Las brechas de seguridad en dispositivos IoT son habituales, y los esfuerzos para gestionar estos riesgos han avanzado, pero algunos de estos avances generan sentimientos encontrados entre los investigadores de seguridad.
Los dispositivos que recopilan datos se han vuelto cada vez más comunes, especialmente con el auge de la tecnología habilitada para la nube.
Las nuevas soluciones desarrolladas para combatir problemas de seguridad persistentes suelen traer consigo problemas nuevos o diferentes.
Los dispositivos del Internet de las Cosas (IoT) se cuentan entre las máquinas conectadas menos seguras, pero también se están volviendo omnipresentes en nuestra vida cotidiana. El Instituto Mundial McKinsey calcula que cada segundo se conectan a internet 127 nuevas máquinas IoT. Los datos de la investigación de CUJO AI muestran la notable presencia de estos dispositivos en los hogares occidentales, donde un hogar medio de consumidores tiene hasta 20 dispositivos con capacidad de conexión a internet.
A medida que nos conectamos más y proliferan las ciudades inteligentes con 5G y aún más puntos de conexión, ¿estamos poniendo en riesgo nuestra vida conectada? Para empezar siquiera a responder esta pregunta, primero debemos darnos cuenta de que el panorama de amenazas del IoT no es estático.
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de información, el Centro ayuda a los socios a fortalecer su resiliencia cibernética y a abordar desafíos que requieren respuestas colectivas.
El mito de las amenazas perpetuas e inmutables
Apenas pasa una semana sin un artículo sobre un nuevo tipo de dispositivo IoT hackeado: cámaras de protocolo de internet (IP), monitores para bebés, bombillas, e incluso rifles.
No obstante, el panorama de la seguridad IoT ha avanzado mucho desde 2010, aunque la percepción de las vulnerabilidades del IoT se mantenga en gran medida igual. Es cierto que la gente sigue jugando a la ruleta VNC (intentar acceder de forma remota a dispositivos al azar), o incluso intentar secuestrar coches. Sin embargo, en su mayor parte, la imagen pública de las amenazas IoT es perpetuada por los medios de comunicación y por investigadores de seguridad ávidos de atención. Los titulares alarmantes generan clics.
La verdad real es que una década de amenazas y de mayor concienciación ha obligado a la seguridad IoT a cambiar de rumbo. Algunos de estos cambios son bienvenidos, mientras que otros generan sentimientos encontrados entre los investigadores de seguridad.
Una década de amenazas y de mayor concienciación ha obligado a la seguridad IoT a cambiar de rumbo. Algunos de estos cambios son bienvenidos, mientras que otros generan sentimientos encontrados.
Zoltan Balazs, CUJO AI
Crecimiento, recopilación de datos y desafíos cambiantes en materia de seguridad
Hace quince años, era difícil encontrar un dispositivo doméstico inteligente; hoy, es difícil encontrar uno que no lo sea. Más del 70 % de los televisores vendidos hoy son inteligentes, e incluso los “tontos” pueden transmitir contenido en línea a través de Roku u otros dispositivos inteligentes. Los analistas prevén una tasa de crecimiento anual compuesta de los dispositivos conectados a internet del 11 % hasta 2023.
Aunque algunos de estos dispositivos tienen funciones útiles, un factor clave en el desarrollo de dispositivos inteligentes es la recopilación de datos. Algunos proveedores incluso venden dispositivos con funciones de recopilación de datos a un precio más bajo. La privacidad del cliente es un tema completamente distinto, pero debe tenerse en cuenta que disponer de un punto de contacto y conectividad adicional para la recopilación de datos crea un vector de riesgo adicional. En pocas palabras: el riesgo de que una red doméstica sea hackeada aumenta en proporción al número de dispositivos conectados, especialmente si tenemos en cuenta la larga vida útil de los dispositivos IoT.
No obstante, también ha habido cambios positivos en la industria IoT. Las cámaras IP fueron en su día objetivos de hackeo notorios debido a vulnerabilidades evidentes, como los puertos telnet abiertos. Hoy en día, como dispositivos como estos tienden a funcionar únicamente a través de la nube, atacarlos es más difícil porque normalmente no tienen puertos abiertos ni credenciales predeterminadas codificadas, por lo que son más seguros.
La conectividad en la nube puede crear más amenazas que soluciones
La conectividad en la nube ha sido, en general, buena para la seguridad, pero es importante señalar que es un facilitador clave de la recopilación de datos en el sector IoT. Además, aunque el paso a los servicios en la nube puede haber resuelto algunos problemas de seguridad evidentes, surgen otros nuevos casi de inmediato.
Aunque el paso a los servicios en la nube puede haber resuelto algunos problemas de seguridad evidentes, surgen otros nuevos casi de inmediato.
Zoltan Balazs, CUJO AI
Si un dispositivo solo puede funcionar con una conexión a internet a servidores en la nube, el riesgo operativo se convierte en una preocupación: ¿qué ocurre si los servidores dejan de funcionar? La dependencia de la nube ha dejado fuera de servicio muchos dispositivos en los últimos años, desde comederos automáticos para mascotas, hasta sistemas domésticos de control de temperatura y dispositivos de seguridad, timbres y aspiradoras.
Los dispositivos también pueden ser hackeados en masa a través de la conectividad en la nube. Un investigador logró generar identificadores válidos de cámaras, utilizarlos para conectarse a una pantalla de inicio de sesión del dispositivo y adivinar las contraseñas de los propietarios o eludir por completo la autenticación.
La seguridad IoT depende de buenas prácticas, que muchos desarrolladores todavía no siguen. Las combinaciones estándar de nombre de usuario y contraseña siguen siendo habituales, al igual que la reutilización de contraseñas. Esto deja vulnerables los sistemas y las cuentas, ya que los actores malintencionados pueden utilizar esa información para atacar sistemas IoT. Esto ocurrió con los timbres Ring antes de que su proveedor ofreciera la autenticación de dos factores, que reduce significativamente las probabilidades de un ataque exitoso, según nuestra experiencia en CUJO AI. Lamentablemente, no todos los proveedores de servicios IoT ofrecen autenticación multifactor.
Hackear servicios centralizados en la nube también resulta más lucrativo para los delincuentes. Una vez que se compromete un proveedor de servicios de cámaras en la nube, los hackers podrían acceder a todas las cámaras que opera dicho proveedor y luego vender ese acceso. El reciente caso de 150.000 cámaras Verkada hackeadas es un buen ejemplo de este tipo de brecha.
Otra evolución en el panorama de amenazas IoT es el cambio hacia la focalización en dispositivos habilitados para la nube de mayor valor, como el almacenamiento conectado a la red (NAS). Los delincuentes se centran más en las vulnerabilidades de estos dispositivos y los utilizan para instalar ransomware que cifra las copias de seguridad de la víctima, como fotos y vídeos familiares. Según datos de CUJO AI Labs, la adopción de NAS se mantiene estable en torno al 0,2-0,3 % de todos los dispositivos en línea, lo que lo convierte en un objetivo habitual, pero no generalizado.
El futuro a corto plazo de las amenazas y la seguridad IoT
El creciente número de dispositivos conectados está forzando la transición, muy retrasada, a las direcciones del Protocolo de Internet versión 6 (IPv6). A medida que más proveedores de servicios de internet (ISP) admitan IPv6 por defecto, los dispositivos IoT podrán conectarse directamente a internet en lugar de operar en redes privadas. Por desgracia, pocos de estos dispositivos tendrán la potencia suficiente para ejecutar software antivirus o antimalware. Por ello, esperamos ver más casos de atacantes que se conecten directamente a estos dispositivos desde internet.
Los ISP podrían bloquear estas conexiones en la puerta de enlace (el router) o adoptando mejores soluciones de monitorización de redes, pero no está claro cuántos ISP estarán dispuestos y en condiciones de hacerlo. Averiguaremos si estas nuevas amenazas IoT aparecen a nivel de ISP en un futuro muy cercano, aunque ojalá no sea a través de un nuevo artículo de investigación sobre una botnet IPv6 detectada en la naturaleza.
