El Bug Bounty de Apple no es fácil de encontrar

Muchas compañías utilizan las betas de sus productos para detectar posibles fallos en ellos y así poder solventarlos antes del lanzamiento del producto final.  Apple es una de estas compañías, sin embargo es más habitual que los fallos más graves aparezcan después del periodo de beta, esto se debe a que cuantos más usuarios utilizan el producto es más fácil que alguno de ellos encuentre una posible vulnerabilidad. Por esa misma razón Apple decidió lanzar su Bug Bounty, un programa de recompensas que permite reportar los errores a cambio de recompensas económicas entre los 25.000 y los 200.000 dólares y un reconocimiento por parte de la empresa.

La mayor ventaja de este programa de recompensas es la posibilidad de resolver vulnerabilidades graves que podrían afectar a la privacidad y seguridad de los consumidores antes de que estas se hagan públicas. Aunque las recompensas que ofrece Apple sean generosas resulta una buena inversión para la compañía ya que pueden prevenir grandes pérdidas y problemas judiciales a largo plazo. Por desgracia poca gente conoce la existencia de este programa de recompensas y no es precisamente fácil acceder a él. Al buscar en la página web de Apple no aparece nada de información acerca de su programa de recompensas haciendo que a la hora de reportar un problema haya que hacerlo a través de tickets de soporte o desde el apartado de reporte de bugs de la página de desarrolladores.

Figyra 1: Reporte de bugs desde la página de desarrolladores

El mayor inconveniente del programa Bug Bounty es que en muchas ocasiones es más sencillo reportar el bug a otras empresas dedicadas a la compra venta de vulnerabilidades, que en la mayoría de las ocasiones ofrecen sumas de dinero bastante superiores a las ofrecidas por Apple haciendo que no todos los desarrolladores opten por tomar el buen camino. La dificultad a la hora de reportar bugs a Apple pone en jaque a la seguridad de sus usuarios ya que si alguno de estas vulnerabilidades es explotada podría afectar a millones de personas y tener una gran repercusión mediática.

Nuevo informe de AV-Test sobre malware en macOS

El instituto de seguridad independiente AV-Test ha publicado un informe hablando de malware en distintas plataformas en el año 2015 y 2016. Respecto al mndo Mac podemos ver como sigue aumentando el número de malware para el sistema operativo, así como la cuota de mercado del sistema. Del estudio se puede observar que la fortaleza de macOS contra el malware es solo una ilusión, lo cual es una frase dura que hace el instituto contra la plataforma, ya que muchos usuarios creen que los dispositivos de Apple no pueden ser infectados con un virus. 

La comparación con los sistemas Windows sigue siendo muy dispar, ya que existen muchos más malware para sistemas Windows que para Mac. Solamente 819 amenazas de malware apuntan a sistemas macOS/OSX en 2015, pero esto no significa que estos ataques no fueran serios o una gran amenaza para los usuarios. Además, los atacantes no necesitaron programar un gran número de aplicaciones de malware para obtener datos de usuarios de macOS/OSX. Rara vez, se tienen soluciones antivirus instaladas en los equipos macOS/OSX.

Figura 1: Crecimiento de malware en Mac de 2015 a 2016

En 2014, Apple se retractó de su declaración de que un macOS no puede ser infectado, después de que el troyano Flashback secuestrase más de 600.000 equipos macOS, a través del uso de un exploit de Java. Los ataques de malware para el sistema operativo de Mac solo ha aumentado de un 0,06 a un 0,07 por ciento entre 2015 y 2016, debido a que en parte se posee una cuota de mercado mayor, pero muy inferior a los equipos Windows. A continuación, se puede visualizar el top 10 de los malware que afectaron a sistemas Mac entre 2015 y 2016.

Figura 2: Top 10 en 2015 y 2016

Otro de los tópicos que se ha tenido durante los últimos años es que el hardware en el que se ejecuta un sistema operativo de Apple se ha considerado seguro en sí, pero las apariencias pueden ser engañosas, según indica el informe. Aunque existe mucho menos malware que en Windows, los usuarios de macOS todavía necesitan ser protegidos. Ya lo decían nuestros compañeros Chema Alonso y Pablo González en el año 2011, cuando en la gira Up to Secure hablaban del malware en Mac OS X en la empresa.