Técnica de codificación segura: hablemos de Tapjacking
Tapjacking, una combinación de «toque» y «secuestro», significa precisamente eso. Se trata de un ataque en el que el atacante secuestra los toques del usuario y lo engaña para que haga algo que no pretendía. Entonces, ¿cómo funciona y cómo lo prevenimos?
Empezaremos nuestra historia con superposiciones de pantalla. Superposiciones de pantalla o, como las llama Google, ventanas con el tipo TYPE_APPLICATION_OVERLAY. Se trata de ventanas que se dibujan sobre otras aplicaciones y, por lo general, solo ocultan una parte de la pantalla. Se utilizan con frecuencia (como en la imagen de ejemplo que aparece a continuación) cuando una aplicación solicita nuevos permisos.
De hecho, esta es una función genial y divertida, y cada vez más aplicaciones comienzan a usarla, piense en las burbujas de chat de Facebook o en la navegación de Google Maps en una esquina de la pantalla, como en la captura de pantalla de abajo.
Sin embargo, existen algunos riesgos de seguridad relacionados con estas superposiciones. Cualquier pantalla superpuesta activa puede escuchar los toques. ¿De qué otra manera sabría Facebook que hemos pulsado o arrastrado la burbuja? Esto permite que las aplicaciones te espíen y, potencialmente, roben contraseñas y datos de tarjetas de crédito.
Un paso más allá, y de ahí proviene el término tapjacking, las superposiciones pueden dibujar cosas sobre otras aplicaciones engañando al usuario para que realice diferentes acciones. El usuario cree que está interactuando con la superposición, pero en realidad, sus toques también realizan acciones en la aplicación subyacente. De esta forma, la superposición puede engañarte para que habilites ciertos permisos o cambies algunas configuraciones peligrosas, como se demuestra en este artículo vídeo antiguo de YouTube.
El vídeo de demostración de arriba se subió a YouTube en 2010, por lo que se hizo en una versión anterior de Android. Sin embargo, el ataque sigue siendo relevante hoy en día, ya que vulnerabilidades salió a la luz que permite el tapjacking en versiones más recientes de Android, como Nougat y Marshmallow.
Entonces, ¿qué puedes hacer al respecto? Como usuario, es importante darse cuenta de las consecuencias de estas superposiciones y estar al tanto de las aplicaciones que las utilizan. A partir del nivel 23 de API (Android 6.0 Marshmallow), se ha convertido en un permiso que tiene que ser otorgado explícitamente por el usuario. Sin embargo, eso deja 50% de Androidlos usuarios siguen siendo vulnerables. Aún puedes comprobar qué aplicaciones hacen uso de este permiso en la configuración, en la sección «Mostrar en lugar de otras aplicaciones».
Como desarrolladores, nos corresponde a nosotros asegurarnos de que las acciones de los usuarios se realicen con el pleno conocimiento y consentimiento del usuario. Android proporciona una configuración para tus vistas que hace precisamente eso, denominada Filtra los toques cuando están oscurecidos. Cuando está habilitada, el marco descartará los toques que se reciban cada vez que la ventana de vistas quede oculta por otra ventana visible. Es tan simple como eso, ¡listo! Filtra los toques cuando están oscurecidos a la verdad, y tu aplicación está a salvo del robo de información.
¡Buena suerte y nos vemos la semana que viene!
A veces es esencial que una aplicación pueda verificar que una acción se está realizando con el pleno conocimiento y consentimiento del usuario, como conceder una solicitud de permiso, realizar una compra o hacer clic en un anuncio. Lamentablemente, una aplicación malintencionada podría intentar engañar al usuario para que realice estas acciones sin saberlo, ocultando el propósito previsto de la visualización.
https://developer.android.com/reference/android/view/View.html
A veces es esencial que una aplicación pueda verificar que se está realizando una acción con el pleno conocimiento y consentimiento del usuario.
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Secure Code Warrior là pour aider votre organisation à protéger le code tout au long du cycle de vie du développement logiciel et à créer une culture où la cybersécurité est une priorité. Que vous soyez administrateur AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Veuillez réserver une démonstration.
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Tapjacking, una combinación de «toque» y «secuestro», significa precisamente eso. Se trata de un ataque en el que el atacante secuestra los toques del usuario y lo engaña para que haga algo que no pretendía. Entonces, ¿cómo funciona y cómo lo prevenimos?
Empezaremos nuestra historia con superposiciones de pantalla. Superposiciones de pantalla o, como las llama Google, ventanas con el tipo TYPE_APPLICATION_OVERLAY. Se trata de ventanas que se dibujan sobre otras aplicaciones y, por lo general, solo ocultan una parte de la pantalla. Se utilizan con frecuencia (como en la imagen de ejemplo que aparece a continuación) cuando una aplicación solicita nuevos permisos.
De hecho, esta es una función genial y divertida, y cada vez más aplicaciones comienzan a usarla, piense en las burbujas de chat de Facebook o en la navegación de Google Maps en una esquina de la pantalla, como en la captura de pantalla de abajo.
Sin embargo, existen algunos riesgos de seguridad relacionados con estas superposiciones. Cualquier pantalla superpuesta activa puede escuchar los toques. ¿De qué otra manera sabría Facebook que hemos pulsado o arrastrado la burbuja? Esto permite que las aplicaciones te espíen y, potencialmente, roben contraseñas y datos de tarjetas de crédito.
Un paso más allá, y de ahí proviene el término tapjacking, las superposiciones pueden dibujar cosas sobre otras aplicaciones engañando al usuario para que realice diferentes acciones. El usuario cree que está interactuando con la superposición, pero en realidad, sus toques también realizan acciones en la aplicación subyacente. De esta forma, la superposición puede engañarte para que habilites ciertos permisos o cambies algunas configuraciones peligrosas, como se demuestra en este artículo vídeo antiguo de YouTube.
El vídeo de demostración de arriba se subió a YouTube en 2010, por lo que se hizo en una versión anterior de Android. Sin embargo, el ataque sigue siendo relevante hoy en día, ya que vulnerabilidades salió a la luz que permite el tapjacking en versiones más recientes de Android, como Nougat y Marshmallow.
Entonces, ¿qué puedes hacer al respecto? Como usuario, es importante darse cuenta de las consecuencias de estas superposiciones y estar al tanto de las aplicaciones que las utilizan. A partir del nivel 23 de API (Android 6.0 Marshmallow), se ha convertido en un permiso que tiene que ser otorgado explícitamente por el usuario. Sin embargo, eso deja 50% de Androidlos usuarios siguen siendo vulnerables. Aún puedes comprobar qué aplicaciones hacen uso de este permiso en la configuración, en la sección «Mostrar en lugar de otras aplicaciones».
Como desarrolladores, nos corresponde a nosotros asegurarnos de que las acciones de los usuarios se realicen con el pleno conocimiento y consentimiento del usuario. Android proporciona una configuración para tus vistas que hace precisamente eso, denominada Filtra los toques cuando están oscurecidos. Cuando está habilitada, el marco descartará los toques que se reciban cada vez que la ventana de vistas quede oculta por otra ventana visible. Es tan simple como eso, ¡listo! Filtra los toques cuando están oscurecidos a la verdad, y tu aplicación está a salvo del robo de información.
¡Buena suerte y nos vemos la semana que viene!
A veces es esencial que una aplicación pueda verificar que una acción se está realizando con el pleno conocimiento y consentimiento del usuario, como conceder una solicitud de permiso, realizar una compra o hacer clic en un anuncio. Lamentablemente, una aplicación malintencionada podría intentar engañar al usuario para que realice estas acciones sin saberlo, ocultando el propósito previsto de la visualización.
https://developer.android.com/reference/android/view/View.html
Tapjacking, una combinación de «toque» y «secuestro», significa precisamente eso. Se trata de un ataque en el que el atacante secuestra los toques del usuario y lo engaña para que haga algo que no pretendía. Entonces, ¿cómo funciona y cómo lo prevenimos?
Empezaremos nuestra historia con superposiciones de pantalla. Superposiciones de pantalla o, como las llama Google, ventanas con el tipo TYPE_APPLICATION_OVERLAY. Se trata de ventanas que se dibujan sobre otras aplicaciones y, por lo general, solo ocultan una parte de la pantalla. Se utilizan con frecuencia (como en la imagen de ejemplo que aparece a continuación) cuando una aplicación solicita nuevos permisos.
De hecho, esta es una función genial y divertida, y cada vez más aplicaciones comienzan a usarla, piense en las burbujas de chat de Facebook o en la navegación de Google Maps en una esquina de la pantalla, como en la captura de pantalla de abajo.
Sin embargo, existen algunos riesgos de seguridad relacionados con estas superposiciones. Cualquier pantalla superpuesta activa puede escuchar los toques. ¿De qué otra manera sabría Facebook que hemos pulsado o arrastrado la burbuja? Esto permite que las aplicaciones te espíen y, potencialmente, roben contraseñas y datos de tarjetas de crédito.
Un paso más allá, y de ahí proviene el término tapjacking, las superposiciones pueden dibujar cosas sobre otras aplicaciones engañando al usuario para que realice diferentes acciones. El usuario cree que está interactuando con la superposición, pero en realidad, sus toques también realizan acciones en la aplicación subyacente. De esta forma, la superposición puede engañarte para que habilites ciertos permisos o cambies algunas configuraciones peligrosas, como se demuestra en este artículo vídeo antiguo de YouTube.
El vídeo de demostración de arriba se subió a YouTube en 2010, por lo que se hizo en una versión anterior de Android. Sin embargo, el ataque sigue siendo relevante hoy en día, ya que vulnerabilidades salió a la luz que permite el tapjacking en versiones más recientes de Android, como Nougat y Marshmallow.
Entonces, ¿qué puedes hacer al respecto? Como usuario, es importante darse cuenta de las consecuencias de estas superposiciones y estar al tanto de las aplicaciones que las utilizan. A partir del nivel 23 de API (Android 6.0 Marshmallow), se ha convertido en un permiso que tiene que ser otorgado explícitamente por el usuario. Sin embargo, eso deja 50% de Androidlos usuarios siguen siendo vulnerables. Aún puedes comprobar qué aplicaciones hacen uso de este permiso en la configuración, en la sección «Mostrar en lugar de otras aplicaciones».
Como desarrolladores, nos corresponde a nosotros asegurarnos de que las acciones de los usuarios se realicen con el pleno conocimiento y consentimiento del usuario. Android proporciona una configuración para tus vistas que hace precisamente eso, denominada Filtra los toques cuando están oscurecidos. Cuando está habilitada, el marco descartará los toques que se reciban cada vez que la ventana de vistas quede oculta por otra ventana visible. Es tan simple como eso, ¡listo! Filtra los toques cuando están oscurecidos a la verdad, y tu aplicación está a salvo del robo de información.
¡Buena suerte y nos vemos la semana que viene!
A veces es esencial que una aplicación pueda verificar que una acción se está realizando con el pleno conocimiento y consentimiento del usuario, como conceder una solicitud de permiso, realizar una compra o hacer clic en un anuncio. Lamentablemente, una aplicación malintencionada podría intentar engañar al usuario para que realice estas acciones sin saberlo, ocultando el propósito previsto de la visualización.
https://developer.android.com/reference/android/view/View.html
Veuillez cliquer sur le lien ci-dessous et télécharger le PDF de cette ressource.
Secure Code Warrior là pour aider votre organisation à protéger le code tout au long du cycle de vie du développement logiciel et à créer une culture où la cybersécurité est une priorité. Que vous soyez administrateur AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Veuillez consulter le rapportVeuillez réserver une démonstration.
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Tapjacking, una combinación de «toque» y «secuestro», significa precisamente eso. Se trata de un ataque en el que el atacante secuestra los toques del usuario y lo engaña para que haga algo que no pretendía. Entonces, ¿cómo funciona y cómo lo prevenimos?
Empezaremos nuestra historia con superposiciones de pantalla. Superposiciones de pantalla o, como las llama Google, ventanas con el tipo TYPE_APPLICATION_OVERLAY. Se trata de ventanas que se dibujan sobre otras aplicaciones y, por lo general, solo ocultan una parte de la pantalla. Se utilizan con frecuencia (como en la imagen de ejemplo que aparece a continuación) cuando una aplicación solicita nuevos permisos.
De hecho, esta es una función genial y divertida, y cada vez más aplicaciones comienzan a usarla, piense en las burbujas de chat de Facebook o en la navegación de Google Maps en una esquina de la pantalla, como en la captura de pantalla de abajo.
Sin embargo, existen algunos riesgos de seguridad relacionados con estas superposiciones. Cualquier pantalla superpuesta activa puede escuchar los toques. ¿De qué otra manera sabría Facebook que hemos pulsado o arrastrado la burbuja? Esto permite que las aplicaciones te espíen y, potencialmente, roben contraseñas y datos de tarjetas de crédito.
Un paso más allá, y de ahí proviene el término tapjacking, las superposiciones pueden dibujar cosas sobre otras aplicaciones engañando al usuario para que realice diferentes acciones. El usuario cree que está interactuando con la superposición, pero en realidad, sus toques también realizan acciones en la aplicación subyacente. De esta forma, la superposición puede engañarte para que habilites ciertos permisos o cambies algunas configuraciones peligrosas, como se demuestra en este artículo vídeo antiguo de YouTube.
El vídeo de demostración de arriba se subió a YouTube en 2010, por lo que se hizo en una versión anterior de Android. Sin embargo, el ataque sigue siendo relevante hoy en día, ya que vulnerabilidades salió a la luz que permite el tapjacking en versiones más recientes de Android, como Nougat y Marshmallow.
Entonces, ¿qué puedes hacer al respecto? Como usuario, es importante darse cuenta de las consecuencias de estas superposiciones y estar al tanto de las aplicaciones que las utilizan. A partir del nivel 23 de API (Android 6.0 Marshmallow), se ha convertido en un permiso que tiene que ser otorgado explícitamente por el usuario. Sin embargo, eso deja 50% de Androidlos usuarios siguen siendo vulnerables. Aún puedes comprobar qué aplicaciones hacen uso de este permiso en la configuración, en la sección «Mostrar en lugar de otras aplicaciones».
Como desarrolladores, nos corresponde a nosotros asegurarnos de que las acciones de los usuarios se realicen con el pleno conocimiento y consentimiento del usuario. Android proporciona una configuración para tus vistas que hace precisamente eso, denominada Filtra los toques cuando están oscurecidos. Cuando está habilitada, el marco descartará los toques que se reciban cada vez que la ventana de vistas quede oculta por otra ventana visible. Es tan simple como eso, ¡listo! Filtra los toques cuando están oscurecidos a la verdad, y tu aplicación está a salvo del robo de información.
¡Buena suerte y nos vemos la semana que viene!
A veces es esencial que una aplicación pueda verificar que una acción se está realizando con el pleno conocimiento y consentimiento del usuario, como conceder una solicitud de permiso, realizar una compra o hacer clic en un anuncio. Lamentablemente, una aplicación malintencionada podría intentar engañar al usuario para que realice estas acciones sin saberlo, ocultando el propósito previsto de la visualización.
https://developer.android.com/reference/android/view/View.html
Table des matières
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Secure Code Warrior là pour aider votre organisation à protéger le code tout au long du cycle de vie du développement logiciel et à créer une culture où la cybersécurité est une priorité. Que vous soyez administrateur AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Veuillez réserver une démonstration.TéléchargerRessources pour débuter
Thèmes et contenu de la formation sur le code sécurisé
Notre contenu de pointe évolue constamment afin de s'adapter au paysage changeant du développement logiciel, en tenant compte de votre rôle. Nous proposons des thèmes allant de l'IA à l'injection XQuery pour différents postes, des architectes et ingénieurs aux chefs de produit et responsables de l'assurance qualité. Découvrez un aperçu de ce que notre catalogue de contenu a à offrir par thème et par fonction.
La Chambre de commerce établit la norme en matière de sécurité à grande échelle axée sur les développeurs
La Chambre de commerce néerlandaise explique comment elle a intégré le codage sécurisé dans le développement quotidien grâce à des certifications basées sur les rôles, à l'évaluation comparative du Trust Score et à une culture de responsabilité partagée en matière de sécurité.
%20(1).avif)
.avif)
Modélisation des menaces avec l'IA : transformer chaque développeur en modélisateur de menaces
Vous repartirez mieux équipé pour aider les développeurs à combiner les idées et les techniques de modélisation des menaces avec les outils d'IA qu'ils utilisent déjà pour renforcer la sécurité, améliorer la collaboration et créer des logiciels plus résilients dès le départ.
Ressources pour débuter
Cybermon est de retour : les missions IA de Beat the Boss sont désormais disponibles à la demande.
Cybermon 2025 Beat the Boss est désormais disponible toute l'année chez SCW. Mettez en œuvre des défis de sécurité avancés basés sur l'IA et le LLM afin de renforcer le développement sécurisé de l'IA à grande échelle.
Explication de la loi sur la cyber-résilience : implications pour le développement de logiciels sécurisés dès leur conception
Découvrez les exigences de la loi européenne sur la cyber-résilience (CRA), à qui elle s'applique et comment les équipes d'ingénierie peuvent se préparer grâce à des pratiques de conception sécurisées, à la prévention des vulnérabilités et au développement des compétences des développeurs.
Facilitateur 1 : Critères de réussite définis et mesurables
Le catalyseur n° 1 inaugure notre série en 10 parties intitulée « Les catalyseurs de la réussite », qui montre comment relier la codification sécurisée aux résultats commerciaux, tels que la réduction des risques et la rapidité d'atteinte de la maturité du programme à long terme.
