¿Qué son las apps móviles WebView y cómo funcionan?
Las apps WebView son aplicaciones web que se comportan como apps móviles, pero en realidad se ejecutan en un entorno de navegador instalado en el dispositivo del usuario. Este es un vector de ataque oculto, especialmente para el robo de credenciales en apps bancarias WebView.
Una app móvil WebView se confunde frecuentemente con una Progressive Web Application (PWA); sin embargo, son ligeramente diferentes.
Ambas se utilizan principalmente para simplificar el soporte multiplataforma. En lugar de desarrollar esencialmente la misma funcionalidad en múltiples infraestructuras de front-end, ahora puede hacerse en una sola. También son más ligeras de ejecutar y actualizar.
¿Por qué las apps bancarias son un objetivo principal para el robo de credenciales?
Las apps bancarias construidas como WebViews son un blanco fácil porque dan acceso directo al dinero. Una vez que la sesión es secuestrada (o las credenciales son robadas), los atacantes pueden moverse rápido. El camino desde el ataque hasta el botín es mucho más corto que con otros tipos de ataques.
¿Cuáles son los 2 tipos de robo de credenciales en PWAs bancarias?
Hay 2 formas en que se produce el robo de credenciales bancarias en apps WebView. En ambos casos, los atacantes aprovechan la infraestructura basada en navegador sobre la que están construidas las WebViews. Ya sea atacando apps bancarias PWA reales inyectando scripts maliciosos (= ataques del lado del cliente), o creando apps bancarias falsas (= phishing).
Ataques del lado del cliente en WebViews reales
Dado que WebView se ejecuta en un entorno de navegador en el teléfono, está sujeto tanto a las ventajas como a las desventajas de los ataques de navegador. Estos entornos de navegador también se denominan el "cliente" del usuario; de ahí, ataques del lado del cliente.
El tipo más destacado de ataques del lado del cliente son los ataques a la cadena de suministro web. Aquí es donde las herramientas de terceros que se ejecutan en el entorno del navegador (como herramientas de marketing, píxeles de seguimiento, etc.) son comprometidas. Luego modifican o añaden funcionalidad al script para interceptar tráfico, copiar campos de formulario enviados y todo tipo de otros ataques.
Todos estos ataques del lado del cliente son posibles en WebViews.
WebViews falsas utilizadas en ataques de phishing
¿Qué es mejor que intentar comprometer una app bancaria real? Construir una falsa. Aquí los atacantes crean copias de WebViews bancarias con funcionalidad mínima. Luego, en ataques de phishing, manipulan socialmente a los usuarios para que descarguen esas apps maliciosas. En cuanto inician sesión, los atacantes han capturado las credenciales, y a menudo incluso el 2FA.
Ejemplos de robo de credenciales en WebViews bancarias
OTP Bank (2023)
A finales de 2023, un ataque de phishing tuvo como objetivo con éxito a OTP Bank (Hungría). Las víctimas recibieron un SMS con un enlace a un sitio web falso que imitaba a OTP Bank. La página instaba a los usuarios a instalar una app, en este caso una WebView.
En cuanto los usuarios intentaron iniciar sesión, los atacantes habían robado con éxito sus credenciales y códigos 2FA.
TBC Bank (2023-2024)
TBC Bank en Georgia sufrió un ataque desde finales de 2023 hasta 2024. En este ataque, los usuarios fueron atacados mediante llamadas de voz y anuncios en redes sociales. También aquí, una página de destino con una instalación falsa de PWA instó a los usuarios a descargar la app maliciosa. Todas las credenciales fueron capturadas y utilizadas por los atacantes.
Lee sobre los ataques a OTP Bank y TBC Bank aquí.
British Airways (2018)
En el ataque del lado del cliente más notorio hasta la fecha, su app móvil también estuvo involucrada. Se interceptaron 429.612 transacciones de clientes, la mayoría de las cuales tuvieron sus credenciales bancarias robadas. La app de BA también era una WebView, salvo por un service worker (y un manifiesto instalable), lo que significaba que técnicamente no era instalable ni tenía capacidad offline como una WebView completa. Pero a todos los efectos prácticos, era una WebView.
Escribimos la historia completa en el micrositio baways.
