplicaciones.
Adicionalmente, para los servicios o aplicaciones que dispongan de esta
funcionalidad, y especialmente para los de mayor criticidad, se recomienda hacer
uso de un segundo factor de autenticacin.

En el caso de ser posible, se recomienda no almacenar las credenciales de los

diferentes servicios y aplicaciones utilizados en el propio dispositivo mvil, ya que
stas podran ser recuperadas en caso de que el dispositivo se viera infectado.

Debe informarse inmediatamente al responsable de seguridad de la organizacin

en el caso de perder o extraviar el dispositivo mvil, al igual que si se identifica
cualquier comportamiento anmalo o sospechoso al hacer uso del mismo.

Adicionalmente al cdigo de acceso, se recomienda establecer el PIN asociado a

la tarjeta SIM para evitar un uso indebido y no autorizado de las capacidades de
comunicacin de telefona, como la realizacin de llamadas telefnicas. El cdigo
de acceso y el PIN de la tarjeta SIM deben de ser diferentes.

Con el objetivo de identificar posibles infecciones en el dispositivo mvil o cualquier

otro tipo de fraude relacionado, el usuario debera verificar mensualmente el
consumo asociado a su contrato a travs de la factura del operador de telefona
26
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

mvil e identificar lo antes posible anomalas, como por ejemplo el envo de

mensajes de texto (SMS) o multimedia (MMS), o la realizacin de llamadas de voz
que no son reconocidas.

5. DECLOGO DE RECOMENDACIONES
Declogo de seguridad de los dispositivos mviles
El dispositivo mvil debe de estar protegido mediante un cdigo de acceso robusto
asociado a la pantalla de bloqueo (o en su defecto, una huella dactilar digital).
1

El cdigo de acceso debe ser solicitado inmediatamente tras apagarse la pantalla,

que debera de bloquearse automticamente lo antes posible si no hay actividad por
parte del usuario. No se debe dejar el dispositivo mvil desatendido sin bloquear.

Se debe hacer uso de las capacidades nativas de cifrado del dispositivo mvil con el
objetivo de proteger todos los datos e informacin almacenados en el mismo.

El sistema operativo del dispositivo mvil debe estar siempre actualizado, al igual que
todas las aplicaciones mviles (apps).

No conectar el dispositivo mvil a puertos USB desconocidos y no aceptar ninguna

relacin de confianza a travs de USB si no se tiene constancia de estar conectando
el dispositivo mvil a un ordenador de confianza.

Deshabilitar todos los interfaces de comunicaciones inalmbricas del dispositivo mvil

(NFC, Bluetooth y BLE, Wi-Fi, servicios de localizacin, etc.) que no vayan a ser
utilizados de forma permanente por parte del usuario. Deberan habilitarse
nicamente cuando vayan a ser utilizados, y volver a deshabilitarse al finalizar su uso.

No conectar el dispositivo mvil a redes Wi-Fi pblicas abiertas (o hotspots Wi-Fi) que
no implementan ningn tipo de seguridad.

No instalar ninguna aplicacin mvil (app) que no provenga de una fuente de

confianza, como los mercados oficiales de apps (Google Play, App Store, etc.).

Se recomienda no otorgar permisos innecesarios o excesivos a las apps, limitando as

los datos y la funcionalidad a la que stas tendrn acceso.

Siempre que sea posible se debe hacer uso del protocolo HTTPS (mediante la insercin
del texto "https://" antes de la direccin web del servidor a contactar).
Nunca se debera aceptar un mensaje de error de certificado digital invlido.

10

Se deben realizar copias de seguridad (backups) peridicas, y preferiblemente

automticas, de todos los contenidos del dispositivo mvil que se desea proteger y
conservar.
Figura 5-1. Declogo de seguridad

27
SIN CLASIFICAR

CCN-CERT BP-03/16

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

6. ANEXO A. REFERENCIAS
[Ref 1]

[Ref 2]

[Ref 3]

[Ref 4]

[Ref 5]

[Ref 6]

[Ref 7]

[Ref 8]

[Ref 9]

[Ref 10]

"Mobile Threat Report. Whats on the Horizon for 2016". McAfee Labs (Intel).
Informe
2016
http://www.mcafee.com/us/resources/reports/rp-mobile-threat-report-2016.pdf
"Worldwide Smartphone OS Market Share". IDC.
Informe
Q2 2015
http://www.idc.com/prodserv/smartphone-os-market-share.jsp
"Beware of Juice-Jacking". KrebsonSecurity.
Blog Post
Agosto 2011
https://krebsonsecurity.com/2011/08/beware-of-juice-jacking/
iCloud. Apple.
Web
https://www.icloud.com
Android Device Manager (o Administrador de Dispositivos Android). Google.
Web
https://www.google.com/android/devicemanager
"New Android NFC Attack Could Steal Money From Credit Cards Anytime Your Phone
Is Near"
Blog Post
May 2015
http://www.idigitaltimes.com/new-android-nfc-attack-could-steal-money-creditcards-anytime-your-phone-near-445497
"Bluetooth Hack Leaves Many Smart Locks, IoT Devices Vulnerable"
Blog Post
August 2016
https://threatpost.com/bluetooth-hack-leaves-many-smart-locks-iot-devicesvulnerable/119825/
"Why Do Wi-Fi Clients Disclose their PNL for Free Still Today?". DinoSec.
Blog Post
February 2015
http://blog.dinosec.com/2015/02/why-do-wi-fi-clients-disclose-their-pnl.html
"Avast free Wi-Fi experiment fools Mobile World Congress attendees". Avast.
Blog Post
February 2016
https://blog.avast.com/2016/02/24/avast-free-wi-fi-experiment-fools-mobile-worldcongress-attendees/
"Surprise! Scans Suggest Hackers Put IMSI-Catchers All Over Defcon"
Blog Post
August 2016
http://motherboard.vice.com/read/surprise-scans-suggest-hackers-put-imsicatchers-all-over-defcon

28
SIN CLASIFICAR

CCN-CERT BP-03/16

[Ref 11]

[Ref 12]

[Ref 13]

[Ref 14]

[Ref 15]

[Ref 16]

[Ref 17]

[Ref 18]

SIN CLASIFICAR

Buenas Prcticas en Dispositivos Mviles

"How mobile apps leak user data thats supposedly off-limits". Sophos.
Blog Post
February 2016
https://nakedsecurity.sophos.com/2016/02/29/how-mobile-apps-leak-user-datathats-supposedly-off-limits/
"Alternative (Open) Distribution Options". Android Developers.
Documentation
https://developer.android.com/distribute/tools/open-distribution.html
Requesting Permission. Apple Developers.
https://developer.apple.com/ios/human-interfaceguidelines/interaction/requesting-permission/
Requesting Permissions at Run Time. Android Developers.
https://developer.android.com/training/permissions/requesting.html
"Buenas Practicas. CCN-CERT BP-02/16. Correo electronico". CCN-CERT.
Informe
Julio 2016
https://www.ccn-cert.cni.es/informes/informes-ccn-cert-buenas-practicas-bp.html
"The Million Dollar Dissident: NSO Groups iPhone Zero-Days used against a UAE
Human Rights Defender". Citizenlab.
Blog Post
Agosto 2016
https://citizenlab.org/2016/08/million-dollar-dissident-iphone-zero-day-nso-groupuae/
Schneier on Security
Blog Post
March 2014
https://www.schneier.com/blog/archives/2014/03/choosing_secure_1.html
"Bypassing iOS Lock Screens: A Comprehensive Arsenal of Vulns". DinoSec.
Blog Post
October 2016
http://blog.dinosec.com/2014/09/bypassing-ios-lock-screens.html

29
SIN CLASIFICAR