A06:2025 – Insecure Design

Insecure Design representa debilidades por controles faltantes o ineficaces desde el diseño, incluyendo fallas de arquitectura y lógica de negocio. No es “un bug de código”: es que el sistema fue concebido sin defensas necesarias para ciertos riesgos.

Origen del problema

• No se definieron requisitos de seguridad según el riesgo del negocio.

• Falta de threat modeling y patrones de diseño seguro en flujos críticos.

• Lógica de negocio sin considerar estados no deseados o cambios inesperados.

• Reglas y controles no documentados en historias de usuario (ambigüedad operacional).

• Ausencia de una práctica consistente de SDLC seguro en el equipo/organización.

Ejemplo de escenario de ataque

Paso 1 – Contexto del sistema
Un sistema ofrece un beneficio comercial bajo ciertas condiciones (por ejemplo, reservas o descuentos).

Paso 2 – Acción general del atacante
El atacante explota un vacío en el diseño del flujo para forzar un comportamiento no previsto (sin romper técnicamente nada).

Paso 3 – Resultado o impacto
El negocio pierde dinero o sufre abuso operativo porque el sistema nunca diseñó defensas para ese escenario.

Impacto real si no se gestiona

• Pérdidas económicas por abuso de lógica de negocio.

• Procesos críticos manipulables aunque “no haya vulnerabilidad técnica obvia”.

• Controles reactivos y costosos (se parchea tarde, con urgencia).

• Daño reputacional por fallas “absurdas” desde la perspectiva del cliente.

• Brechas repetidas al no corregir la raíz (diseño), solo síntomas.

Conclusión

La implementación puede ser impecable… y aun así el sistema ser inseguro. Porque si el control nunca se diseñó, no hay código que lo salve.

¿Quieres dominar el nuevo OWASP Top 10 2025 de manera práctica?

Tengo disponible mi Taller: Practical OWASP Top 10:2025 (Actualizado), donde aprenderás desde cero a identificar, prevenir y probar con laboratorios prácticos los riesgos más críticos en aplicaciones web.

👉 Accede al taller aquí: Practical OWASP TOP 10 2025

Nos vemos en la siguiente entrada

Fernando Conislla