Para las empresas que monetizan mediante modelos de marketplace publicitario, las redes de publicidad de terceros, las plataformas de analítica y los scripts de marketing son indispensables. Son necesarios para generar ingresos impulsando el engagement y rastreando el comportamiento de los usuarios.
Pero también conllevan riesgos en el lado del cliente.
Hablamos de inyecciones de anuncios maliciosos, esquemas de phishing y vulnerabilidades en scripts de terceros que los atacantes explotan cada vez con más frecuencia.
Estudios como el Verizon 2024 Data Breach Investigations Report (DBIR) y la Encuesta de Riesgo Empresarial de Forrester subrayan que las vulnerabilidades en la cadena de suministro digital —incluidas las dependencias de terceros— son una de las principales causas de las brechas de datos modernas.
Y es que estos scripts tienen pleno control en el navegador de tus usuarios. En esencia, pueden cargar lo que quieran y cambiar por completo la experiencia del visitante.
Nuestro objetivo es destacar las mejores prácticas para proteger los datos de los usuarios finales y garantizar el cumplimiento continuo. Incluso bajo la presión de maximizar los ingresos publicitarios. Una cosa no debería excluir a la otra.
En qué consisten exactamente estas amenazas
- Scripts maliciosos: Los modelos de marketplace publicitario dependen de la rotación frecuente de scripts para analítica y renderizado de anuncios. Los actores maliciosos aprovechan estos entornos dinámicos para incrustar malware o interceptar datos. Como indica el DBIR, la inyección maliciosa a través de servidores de anuncios o la manipulación directa de scripts sigue siendo uno de los principales vectores de infiltración.
- Robo de credenciales y exploits: El DBIR destaca cómo el phishing, las credenciales robadas y las vulnerabilidades de tipo exploit ocupan cada vez más los primeros puestos entre las causas de brechas. Los atacantes se aprovechan de las plataformas de marketing y los scripts sin supervisión para acceder rápidamente a áreas más sensibles del sitio web.
- Explosión de los ecosistemas de terceros: La investigación de Forrester sobre riesgo de terceros muestra que la dependencia excesiva de proveedores ha complicado la supervisión del riesgo, con un 25 % de las empresas atribuyendo un mayor riesgo de seguridad a sus crecientes redes de terceros. Sin embargo, por razones que incluyen limitaciones de recursos y prioridades en competencia, menos de la mitad de las empresas evalúan siquiera el 50 % de sus relaciones con terceros.
- Uso de tecnología moderna: Como señala Forrester, muchas empresas no consideran la gestión de riesgos de terceros (TPRM) una prioridad de alto nivel, a pesar de que exploits de día cero como MOVEit ponen de manifiesto las debilidades de la cadena de suministro. La supervisión manual no puede seguir el ritmo de la naturaleza dinámica de los ecosistemas digitales modernos, lo que permite que las vulnerabilidades del lado del cliente pasen desapercibidas.
Cómo se aplica esto en el ámbito de los marketplaces publicitarios
La dependencia de redes publicitarias externas y proveedores de tecnología de marketing convierte a las plataformas de marketplace publicitario, y a quienes las integran, en objetivos prioritarios para los atacantes. Forrester menciona específicamente que las finanzas, la manufactura y las grandes corporaciones multinacionales tienen un riesgo elevado, pero no priorizan de forma consistente la seguridad de terceros.
Las empresas que operan a nivel internacional se enfrentan a variaciones en los marcos regulatorios. Las empresas de la región EMEA, por ejemplo, están sujetas a mandatos más estrictos a través de la Ley de Resiliencia Operativa Digital (DORA) de la UE y el RGPD.
Mientras tanto, las organizaciones de Norteamérica y APAC registraron fuertes caídas en la preocupación por el TPRM, a pesar del aumento continuo de scripts publicitarios e infraestructuras transfronterizas. Esta brecha regulatoria suele derivar en una evaluación inconsistente de los proveedores.
Y, por supuesto, descuidar las relaciones con terceros puede acarrear todo tipo de problemas: pérdida de ingresos, multas por incumplimiento o incluso demandas colectivas tras una brecha de datos. Una vez que los atacantes se instalan en el lado del cliente, pueden extraer datos de consumidores o secuestrar campañas con relativa facilidad, y probablemente sin ser detectados.
Cómo resolver esto
Para reforzar la gestión de riesgos en el lado del cliente y con terceros, las organizaciones deben adoptar un enfoque estructurado y proactivo.
En primer lugar, hay que mantener un registro completo y actualizado periódicamente de todos los socios de analítica y ad-tech. Cada proveedor debe evaluarse en función de su acceso a datos sensibles de los usuarios y de la dependencia de ingresos que la organización tiene de sus servicios.
La automatización puede desempeñar un papel importante en las evaluaciones de proveedores. Cualquier organización que gestione redes extensas de scripts de terceros debería implementar plataformas robustas de TPRM o de gobernanza, riesgo y cumplimiento. Estas herramientas ofrecen evaluación continua y agilizan la supervisión, pasando de listas de verificación estáticas y anuales a una monitorización dinámica en tiempo real. Y además ahorra mucho tiempo, lo que se traduce en un ahorro considerable de dinero.
En el lado del cliente, existen diversas opciones en el mercado. Desarrollamos una solución basada en proxy que garantiza visibilidad sobre los scripts publicitarios mientras se ejecutan. Esto permite detectar y bloquear inyecciones maliciosas en tiempo real, algo que no todas las herramientas pueden ofrecer.
Como estándar, la autenticación multifactor (MFA) debería ser obligatoria para todos los accesos administrativos, y las credenciales de las plataformas de terceros deberían estar segmentadas. Implementar herramientas de detección de phishing en todos los equipos también refuerza la resiliencia.
Alinear las inversiones en seguridad con los riesgos reconocidos es igualmente importante. Las organizaciones que reconocen su exposición a terceros tienen más probabilidades de obtener presupuestos más elevados para la gestión de riesgos. Aprovecha este impulso para financiar plataformas de TPRM y herramientas de inspección de código.
Conclusiones
La monetización de tu marketplace publicitario probablemente esté en riesgo por la propia naturaleza de su implementación en tu sitio. No es un error, es una característica. Simplemente viene con el territorio. Al fin y al cabo, así es el entorno del lado del cliente.
Esto es lo que deberías llevarte de todo esto.
Prioriza la seguridad del lado del cliente para proteger estos scripts, y con ello a tus usuarios y a ti mismo. Usa una herramienta como cside para monitorizar continuamente el comportamiento de estos scripts de terceros y detectar cualquier intento malicioso.
Al mismo tiempo, crea un inventario de estos scripts de terceros (algo que cside hace por ti) y asegúrate de evaluar bien a tus socios.
Tu éxito continuado va de la mano de la seguridad de tu sitio web. Presta atención a cada eslabón de la cadena de suministro web y garantiza que tus visitantes y usuarios puedan navegar por tus páginas con total seguridad.
