La transformación digital ha llevado a que gran parte del trabajo empresarial se realice dentro del navegador. Esto ha convertido al navegador en un punto crítico no solo para la productividad, sino también para la seguridad cibernética. En los últimos dos años, los ataques basados en navegadores han aumentado significativamente, y expertos de la industria prevén que para 2027 más del 85% de las cargas de trabajo empresariales se gestionarán a través de él.
La mayoría de las arquitecturas de seguridad empresarial todavía están diseñadas para proteger dispositivos, dejando el navegador vulnerable a numerosas amenazas. Shioupyn Shen, fundador y CEO de CloudMosa, empresa detrás de Puffin Cloud Security, destaca que la arquitectura en la nube original de su compañía fue diseñada para mejorar el rendimiento y la accesibilidad del navegador, previendo su creciente importancia en las operaciones empresariales. Este diseño se ha revelado vital para establecer una base sólida en la lucha contra las nuevas modalidades de ataques.
El navegador como entorno operativo principal de las empresas
Las plataformas SaaS, sistemas CRM y ERP, así como las herramientas de colaboración, han convertido al navegador en el acceso principal y, a menudo, en el espacio de trabajo central para las operaciones de las empresas. Sin embargo, esta evolución ha cambiado drásticamente el perfil de las amenazas. En un mundo centrado en dispositivos, los equipos de seguridad podían concentrarse en los puntos finales y redes que podían monitorear y gestionar. Ahora, el código web se ejecuta localmente, lo que crea múltiples puntos de entrada para scripts maliciosos.
El navegador no solo interpreta y ejecuta código remoto, sino que también gestiona sesiones autenticadas y actúa como capa de ejecución para flujos de trabajo de inteligencia artificial (IA). Como señala Shen, «el navegador ha evolucionado a un entorno operativo central para el trabajo empresarial moderno» y no se diseñó para esta responsabilidad.
La ineficacia de la seguridad basada en detección
Las estrategias de seguridad basadas en detección enfrentan un desafío de tiempo. Estas suelen iniciar su operación solo después de que el código riesgoso ha llegado al dispositivo y comenzado a ejecutarse. Debido a la ejecución del JavaScript y WebAssembly de forma dinámica y frecuentemente ofuscada, los ataques pueden culminar antes de que las herramientas de seguridad tengan oportunidad de reaccionar. Lo que se necesita es una estrategia que evite que el código dañino llegue a la máquina en primer lugar.
La amenaza de malware generado por IA
El uso de IA ha permitido a los atacantes crear y desplegar malware a una escala sin precedentes. Esto se traduce en un aumento del 89% en los ataques por parte de adversarios habilitados por IA en el último año. El malware polimórfico, que altera su comportamiento o código de una instancia a otra, dificulta la detección mediante firmas. Además, los ataques que no utilizan malware y dependen de herramientas legítimas o contenido web malicioso se vuelven aún más difíciles de identificar.
Ante este escenario, los defensores no solo deben abordar más amenazas, sino enfrentarse a “una máquina que sigue generando nuevos problemas”, comenta Shen, enfatizando que lo que antes era suficiente ahora puede ser inadecuado en el nuevo entorno de amenazas.
Construyendo una arquitectura que reduzca la superficie de ataque
La solución a los problemas actuales de seguridad reside en modificar el lugar donde se permite la ejecución del código web. En lugar de permitir que el riesgo llegue al dispositivo, CloudMosa propone un modelo en la nube aislado. Puffin Cloud Security mantiene las sesiones web en un entorno desechable y transmite solo una vista rasterizada al dispositivo del usuario, evitando así que el código activo pueda ejecutarse localmente.
Esta estrategia no solo mejora la seguridad al prevenir que cualquier código dañino interactúe con el dispositivo, sino que también optimiza el rendimiento. La rasterización de pantalla, que representa aproximadamente el 5% de la carga total del navegador, se realiza en la nube, garantizando que las amenazas queden contenidas.
Integración de la seguridad del navegador en infraestructuras existentes
Puffin está concebido para extender las infraestructuras de seguridad ya existentes, como gateways de internet seguros y herramientas de acceso seguro a la nube. Sin embargo, estas herramientas no pueden impedir la ejecución local una vez que el contenido riesgoso alcanza el navegador. Puffin cierra ese vacío al enrutarse a través de entornos de nube aislados y aplicar políticas de seguridad a nivel de navegador.
Las organizaciones pueden comenzar con casos de uso específicos, como el acceso a SaaS de alto riesgo, y luego expandir su implementación sin deshacer las inversiones anteriores en seguridad. Así, las empresas se enfrentan a la opción de rediseñar su enfoque de seguridad o esperar a enfrentar las lecciones aprendidas de los ataques.
La creciente amenaza de ataques asistidos por IA representa un cambio estructural que recompensa a las organizaciones dispuestas a replantear su enfoque hacia el navegador. Shen concluye que los líderes en seguridad ahora deben decidir entre rediseñar con visión hacia el futuro o esperar a que las consecuencias antiguas se hagan inevitables.