Una demora de 100 milisegundos en el tiempo de carga de una página Web daña las ventas hasta en 7%: Akamai
- Los ataques a las aplicaciones Web van en aumento. Los hackers explotan las funciones interactivas en los sitios Web para robar datos e impedir el acceso de los clientes, lo que puede reducir los ingresos de una empresa y dañar su reputación.
- Los ataques se pueden prevenir, pero muchas organizaciones hacen muy poco para evitarlos.
Ciudad de México a 27 de agosto de 2018.- Akamai Technologies, Inc. (NASDAQ: AKAM), la plataforma de distribución en la Nube más fiable y más grande del mundo, asegura que los ataques Web que roban datos o desfiguran un sitio Web han existido por más de dos décadas. Aunque es bastante fácil de prevenir, todavía causan problemas y los problemas se producen con mayor frecuencia.
Los ataques, en los cuales los piratas informáticos ingresan a un sitio escribiendo códigos en campos de formulario, aumentaron 25% en todo el mundo el año pasado, según datos del segundo trimestre publicados por Akamai Technologies en su informe Estado de Internet / Seguridad. Estados Unidos es de lejos el objetivo más grande, con 218 millones de incidentes sólo en el segundo trimestre.
A menos que las compañías tomen medidas preventivas, corren el riesgo de perder datos, clientes e ingresos.
Tipos de ataques de aplicaciones Web
La aplicación Web ataca el código insertado en partes interactivas de un sitio Web, lo que hace que el servidor libere datos o ejecute archivos dañinos. Vienen en varias formas, cada una de las cuales puede dañar un negocio a su manera.
Un ataque de secuencias de comandos entre sitios, o XSS, inserta un código que puede alterar un sitio Web o redirigir a los usuarios a un sitio falso para que los piratas informáticos puedan robar sus credenciales. Esto le sucedió a eBay hace unos años. Los ataques XSS representaron 9% de los ataques a aplicaciones Web en el último trimestre, según el informe de Akamai.
También son frecuentes los ataques de inclusión local de archivos o LFI, que abarcaron 33% de los ataques a la aplicación Web del segundo trimestre. En estos, los hackers agregan comandos codificados a campos interactivos que solicitan acceso a archivos confidenciales en el servidor Web. En algunos casos, un ataque LFI puede ejecutar código malicioso.
El tipo más común de ataque de aplicaciones Web, y el más grave, es la inyección SQL, o SQLi, que representó 51% de los ataques a aplicaciones Web en el segundo trimestre. En estos, un pirata informático escribe comandos que pueden obligar a un servidor a revelar información almacenada en bases de datos.
Cómo puede dañar SQLi
Mientras busca datos para robar, un ataque SQLi ata los recursos de un servidor. Esto hace que la información buscada por otros, incluidos los clientes, se cargue más lentamente. La demora puede durar solo milisegundos, pero puede ser demasiado larga para algunos.
"Si una página se carga en 30 a 100 milisegundos en lugar de 10 a 20, ese ligero retraso es suficiente para costarle dinero a una empresa", dijo John Summers, Enterprise Vice President and General Manager de Akamai Technologies. "Si está vendiendo algo, los clientes lo encontrarán en otro lugar. Puede significar la pérdida de millones de dólares".
Una demora de 100 milisegundos en el tiempo de carga daña las ventas hasta en 7%, encontró un informe reciente de Akamai. Un retraso de dos segundos duplica la cantidad promedio de personas que navegan fuera de un sitio.
Y hay más de qué preocuparse. Mientras aleja a los clientes, el ataque también está extrayendo información de una base de datos. Un sólo ataque puede devolver solo una pequeña cantidad de información. Pero los hackers a menudo atacan muchas veces hasta que extraen todo el contenido de la base de datos.
Un ataque puede robar los nombres de usuario y las contraseñas de las cuentas de los clientes y acceder a su historial de navegación y compras. Si una empresa no encripta la información de la tarjeta de crédito, también puede obtener datos de la tarjeta.
Generalmente, los ataques no pueden robar datos encriptados. Pero si un desarrollador de sitios Web almacena la clave de cifrado de forma incorrecta, un hacker podría encontrarla y usarla para descargar números de tarjetas de crédito y otra información privada, dijo Summers.
Previniendo ataques
Las empresas pueden detener fácilmente los ataques a las aplicaciones Web. Una forma es programar sus sitios para evitar que el lenguaje del comando de computadora se inserte en los campos de respuesta del cliente. Otra es instalar firewalls de aplicaciones Web.
Estos firewalls pueden analizar el tráfico del sitio Web y alertar a una empresa si los visitantes provienen de una parte del mundo donde normalmente no hacen negocios.
"Si su base de clientes es 99% europea y de repente recibe tráfico de Australia, debe tener precaución", dijo Summers.
El sistema de firewall de Akamai analiza el tráfico inusual y también clasifica las direcciones IP individuales, dando una puntuación de alto riesgo a aquellos que han estado involucrados en otros ataques. Una vez alertado sobre el tráfico sospechoso, una empresa puede aplicar controles de fraude adicionales antes de aprobar las interacciones.
Tomar medidas preventivas contra los ataques a las aplicaciones Web no es difícil, pero muchas empresas no invierten recursos suficientes para que sean eficaces. Otros no pueden volver a evaluar sus sitios para mantenerse al día con el panorama cambiante de las amenazas.
"Se necesita tiempo, energía, dinero y voluntad, y no ha sido una prioridad", dijo Summers.
Mientras tanto, los piratas informáticos están rastreando la Web en busca de sitios Web vulnerables a los ataques de aplicaciones. Incluso tienen una herramienta que automatiza el proceso de búsqueda de páginas maduras para un ataque SQLi. Los videos de YouTube explican cómo usar la herramienta.
En este entorno, las empresas deben ajustar sus prioridades para prepararse para los ataques a las aplicaciones Web, y no solo los ataques altamente publicitados, como los que involucran la denegación de servicio distribuida, dijo Summers.
"Los ataques a las aplicaciones Web –concluye el directivo--, pueden acumular recursos, causar retrasos, costar dinero, quitar datos de los clientes y ponerlo en las noticias. No cierran tu sistema como un ataque DDoS, pero a largo plazo tienen el mismo efecto en tu negocio."