Durante los últimos días han sido varios los blogs y agencias de noticias que se han hecho eco del último informe realizado por la empresa de seguridad GFI. En este informe se arrojan datos que han sorprendido a propios y extraños al demostrar que Windows ha sido el sistema operativo con menos vulnerabilidades en 2014, siendo superado por Linux y Mac.
Analizando las cifras
Si echamos un vistazo a las tablas que han levantado tanta polémica veremos que los números no mienten y que Windows aparentemente tiene menos vulnerabilidades que Mac e incluso que Linux. Sin embargo, también vemos que en esta gráfica el sistema Windows se subdivide en varias versiones, mientras que Mac OS X y Linux engloba a varias versiones.
Sin embargo, tampoco podemos sumar todas las versiones y hacer una categoría única de Windows, puesto que muchas de estas vulnerabilidades son comunes entre las distintas versiones de Windows y solo contarían como una, por lo que, a pesar de que la clasificación puede inducir a error, en realidad los datos finales siguen representando un mayor número de vulnerabilidades en sistemas tradicionalmente considerados como mucho más seguros.
Las aplicaciones como vector de ataque
Aun teniendo en cuenta el mayor número de vulnerabilidades descubiertas desde el pasado año en sistemas operativos distintos a Windows, no podemos negar la evidencia, y esta no es otra que Windows sigue siendo, con diferencia, el sistema más atacado por los delincuentes. La razón es simple: sigue teniendo toda la lógica del mundo que el mayor número de ataques se dirijan a aquella plataforma que, con permiso de Android, dispone de un mayor número de usuarios.
Pero además y como muy bien apunta nuestro compañero de profesión y buen amigo Lorenzo Martínez en su post analizando este mismo tema, los agujeros de seguridad en aplicaciones y complementos instalados en un sistema pueden representar un problema de seguridad tanto o más importante que las propias vulnerabilidades en el sistema operativo.
Los navegadores representan una de las principales puertas de entrada del malware actualmente y eso se puede observar también en el número de vulnerabilidades descubiertas en ellos. Sin embargo, Internet Explorer se encuentra instalado tan solo en sistemas Windows y esto hace que la balanza de posibles amenazas se decante hacia este sistema operativo.
Luego tenemos el software multiplataforma de Adobe y Oracle. Complementos como Flash o Java siguen presentando serios problemas de seguridad para los usuarios y sus vulnerabilidades son explotadas activamente y de forma masiva por los delincuentes y sus kits de exploits.
Aunque este software se pueda instalar en Linux, Mac OS X y Windows, son los usuarios de este último quienes más sufren los ataques, aunque a veces los delincuentes intentan maximizar sus posibilidades de infección lanzando campañas que detectan el sistema que accede a una web comprometida y descarga malware adaptado a dicho sistema.
¿Cambio en los tipos de ataque?
Podríamos pensar que este cambio observado en los últimos años y que ha hecho de Windows un sistema mucho más seguro de lo que muchos usuarios aún creen supone también un cambio en el tipo de ataques, siendo estos mucho más avanzados que los que estábamos acostumbrados a ver.
Lo cierto es que a pesar de que cada cierto tiempo se descubren amenazas que innovan a la hora de infectar a un sistema y evitar ser detectadas, estas siguen siendo minoría y los métodos tradicionales siguen funcionando igual de bien para conseguir infectar a millones de usuarios descuidados. Incluso técnicas del pasado como el uso de virus de macro han vuelto a resurgir.
Así se puede constatar, por ejemplo en el Cyber Risk Report 2015 realizado recientemente por HP Security, que las mayores amenazas a las que nos vemos expuestos en la actualidad son las mismas que han estado rondando durante los últimos años e incluso décadas. Hasta un 44% de los incidentes de seguridad ocurrieron aprovechando vulnerabilidades con entre 2 y 4 años de antigüedad y una de cada diez vulnerabilidades explotadas tenía varios años a sus espaldas.
Conclusión
No tiene sentido afirmar categóricamente que tal o cual sistema es más o menos seguro si no se tienen en cuenta todos los factores que pueden afectar a su seguridad. Esto incluye no solo las vulnerabilidades descubiertas durante un periodo determinado de tiempo, sino también el uso de aplicaciones que puedan ampliar su superficie de ataque o la propia formación del usuario en seguridad, uno de los aspectos más descuidados y que ocasiona buena parte de los problemas.
Una vez tenidos en cuenta estos aspectos podremos hablar de fortificar los sistemas con todo tipo de medidas de seguridad, pero siempre partiendo de una base sólida y una formación continua que nos haga estar preparados ante las amenazas presentes y venideras.