Japón alerta a las empresas por fugas de datos y fallos básicos

La oficina también señala carencias de los propios operadores: seguridad insuficiente en el desarrollo de apps móviles, errores de configuración en sitios web y uso continuado de software sin soporte o con vulnerabilidades conocidas sin corregir.

Tres ámbitos de actuación

El primero es la operación y gestión. Las empresas deben conocer el software que usan y sus vulnerabilidades, y fijar prioridades y plazos de corrección. La oficina menciona paneles de administración expuestos en internet que fueron vulnerados con contraseñas fáciles de adivinar o ataques de fuerza bruta, y pide no publicar paneles ni funciones innecesarios. Recomienda además análisis continuos de vulnerabilidades, también con IA, y revisión de registros para detectar comportamientos sospechosos.

El segundo es el diseño y desarrollo. Reclama aplicar la seguridad desde el diseño desde el inicio del proyecto. Ha detectado que se analizan apps publicadas para obtener datos de forma ilícita mediante API, por lo que pide restringir accesos y gestionar bien las credenciales, y aconseja pruebas de vulnerabilidades antes del lanzamiento en sistemas con datos personales.

El tercero es la cadena de suministro. Hay intrusiones que parten del entorno de contratistas o proveedores de mantenimiento para llegar a la empresa cliente. La oficina pide identificar las vías de conexión, como VPN y escritorio remoto, e implantar autenticación multifactor. También insta a definir de antemano los pasos iniciales ante vulnerabilidades graves en software de código abierto o bibliotecas externas.

La oficina ya había emitido otra alerta el 9 de octubre, en la que pedía aplicar parches con rapidez e implantar autenticación multifactor en toda la organización. El nuevo aviso amplía esas pautas a la operación y el desarrollo de sitios web y apps.