- Les aplicacions web i API s'enfronten a atacs més ràpids, complexos i recolzats en vulnerabilitats acabades de publicar.
- Plataformes cloud, Zero Trust, MFA i biometria són claus per protegir identitats, accessos i dades sensibles.
- IA, sensors intel·ligents, UEBA i analítica predictiva permeten anticipar incidents i unificar la seguretat ciberfísica.
- La privadesa, el xifratge i la sostenibilitat s'incorporen com a eixos estratègics en la seguretat d'aplicacions.
La seguretat de les aplicacions ha esdevingut un dels camps més dinàmics i delicats de la tecnologia actual. No parlem només de protegir una web o una app mòbil, sinó de blindar tot un ecosistema de serveis al núvol, APIs, infraestructures ciberfísiques i dades crítiques que es mouen a gran velocitat entre proveïdors, dispositius i usuaris repartits pel món.
Al mateix temps, els atacants van un pas endavant en molts fronts: exploten vulnerabilitats recent publicades en qüestió d'hores, es recolzen en xarxes de bots per llançar DDoS massius, abusen de les API paral·leles i es colen per la cadena de subministrament de tercers. En aquest context sorgeixen noves plataformes, arquitectures Zero Trust, MFA avançada, biometria, analítica de comportament, sensors intel·ligents i un llarg etcètera que, ben combinats, permeten reduir moltíssim el risc si s'apliquen amb cap.
Panorama actual: amenaces clau per a aplicacions web i API
Un dels canvis més evidents en els darrers anys és la intensificació dels atacs contra aplicacions web i API. Els informes elaborats a partir de grans xarxes al núvol, com els de Cloudflare, mostren que el trànsit bloquejat va en augment i que els patrons d'atac són cada cop més complexos, combinant diferents vectors per maximitzar l'impacte.
En aquest escenari destaquen diversos fronts de preocupació: la explotació accelerada de vulnerabilitats (s'arma un exploit en hores o dies després de fer-se pública una CVE), la pujada en volum i sofisticació dels atacs DDoS, l'abús sistemàtic de trànsit automatitzat procedent de bots i el risc inherent a les API d'ombra o paral·leles que ningú no controla realment.
A més, s'observa un increment notable del risc associat a la cadena de subministrament de tercers. Scripts externs, connexions sortints des del navegador, galetes de tercers i components reutilitzats es converteixen en portes d'entrada per injectar codi maliciós, robar dades o manipular l'experiència de l'usuari sense que l'organització propietària de l'aplicació sigui plenament conscient.
Per als equips de seguretat i els responsables de TI, aquestes dades no són només estadístiques: serveixen com a base per decidir per on començar i què prioritzar. A partir d'aquestes tendències, podeu seleccionar controls de seguretat efectius —com WAF avançats, protecció específica d'API, monitorització de bots o segmentació de xarxa— i desplegar-los allà on realment aporten més reducció de risc.
Un exemple concret d'amenaça que il·lustra aquesta realitat és el de les aplicacions malicioses a botigues oficials. El cas de CallPhantom, una estafa detectada a Google Play, mostrava apps que prometien accés a l'historial de trucades, SMS i registres de WhatsApp de “qualsevol número”. El ganxo era molt llaminer, però en realitat es tractava d'un esquema fraudulent per enganyar i estafar els usuaris, posant a més en risc la seva pròpia privadesa.
Vulnerabilitats i casos reals: de les CVE al frau a apps
Les bases de dades de vulnerabilitats, com les CVE, continuen demostrant que fins i tot en aplicacions de negoci consolidades hi ha errors crítics. Un cas recent és la CVE-2026-8255, que descriu una debilitat a Devs Palace ERP Online fins a la versió 4.0.0, concretament en una part no especificada del fitxer inventory/add_new_customer.
Aquesta fallada permet un atac de scripting entre llocs (XSS) iniciat de forma remota, l'exploit de la qual ja és públic i està disponible per a qualsevol que vulgui aprofitar-ho. Tot i que la gravetat s'ha classificat com a baixa a CVSS v4.0, el fet que hi hagi codi d'explotació i que el proveïdor no hagi respost a la divulgació demostra com, a la pràctica, una vulnerabilitat aparentment menor es pot convertir en un problema seriós en mans d'un atacant amb paciència.
Alhora, convé no passar per alt els esquemes d'enginyeria social recolzats en aplicacions mòbils. En el cas de CallPhantom, identificat per ESET, es tractava d'apps a Google Play que oferien una cosa impossible: accés a històrics de trucades, missatges SMS i registres de WhatsApp de qualsevol persona. Després de la promesa, allò que hi havia era una estratègia d'estafa clàssica, dissenyada per aprofitar-se de la curiositat (o mala fe) dels usuaris i acabar extraient diners o dades sensibles.
Aquests exemples mostren una lliçó clara: la seguretat d'aplicacions no es limita al codi i al servidor. Inclou també la gestió responsable de botigues d'apps, la revisió contínua de permisos, la detecció de comportaments sospitosos i l'educació dels usuaris perquè no caiguin en esquers impossibles. De ben poc serveix un sistema impecable si la baula humana es trenca a la primera de canvi.
En paral·lel, les administracions públiques estan reforçant la verificació digital. La Comunitat de Madrid, per exemple, planeja implementar sistemes addicionals de validació com el certificat digital de la informació aportada per la ciutadania per a tràmits o accés a recintes. Tot i que no es detallin les tecnologies concretes, s'intueix una línia de treball basada en comprovacions creuades, autenticació forta i controls antifrau per evitar suplantacions i manipulació de dades en processos administratius.
Plataformes de protecció d'aplicacions natives al núvol
La migració massiva al núvol ha comportat la necessitat de solucions que protegeixin les aplicacions des del disseny fins a la producció. Plataformes com Prisma Cloud es posicionen com sistemes integrats de seguretat per a aplicacions natives al núvol, oferint un enfocament unificat que abasta des de les vulnerabilitats fins al compliment normatiu i la protecció en temps real.
Aquest tipus de solucions se centren en la protecció d'aplicacions web basades en microserveis, independentment de si s'executen en entorns on-premise o en núvols públics. El seu objectiu és cobrir riscos alineats amb els famosos “OWASP Top 10”, incloent-hi injeccions, errors d'autenticació, exposició de dades sensibles, desconfiguracions de seguretat i una llarga llista de problemes recurrents.
Entre les capacitats habituals d‟aquestes plataformes destaquen la visibilitat completa de l‟entorn, la gestió de vulnerabilitats en imatges de contenidors i funcions serverless, el control de configuració del núvol, la monitorització de compliment i la protecció del trànsit en temps real amb motors que analitzen patrons d‟atac i bloquegen comportaments anòmals.
Un altre avantatge essencial és la implementació flexible, que pot ser fora de banda o integrada, i dissenyada per escalar amb el creixement de la infraestructura. Això facilita protegir el cicle de vida complet de l'aplicació, des de la fase de desenvolupament (shift-left security) fins a l'operació en producció, connectant desenvolupadors, DevOps i equips de seguretat en un mateix marc de treball.
En un món en què les aplicacions canvien a gran velocitat i es despleguen dotzenes de versions en qüestió de dies, comptar amb una plataforma capaç de detectar automàticament noves aplicacions i serveis, mapejar les seves dependències i aplicar polítiques coherents de protecció es converteix en un requisit pràcticament imprescindible.
Emmagatzematge al núvol i protecció de la privadesa
Més enllà del codi, la seguretat de les aplicacions implica també salvaguardar les dades que manegen. Avui dia, serveis com Google Drive, Dropbox o OneDrive ofereixen tota mena de funcionalitats intel·ligents, però a costa de analitzar arxius i carpetes amb finalitats de cerca, indexació o entrenament de models de IA.
Això planteja una qüestió incòmoda: fins a quin punt hi ha una veritable privadesa en aquests entorns? Des de mitjans especialitzats com RedesZone s'insisteix des de fa temps en una recomanació bàsica però efectiva: pujar els fitxers xifrats des de l'origen a aquestes plataformes. Així, encara que el proveïdor examini el contingut, el que veurà seran dades xifrades sense utilitat pràctica.
Davant d'aquest model, sorgeixen alternatives centrades explícitament en la protecció de la privadesa, com Unitat de protons. Aquest servei demmagatzematge, amb opcions gratuïtes i de pagament, es presenta com una solució que no espia el contingut de l'usuari, apostant per xifrat extrem a extrem i una filosofia de mínima exposició de dades.
En el context de seguretat d'aplicacions, això encaixa amb el principi de “privacy by design”: les apps haurien d'assumir que les dades són sensibles per defecte, aplicar xifrat robust en repòs i en trànsit, i evitar que tercers (inclosos els proveïdors mateixos) tinguin un accés innecessari a la informació emmagatzemada.
Adoptar aquestes pràctiques no només protegeix l'usuari final, sinó que redueix riscos de compliment normatiu i reputacionals per a les empreses, que han de complir cada cop més regulacions sobre protecció de dades i notificació de bretxes.
Sensors intel·ligents, mobile-first i vídeo amb IA en seguretat
La seguretat de les aplicacions es creua de forma cada cop més evident amb la seguretat física i l'Internet de les Coses. Els sensors intel·ligents s'han convertit en una peça clau per vigilar entorns on col·locar càmeres seria intrusiu o directament inviable, com ara banys, vestidors o determinades zones de centres educatius.
Dispositius com el HALO Smart Sensor són capaços de detectar canvis ambientals i amenaces específiques: des de l'ús de cigarretes electròniques fins a variacions en la qualitat de l'aire, anomalies acústiques que poden indicar agressions o assetjament i la presència de fum o altres substàncies químiques. Aquestes dades permeten activar alertes en temps real i oferir una resposta ràpida sense vulnerar la privadesa de les persones.
En paral·lel, lenfocament mobile-first està prenent la davantera al control d'accessos. Cada cop més empreses opten per utilitzar aplicacions mòbils i smartphones com a credencials segures, aprofitant els mecanismes de seguretat integrats en aquests dispositius (biometria, elements segurs, xifrat, etc.) per dificultar la sostracció o còpia de credencials.
El fet que la majoria de solucions mòbils es gestionin des del núvol aporta un altre avantatge: la flexibilitat per concedir, revocar i ajustar permisos de manera remota i gairebé instantània. Per a organitzacions amb múltiples seus o equips de seguretat en moviment, poder accedir a vídeo en directe, enregistraments i panells de control des de qualsevol lloc, simplifica molt l'operació diària.
Per la seva banda, el anàlisi de vídeo amb IA està transformant la manera dinterpretar les imatges captades per les càmeres. Ja no es tracta només de gravar i revisar, sinó identificar comportaments anòmals, diferenciar persones, vehicles i objectes, generar dades d'ubicació i moviments, i disparar alertes automàtiques quan es detecten patrons de risc.
Aquests sistemes permeten comprendre millor els fluxos docupació i ús despais, optimitzar la seguretat en evacuacions o emergències, i adaptar protocols en funció de tendències observades. De fet, la mateixa IA s'aplica també en sensors per reconèixer vidres trencats, trets o agressions a través de l'anàlisi de so, millorant-ne la precisió com més temps romanen en funcionament i més dades recullen.
Analítica predictiva i gestió unificada de sistemes ciberfísics
La següent evolució d'aquests sistemes es basa en la analítica predictiva. Gràcies a la IA ia l'aprenentatge automàtic, ja no només es reacciona a incidents, sinó que s'anticipen comportaments sospitosos basant-se en històrics de dades, patrons d'ús, registres de sensors i senyals subtils que passarien desapercebuts per a un humà.
Quan el sistema detecta un patró d'activitat amb potencial d'atac, genera alertes primerenques perquè els equips adoptin una postura proactiva, ajustant polítiques, reforçant controls o fins i tot bloquejant determinades accions abans que l'incident es materialitzi.
Alhora, la distinció clàssica entre seguretat física i ciberseguretat s'està desdibuixant. Els dispositius moderns de control d'accessos, càmeres IP, sensors IoT o panells de gestió formen part del que es coneix com a sistemes ciberfísics (CPS), on el món digital i el físic s'entrellacen.
Aquesta convergència crea vulnerabilitats bidireccionals: un atac digital pot obrir una porta física i, a la inversa, un accés físic indegut es pot convertir en la palanca per comprometre la xarxa tecnològica. Per això una de les grans tendències és la gestió unificada de la seguretat en aquests CPS, protegint tant dispositius com xarxes i lentorn físic on operen.
Protegir aquest punt d'unió és probablement el repte actual: la robustesa global del sistema queda sempre limitada pel seu baula més feble, que pot ser un programari mal pegat, un pany defectuós o un procediment daccés poc estricte.
Sostenibilitat i eficiència en solucions de seguretat
Un altre canvi important és la integració de la sostenibilitat mediambiental com a element central en el disseny de solucions de seguretat. L'increment de costos energètics, juntament amb la pressió social i regulatòria, empeny les organitzacions a escollir dispositius i estratègies que siguin tant segurs com eficients des del punt de vista ambiental.
Això es tradueix en l'adopció de maquinari de baix consum, càmeres alimentades per energia solar, sistemes d'il·luminació LED en infraestructures vigilades i alarmes optimitzades per reduir la despesa energètica sense perdre capacitat de resposta. La seguretat deixa de ser un “pou sense fons” de consum i passa a integrar-se a una estratègia global d'eficiència.
A nivell econòmic, aquesta orientació ecològica redueix els costos operatius i permet una escalabilitat més sostenible de la infraestructura. Menys consum energètic implica menys emissions i una imatge pública millor per a l'organització, que es pot presentar com a compromesa amb la responsabilitat ambiental sense renunciar a la robustesa dels seus sistemes de protecció.
En l'àmbit del desenvolupament i l'operació d'aplicacions, aquest enfocament es complementa amb pràctiques com l'optimització de recursos al núvol, l'apagat de serveis no necessaris i el disseny d'arquitectures que millor aprofiten l'escalat automàtic, de manera que la seguretat es mantingui forta sense sobredimensionar contínuament la infraestructura.
Autenticació biomètrica, Zero Trust i MFA
Pel que fa a l'accés, la autenticació biomètrica s'està consolidant com a gran alternativa (i complement) a contrasenyes i targetes tradicionals. L'ús d'empremtes dactilars, reconeixement facial i altres trets únics permet verificar la identitat de l'usuari amb més precisió i comoditat en entorns tant físics com digitals.
El que abans era un luxe reservat a organismes crítics o institucions financeres s'ha democratitzat gràcies a l'abaratiment de la tecnologia ia la seva integració a dispositius mòbils d'ús quotidià. Avui gairebé qualsevol desbloqueja el mòbil amb biometria, i aquest mateix hàbit s'està estenent a portes d'oficina, control horari, accés a xarxes i aplicacions sensibles.
Paral·lelament, l'arquitectura Zero Trust (ZTA) ha deixat de ser una idea teòrica per esdevenir la nova norma de moltes organitzacions. El principi és senzill d'enunciar però exigent a la pràctica: “mai no confiïs, sempre verifica”. Això significa que cap usuari, dispositiu o sol·licitud es considera fiable per defecte, sigui on sigui.
Cada intent d'accés ha de passar per processos rigorosos d'autenticació, autorització i xifratge, aplicats tant a dades com a recursos físics. En un model Zero Trust ben implantat, fins i tot una instrucció enviada des d'una consola de seguretat o un token d'accés mòbil se sotmeten a verificació contínua i dificulta enormement la mobilitat lateral d'un atacant que hagi aconseguit una única bretxa.
Dins aquest marc, la autenticació multifactor (MFA) és un pilar imprescindible de la gestió didentitats i accessos (IAM). Combinar una cosa que l'usuari sap (contrasenya o PIN), una cosa que té (token, mòbil, targeta) i una cosa que és (biometria) proporciona capes addicionals de seguretat que bloquegen molts intents d'accés no autoritzat.
UEBA i tecnologies emergents per protegir dades i aplicacions
Per detectar amenaces més sofisticades, les organitzacions estan adoptant el anàlisi del comportament d'usuaris i entitats, conegut com UEBA (User and Entity Behavior Analytics). A diferència de solucions centrades només a l'usuari (UBA), aquests sistemes analitzen també aplicacions, dispositius i fluxos de xarxa per identificar patrons anòmals.
Gràcies a algorismes d'aprenentatge automàtic, UEBA pot aprendre quin és el comportament normal de cada usuari, servei o dispositiu i disparar alertes quan es detecten activitats estranyes, com ara accessos en horaris inusuals, descàrregues massives de dades, moviments entre segments de xarxa poc freqüents o ús d'aplicacions fora del perfil habitual.
Aquesta capacitat és especialment útil per descobrir amenaces internes, comptes compromesos o atacs subtils que no generen firmes clares, però sí canvis estadístics en el comportament. En un entorn on els atacants utilitzen tècniques cada cop més sigil·loses, comptar amb una capa d'anàlisi conductual marca la diferència.
En paral·lel, les tecnologies de seguretat de la informació orientades específicament al núvol estan guanyant pes. Amb l'extensió del treball remot i la dependència de serveis cloud per a emmagatzematge i processament, calen solucions que ofereixin protecció integral de dades i aplicacions en aquests entorns, incloent control d'accés granular, xifrat avançat, monitoratge continu i respostes automatitzades davant d'incidents.
Les plataformes IAM continuen evolucionant per donar resposta a aquest repte, optimitzant la manera com es gestiona qui accedeix a què, durant quant de temps i sota quines condicions. A mesura que els ciberatacs es tornen més complexos, les organitzacions han d'integrar tecnologies com a protecció d'endpoints, seguretat de xarxa, WAF i CASB en una estratègia coordinada que detecti i mitigui riscos abans que es converteixin en bretxes greus.
Si posem totes aquestes peces sobre la taula —protecció avançada d'aplicacions i API, xifrat i privadesa al núvol, sensors intel·ligents, IA per a vídeo i analítica predictiva, Zero Trust, MFA, biometria, UEBA i gestió unificada de sistemes ciberfísics— veiem un ecosistema en què la seguretat de les aplicacions ja no és un component aïllat, sinó el fil que cus la seguretat física, lògica i de dades en una única visió estratègica, cada cop més automatitzada, sostenible i centrada en la protecció real de l'usuari.
