El reciente ataque mundial de ransomware, que afectó a organizaciones de todo el mundo, incluido el Servicio Nacional de Salud británico, fue para muchas personas la primera muestra concreta de la magnitud y las consecuencias físicas que puede tener un ciberataque. Los piratas informáticos criminales aprovecharon una vulnerabilidad de un software de Microsoft «retirado», que no recibe actualizaciones ni parches de seguridad de forma habitual, para infectar ordenadores con el ransomware WannaCry.
Pero ¿qué pasaría si los dispositivos fueran aún más vulnerables, funcionaran sin seguridad integrada y no hubiera forma de aplicarles parches? Este es el problema que plantea el llamado Internet de las cosas (IOT). Con un total previsto de 22.500 millones de dispositivos conectados a Internet para 2021, la posibilidad de extorsionar a quienes los utilizan ofrecerá grandes oportunidades a los delincuentes y tendrá graves consecuencias para los proveedores y usuarios de estos dispositivos.
El año pasado, el enorme ataque de denegación de servicio distribuido (DDoS) que hizo caer el servicio de sistema de nombres de dominio (DNS) de Dyn puso de manifiesto la vulnerabilidad de ciertas plataformas ante ataques que utilizan el IoT. Durante ese ataque, los responsables lograron impedir durante algunas horas el acceso a grandes plataformas como Twitter, Netflix y Facebook. Lo consiguieron mediante el uso de dispositivos domésticos mal protegidos, como cámaras de videovigilancia y monitores para bebés, que aún tenían la contraseña de fábrica programada o carecían de seguridad integrada.
Este ataque fue grave y costó clientes a Dyn, pero no afectó a infraestructuras críticas, como hospitales y consultorios médicos, del modo en que lo ha hecho el ataque actual, en el que impedir el acceso a los historiales de los pacientes podría retrasar tratamientos esenciales. Sin embargo, el IOT ya ha tenido y podría tener otras consecuencias físicas importantes, pues incluso los objetos más inofensivos pueden convertirse en armas.
Esta semana, un niño de 11 años demostró la vulnerabilidad del IOT frente a su uso como arma: pirateó los dispositivos de las personas que asistían a una conferencia sobre ciberseguridad para controlar su osito de peluche. Asimismo, a principios de este año, la Agencia Federal de Redes de Alemania recomendó a los padres destruir la muñeca Cayla debido a que se había demostrado que era vulnerable a los ataques informáticos. Los termostatos inteligentes también han demostrado ser vulnerables a los ataques, al igual que los coches, monitores para bebés y los televisores.
Los coches autónomos ya se están probando en las calles y se estima que en 2020 habrá 10 millones de coches autónomos en las carreteras. Los coches autónomos forman parte del llamado Internet de las cosas del automóvil (IoAT), una red de sensores y procesos informáticos que probablemente reducirá los accidentes causados por errores humanos y, en última instancia, hará que las carreteras sean más seguras. También se diseñarán con seguridad y estarán mejor protegidos, con capacidad para aplicar parches y actualizar el software de seguridad, pero no serán inmunes a los ataques informáticos: nada lo es. Imaginemos que alguien pudiera secuestrar efectivamente nuestro coche mediante el software con el que funciona. Imaginemos que pudiera cambiar el destino, la velocidad y la dirección, o simplemente impedirnos acceder a nuestro propio vehículo.
De hecho, hay riesgos y vulnerabilidades similares siempre que se utilizan sensores y software. Como dice el experto en seguridad Bruce Schneier: 'Ya no tenemos objetos con ordenadores integrados. Tenemos ordenadores a los que se conectan objetos.' Esto incluye cada vez más instalaciones domésticas, dispositivos médicos implantados y ponibles, ciudades inteligentes en las que los servicios públicos utilizan tecnología para mejorar la eficiencia y la calidad, e infraestructuras nacionales críticas, como las redes eléctricas y los sistemas ferroviarios.
Aunque se está investigando las implicaciones del IOT para la seguridad, muchos dispositivos ya están en el mercado y en los hogares. Incluso cuando quedan obsoletos y dejan de utilizarse, sus sensores pueden seguir presentando vulnerabilidades que pueden explotar quienes deseen infiltrarse en sistemas conectados. Es necesario hacer cumplir las normas de seguridad antes de que se perpetre a través del IOT un ataque informático de gran magnitud con consecuencias más graves para los consumidores. Si eso ocurre, probablemente se socavará la confianza pública en esta economía en auge .
Una forma de elevar los estándares de ciberseguridad es recurrir al sector de los seguros. Empresas como QBE y AIG han estado analizando el papel que pueden desempeñar en la protección de consumidores y empresas frente a las ciberamenazas y en el desarrollo de una cultura de ciberseguridad necesaria que deje de priorizar la asequibilidad de los productos por encima de la seguridad. Esto significa integrar la ciberseguridad en todos los aspectos y niveles de las empresas, la industria y los servicios.
Los gobiernos también podrían asumir un papel más activo en la regulación de la industria y la aplicación de normas mínimas de seguridad. Sin un enfoque más sólido para proteger el IOT, probablemente las respuestas se dirimirán en los tribunales, donde se determinará la responsabilidad después de los hechos y cuando el daño ya esté hecho.
En última instancia, el principal motor del cambio podría ser una mayor concienciación de los consumidores sobre las amenazas a la seguridad y la exigencia de mejores estándares. Quizá este reciente ataque impulse esa concienciación. Sin más vigilancia, el IOT podría propiciar en el futuro un ataque aún mayor y más perjudicial.
