Los ciberataques contra los servicios de infraestructura van en aumento; los más recientes son el ataque a Colonial Pipeline en EE. UU. y el ataque al servicio de salud pública en Irlanda.
Los hackers aprovechan el uso del Internet de las cosas (IoT), que crea millones de nuevos puntos vulnerables en las infraestructuras críticas.
Necesitamos que los sectores público y privado alcancen un mayor consenso sobre las normas de seguridad del IoT y generen confianza en la seguridad de las infraestructuras críticas.
Estamos en medio de una «pandemia cibernética». En 2020, la COVID-19 aceleró la transición al teletrabajo, y el software utilizado para estos ataques se ha vuelto más fácil de ejecutar; los ataques de ransomware han aumentado rápidamente y siguen acelerándose en 2021:
Los ataques en EE. UU. por sí solos han aumentado un 300 % en los últimos nueve meses.
Más del 60 % de los ataques de ransomware tienen como objetivo industrias con infraestructuras críticas, principalmente la atención sanitaria, los servicios públicos y la manufactura.
Las empresas de servicios públicos de EE. UU. han sufrido ataques 300 veces por semana y el número ha aumentado un 50 % en solo dos meses.
Uno de los principales objetivos de los ciberdelincuentes han sido las redes de tecnología operativa (OT), que interconectan los sistemas de control industrial (ICS) que gestionan nuestras infraestructuras críticas. A medida que servicios como las redes eléctricas, las plantas de tratamiento de agua y los sistemas de transporte y atención sanitaria integran cada vez más sus sistemas de tecnología operativa con el Internet de las cosas —por ejemplo, mediante sensores y sistemas de monitorización remotos—, surge una nueva frontera de riesgos en la que los hackers pueden explotar millones de puntos vulnerables adicionales y nuevos vectores de ataque.
Estos ataques tienen enormes repercusiones no solo para las empresas, sino también para las comunidades, las ciudades, los estados y países enteros. Las consecuencias pueden ser nefastas. En abril de 2020, unos hackers atacaron las plantas de tratamiento de agua de Israel a través de su sistema de IoT, lo que permitió a los atacantes modificar la presión, la temperatura y los niveles de cloro del agua. Si el ataque hubiera tenido éxito por completo, podría haber enfermado a comunidades enteras por el suministro de agua o activado un mecanismo de seguridad que habría dejado a miles de personas sin agua.
¿Cómo aprovechan los hackers los sistemas de IoT?
Los dispositivos y sistemas conectados de IoT pueden representar un gran riesgo para la seguridad de los servicios de infraestructura crítica si no se aplican las mejores prácticas de seguridad, ya que presentan algunas fallas inherentes:
La falta de estandarización de las prácticas de ciberseguridad en toda la cadena de suministro aumenta la exposición.
Protocolos y diseños de seguridad vulnerables, incluidas contraseñas débiles y prácticas deficientes de aplicación de parches.
Arquitecturas, firmware y software obsoletos y sin soporte.
La superficie de ataque aumenta con el número de dispositivos conectados.
Como resultado, los hackers pueden explotar estos dispositivos de diversas maneras, ya sea para perpetrar ataques contra objetivos mayores o desplazarse lateralmente para dañar sistemas de misión crítica y robar información de clientes y empleados, propiedad intelectual u otros activos sensibles.
Un nuevo ataque de «botnet» llamado Mozi ha estado muy activo en los últimos 18 meses: representó el 90 % del total de ataques de IoT en 2020 y controló casi 500.000 dispositivos conectados. Se instruye a cada dispositivo comprometido para que encuentre más dispositivos que infectar, lo que permite a los ciberdelincuentes hacerse con el control de redes enteras y sus datos y retenerlos para exigir un rescate.
¿Qué está haciendo el Foro para evitar una pandemia cibernética?
En marzo de 2021, la empresa emergente de Silicon Valley Verkada sufrió un ciberataque masivo de IoT. Los hackers lograron obtener privilegios administrativos en un gran número de cámaras de videovigilancia de seguridad, lo que les permitió ejecutar su propio código malicioso en los dispositivos.
Una vez que un hacker consigue vulnerar un dispositivo conectado a una red, puede utilizarlo como punto de partida para lanzar ataques laterales y exponer sistemas esenciales para las operaciones. A medida que las industrias integran aún más las redes de TI y OT para obtener nuevos conocimientos, estos dispositivos representan un peligro todavía mayor para las operaciones que dependen de sistemas de control industrial. Si no se refuerza la seguridad para proteger estos dispositivos conectados, es probable que sigamos viendo más ataques contra las industrias de infraestructuras críticas.
¿Qué se está haciendo a escala nacional y mundial?
Las infraestructuras críticas siguen siendo en gran medida de propiedad privada, por lo que se necesitará un esfuerzo coordinado entre los sectores público y privado para disuadir las amenazas de ransomware y de IoT. Para subsanar las deficiencias en los protocolos y normas de seguridad de las industrias críticas, los gobiernos están tomando la iniciativa de introducir y ampliar las políticas de ciberseguridad existentes para los dispositivos de IoT.
Agencia de la Unión Europea para la Ciberseguridad (ENISA) publicó en 2020 directrices sobre la seguridad de las cadenas de suministro de IoT y ahora está elaborando medidas de seguridad específicas para los operadores de IoT y las industrias de infraestructuras críticas. Mientras tanto, a finales de 2020 se promulgó la Ley de mejora de la ciberseguridad del IoT, que exige a los usuarios del IoT del sector público de EE. UU., incluidos los que lo utilizan en infraestructuras críticas, que refuercen las defensas cibernéticas de sus implementaciones de IoT.
La norma correspondiente fue elaborada por el Instituto Nacional de Estándares y Tecnología (NIST), que lleva varios años desempeñando un papel central en el desarrollo de enfoques para mejorar la ciberseguridad en todo EE. UU. El NIST ha elaborado varios documentos de orientación en consulta con las partes interesadas del gobierno, la industria y el sector privado, y en coordinación con los esfuerzos internacionales de estandarización de otros países. Dado el peso del gobierno de EE. UU. como cliente, las normas del NIST adoptadas para el sector público también podrían convertirse en una norma industrial de facto más amplia para todo tipo de dispositivos de IoT en EE. UU. y otros lugares.
Más allá de la Ley de mejora de la ciberseguridad del IoT, centrada en el mercado del Gobierno Federal de EE. UU., la Ley Pública 116-283, aprobada a finales de 2020, dispuso la creación de un comité directivo del IoT, integrado por partes interesadas del sector privado, para asesorar a un grupo interinstitucional de todo el Gobierno Federal de EE. UU. El comité directivo y el grupo de trabajo federal tienen el encargo de identificar los beneficios del IoT, mejorar su regulación y eliminar los obstáculos a su adopción. En paralelo, la orden ejecutiva del presidente sobre ciberseguridad de mayo de 2021 pide poner a prueba un programa de etiquetado para productos de IoT de consumo que indique cómo cumplen los criterios de ciberseguridad; el programa estará operativo en febrero de 2022.
Estos esfuerzos por establecer requisitos de seguridad para los dispositivos de IoT van más allá de los organismos y contratistas federales y abordan la necesidad de proteger las infraestructuras críticas. Las industrias más expuestas a estos ataques buscan uniformidad y eficiencia y, por ello, toman estas leyes y políticas como directrices para adoptar requisitos básicos de seguridad.
¿Qué pueden hacer los sectores público y privado?
Ante el aumento de los ciberataques en las industrias críticas, los gobiernos y el sector privado comparten la responsabilidad de proteger estos sistemas. Quienes adoptan dispositivos de IoT pueden colaborar con los responsables de formular políticas y los proveedores de ciberseguridad para alcanzar un mayor consenso sobre las normas de seguridad del IoT y, al mismo tiempo, generar confianza en la seguridad de las infraestructuras críticas.
1) Establecer un enfoque coherente sobre la seguridad del IoT a escala mundial mediante:
Acordar una norma básica mundial común sobre la seguridad del IoT (que distinga entre dispositivos de consumo e industriales).
Promover principios de seguridad compartidos por alianzas industriales como Cyber Tech Accord, Charter of Trust o Paris Call for Trust and Security.
Armonizar la normativa y los mecanismos básicos de certificación de la seguridad de los dispositivos.
Desarrollar principios comunes para la seguridad digital y normas internacionales.
Centrarse no solo en los proveedores, sino también en los consumidores de tecnología de IoT.
2) Generar confianza mediante una mayor transparencia y cooperación internacional:
Aclarar el modelo de responsabilidades en toda la cadena de suministro y de valor.
Fomentar la colaboración intersectorial e internacional.
Promover el uso de marcos internacionales para compartir información y de mejores prácticas de garantía.
