La industria del retail farmacéutico se ha visto obligada a moverse mucho mas rápido en esta carrera de la llamada «transformación digital», debido a la pandemia global que actualmente atraviesa la sociedad. Por tanto, las empresas farmacéuticas han tenido que utilizar aplicaciones que ya tenian desplegadas o desplegar aplicaciones rápidamente. Estas aplicaciones son las mismas que mueven su negocio para gestionar recetas y pedidos de medicamentos, descuentos, etc. y que hacen atractivo a los clientes el uso de sus servicios en esta época de alta demanda de medicamentos.
Por otra parte, muchos gobiernos del mundo establecieron la cuarentena obligatoria, la cual hizo que las personas hiciesen mayor uso de los medios digitales para la compra de medicinas, alimentos y otros productos. Por ello, las aplicaciones móviles y la infraestructura que las soportan juegan un papel fundamental hoy en día, y lo más seguro es que incorporen a nuestro día a día más que nunca.
¿Qué implicaciones tiene esto?
Todos los datos que se generan a través de los clientes son gestionados por tu dispositivo móvil y la infraestructura tecnológica (propia o de un tercero) de las empresas o cadenas farmacéuticas. Como es de suponer, estas aplicaciones podrían tener vulnerabilidades y suponer un riesgo para los datos de los clientes.
Muchas de estas aplicaciones tienen comunicación directa con dispositivos y sistemas de la compañía que ejecutan procesos internos, creando un vector de ataque adicional para los cibercriminales que busquen este tipo de información.
En este análisis he seleccionado la última versión de 29 aplicaciones (iOS/Android) de compañías farmacéuticas en las que el usuario puede acceder a diversos servicios, entre los cuales destacan, principalmente, la compra online de fármacos y la gestión de recetas médicas. Las aplicaciones fueron seleccionadas de manera aleatoria en farmacéuticas de Sudamérica, España y Estados Unidos.
Dentro de este muestreo de aplicaciones nos enfocamos en analizar únicamente la aplicación móvil, ya que si bien se descubrieron debilidades del lado del servidor (backend), éstas no fueron incluidas.
Para esta revisión utilizamos un dispositivo Android (rooteado), un iPhone 5S (no jailbreak) y nuestras plataformas mASAPP (análisis de seguridad continuo de aplicaciones móviles) y Tacyt (herramienta de ciberinteligencia de amenazas móviles).
Resultados del análisis
Los controles de seguridad del Top 10 Mobile de OWASP realizaron pruebas a nivel general, las cuales sólo representan un vistazo general de la cantidad de pruebas que de manera exhaustiva que se podrían realizar a dichas aplicaciones móviles.
En nuestro caso, los resultados demostraron que, si bien se implementaron controles de seguridad para el desarrollo de este tipo de aplicaciones, se encontraron varias debilidades que deberían corregirse y, sobre todo, mantener la mejora continua en el proceso de desarrollo. Las vulnerabilidades encontradas conforme a los controles evaluados se encuentran en la siguiente matriz de resumen:
(-) Característica que aplica solo en plataformas Android
En primer lugar, queremos destacar varias debilidades que encontramos en estructuras fácilmente legibles como archivos XML, API Keys o de configuración, lo que denota un almacenamiento local inseguro.
Si bien una gran parte de estas aplicaciones establecen canales de comunicación seguros (HTTPS) con sus backends, siguen funcionando algunos canales HTTP no cifrados, como muestra nuestro cuadro de resultados. También encontramos aplicaciones que no verifican la autenticidad de sus certificados o certificados autofirmados lo que muestran una necesidad de mejorar la seguridad en este aspecto.
Asimismo, entre otras prácticas inseguras de programación de aplicaciones, observamos la falta de características de ofuscación de código (despersonalización) para dificultar el proceso de reversing en casi todas las aplicaciones Android.
Un dato no menor en este análisis es que 5 de las aplicaciones fueron encontradas por Tacyt en markets no oficiales, en muchos casos desplegadas por usuarios que no eran necesariamente los dueños de la aplicación (a saber con qué fines).
Conclusiones
Creemos que estos hallazgos siguen siendo un aporte más en el avance hacia una mejor seguridad y esperamos que sirva para ayudar a los desarrolladores de aplicaciones del sector farmacéutico.
En esta crisis sanitaria mundial se han producido muchos otros casos en los que las industrias han tenido que transformar muchos de sus servicios tradicionales en servicios digitales, pero de una forma abrupta, con los riesgos informáticos que ello conlleva.
Gestionar la seguridad y privacidad de los datos los usuarios de las aplicaciones farmacéuticas es fundamental, ya que éstas almacenan datos privados de nuestra salud. Es importante que las empresas de este sector sean consientes de que los datos de sus clientes están expuestos a riesgos informáticos y de que, mediante controles apropiados y evaluaciones constantes, deberían protegerlos, manteniendo también a salvo su infraestructura tecnológica ante potenciales ciberamenazas.
