El Internet de las Cosas que viene no es seguro (y tal vez nunca lo sea)

El CES de Las Vegas no es ni la feria más grande ni con mayor afluencia del mundo, pero tecnológicamente sí es la más importante. El año pasado, casi 180.000 personas deambularon por las calles de la ciudad de los casinos atraídos por la llamada de la realidad virtual, una de las grandes atracciones del evento.

A falta de cifras que confirmen de nuevo los números de público y expositores que se dan año tras año desde hace medio siglo, si hay algo que en esta edición acaparó los focos fue el Internet de las Cosas. Ese grupo de objetos cotidianos conectados del que forman parte las smart TV, los routers, los smartphones o los ositos de peluche inteligentes.

En el CES 2017 se han presentado todo tipo de objetos conectados a internet, desde un peine para el pelo que avisa en caso de que te estés peinando mal hasta un espejo que escanea la cara y advierte sobre los granos, espinillas o imperfecciones que tengamos. También hay pantalones que vibran si uno se sale del camino programado o camas inteligentes que informan de la calidad de tu sueño y cómo puedes mejorarlo.

"Quizá sea útil, pero la cuestión es si esos pantalones tienen un agujero de seguridad y un hacker adivina dónde van o hace que te dirijan a un sitio donde no quieres ir", explica a eldiario.es David Cantón, investigador en el Instituto de Ciberseguridad (INCIBE). La llegada de todo tipo de dispositivos al Internet de las Cosas es inminente: aunque no hay un consenso claro, los expertos auguran que en 2050 habrá entre 25.000 y 50.000 millones de objetos conectados a la Red.

Dos de los grandes empresas tecnológicas ya pelean por entrar al salón de tu casa. Amazon Echo y Google Home son como el pinganillo de Joaquin Phoenix en Her, aunque sin la dulce voz de Scarlett Johansson ni su desparpajo. Pero también son capaces de poner música, bajar la intensidad de la luz o hacer la lista de la compra por nosotros.

En Apple ya actualizaron a Siri en septiembre para que trabaje de forma conjunta con otras apps en lo que parece un movimiento que anticipa la llegada al mercado del tercer asistente en discordia. "El problema es que al final ¿qué es el IoT? [Internet of Things, en inglés]", se pregunta el investigador. "La idea es que te haga la vida más fácil con unos límites", continúa Cantón. Unos límites que no siempre marcan los fabricantes de estos dispositivos.

En octubre, la botnet Mirai compuesta sobre todo de objetos conectados al IoT tumbó internet durante 11 horas. El ataque afectó a Facebook, Twitter, Netflix e incluso al Wall Street Journal. "La botnet estaba formada por cámaras de Sony y por videograbadores, routers que no tenían las medidas adecuadas de seguridad", dice Cantón. Para quien no sepa qué es una botnet, es una red de dispositivos infectados por un hacker que dejan de actuar de forma normal para pasar a hacerlo bajo las órdenes del creador de la red.

El CES de este año también ha dejado unos tacones inteligentes que, además de lo obvio (saber por dónde vamos en todo momento), regulan la altura y la temperatura del pie al conectarse vía Internet con una app. Cepillos de dientes para saber cuánto tiempo gastamos en cada pieza, máquinas cortacésped que saben cuándo tienen desgastadas las cuchillas y piden más a la tienda o cubos de basura a los que podremos gritar para que se abran. "El IoT lo será todo", afirma el investigador del INCIBE.

Frente a la producción a gran escala se encuentra la seguridad de cada uno de los cacharros. "A veces, los fabricantes quieren vender demasiado deprisa y se saltan pasos. Es como si quieres vender un coche que vaya lo más rápido posible y no le pones las medidas de seguridad adecuadas, como cinturones, frenos...", continúa Cantón.

Otro especialista en ciberseguridad, Yago Jesús, contaba a eldiario.es en octubre que muchas veces estos dispositivos no tienen "sistema de actualización", por lo que no pueden realizar parcheos automáticos si "detectan una vulnerabilidad".

Tú y tus datos contra todos

Cantón incide en que muchas veces estas compañías priman poner en venta el producto lo antes posible: "Para que funcione el aparato, no es necesario tener seguridad". Desde el INCIBE recuerdan que "los métodos de autenticación tienen que ser lo suficientemente seguros para que solamente el propietario pueda acceder, hay que crear contraseñas seguras y robustas y asegurarse de que los protocolos de comunicación estén siempre cifrados". La botnet Mirai entró a las cámaras y routers porque sus contraseñas, en gran parte, eran tan fáciles como admin/admin o demasiado cortas.

Por lo pronto ya sabemos que la primera Smart TV infectada por un ransomwarees un modelo 2014 de la marca LG. Los hackers exigieron 500 dólares por liberarla. Cantón recomienda utilizar dispositivos del IoT que sean de "marcas que luego den soporte" y recomienda que los clientes tienen que "demandar seguridad" en los productos. "Que sepa que al final sus dispositivos IoT almacenan tanta información que alguien puede sacar lo que hace durante toda su vida", concluye el investigador.