Internet de las Cosas: vulnerabilidades y tipos de ataque que puede sufrir
Los dispositivos de casa que se conectan a Internet están expuestos igual que el móvil o el PC, aunque a mayor nivel.
Cada vez más cosas forman parte del llamado Internet de las cosas o Internet of Things (IoT), un concepto que hace referencia a la interconexión digital de objetos cotidianos y que actualmente se usa con una denotación de conexión avanzada de dispositivos, sistemas y servicios que va más allá del tradicional M2M (máquina a máquina) y cubre una amplia variedad de protocolos, dominios y aplicaciones.
Los peligros y vulnerabilidades del IoT
Es precisamente este concepto de interconexión total a través de la Red lo que puede suponer un enorme riesgo para el usuario, ya que aunque tengamos el móvil o el portátil protegidos con AVAST y otros cuantos antivirus y programas, cosas como la Smart TV o la nevera que pueden conectarse a Internet no disponen de este nivel de protección y por tanto son blancos fáciles de ser hackeados y abrir una vulnerabilidad para que un pirata entre en nuestra red.
Por ello hay quien considera al IoT como una pesadilla de seguridad en potencia. Según la OSI, la Oficina de Seguridad del Internauta, estas son las vulnerabilidades usuales a las que los IoT están expuestos:
- Credenciales de acceso al dispositivo (usuario y contraseña) que vienen configuradas por defecto y que en algunos casos no pueden cambiarse por otras diferentes.
- Al acceder al software de control y configuración del dispositivo, éste usa protocolos de cifrado inseguro que provoca que se pueda ver toda la información o que se pueda acceder vía Internet (en remoto) sin establecer un filtro de seguridad.
- No hay un cifrado o esté es inseguro en las comunicaciones que realizan los dispositivos con la nube, el servidor o el usuario.
- Al facilitarse la configuración del dispositivo, hay parámetros y características de seguridad que no pueden modificarse.
- En algunos casos, no disponen de actualizaciones para corregir fallos de seguridad detectados tanto en el software, como en el firmware de los dispositivos, debido a que, por ejemplo, el soporte técnico tiene una duración determinada en el tiempo, como sucede con los sistemas operativos antiguos o con la vida útil del dispositivo.
- En determinados dispositivos IoT, se ha detectado la presencia de puertas traseras o backdoors que vienen instaladas de fábrica y que posibilitan el acceso de forma remota al dispositivo y modifican el funcionamiento del mismo.
Los tipos de ataques a los dispositivos IoT
Todas estas vulnerabilidades son factibles de ser aprovechadas y explotadas por cibercriminales con conocimientos, usándolas como armas para realizar distintos ataques digitales como los siguientes:
- Ransomware o secuestro de dispositivos: Este tipo de ataque consiste en la infección del dispositivo mediante un virus que bloquea su uso hasta que se realiza un pago, normalmente en criptomonedas, para liberarlo. Aunque el pago no garantiza la recuperación del control del dispositivo.
- Ataques de denegación de servicio (DOS/DDOS): Este tipo de ataque se aprovecha de las vulnerabilidades que tiene el dispositivo que le permiten obtener su control. Éste se une a una red con miles de equipos infectados que atacan a objetivos predefinidos de forma conjunta.
- Bots de spam: Con la infección, se busca el control del dispositivo para utilizarlo posteriormente para dirigir y gestionar el envío masivo de correo basura.
- Robo de información: Se produce mediante el ataque al dispositivo IoT que permite a su vez el acceso a otros dispositivos conectados a la red, ya sean ordenadores, servidores, routers, etc. Este ciberataque permite acceder a documentos y archivos, así como realizar un análisis del tráfico de la red a la que están conectados y robar las credenciales de los diferentes servicios que usan los usuarios de dicha red (cuentas de correo, redes sociales, servicios financieros, tiendas online, etc.).
- Manipulación de las mediciones: Este ataque tiene como objetivo que el servidor, en base a los datos observados, proporcione información falsa o ejecute órdenes erróneas para provocar averías en las infraestructuras o en las casas, por ejemplo, sobrecargar la red eléctrica, apertura de puertas o grifos, funcionamiento anómalo de los electrodomésticos o de la calefacción, etc.
- Privacidad: Los atacantes pueden obtener información de la víctima, como su situación en un determinado lugar, sus gustos u obtener información de los dispositivos que el usuario tiene conectados a la red.
Consejos para Proteger tu red IoT
Cambia las credenciales por defecto
Cambia las credenciales (nombre de usuario y contraseña) que vienen por defecto, ya que éstas credenciales son comunes al resto de dispositivos de la marca, y fáciles de conseguir en una búsqueda en Internet, lo que les convierte en objetivo de ataques. Por ejemplo, la botnet Mirai infecta a los dispositivos IoT a través de las credenciales usadas por defecto, instalando código malicioso en los mismos.
Red Independiente
Aísla este tipo de sistemas y los dispositivos que utilizas para conectarte con ellos en una red independiente, así evitarás que alguien que acceda a tu red wifi pueda interactuar con ellos. Si no necesitas acceder de forma remota a tu red, deshabilita la administración remota.
Contraseñas robustas
Protege todos los dispositivos como mínimo con WPA2 y contraseñas robustas. También es importante proteger la seguridad del router para evitar que alguien conectado a la red pueda acceder a él.
Filtrado de tráfico
Si tienes ciertos conocimientos técnicos, establece un filtrado de tráfico en la red para evitar que el tráfico no autorizado se dirija hacia algún dispositivo en concreto, o hacia el exterior de la red.
Datos cifrados
Es recomendable que la información que contenga o reciba el dispositivo esté cifrada para evitar el robo, la manipulación o la modificación de las acciones a realizar.
Pasarle un antivirus
Realiza análisis periódicos con un antivirus en busca de infecciones, vulnerabilidades o cualquier otra amenaza.
Revisar los permisos de las apps
Si tienes dispositivos IoT y utilizas en tu móvil las aplicaciones de control y gestión de los mismos, revisa que los permisos concedidos son los que necesita y si no, deshabilita aquellos permisos que no sean necesarios para su funcionamiento.
Políticas de privacidad
Lee las políticas de privacidad de los dispositivos que utilices para estar informado sobre qué información recolecta, almacena y el uso que hace de ella la empresa creadora del producto.
Actualizaciones
Mantén actualizado el software de los equipos y el firmware de los dispositivos IoT. Cuando más actualizados estén y tengan los últimos parches de seguridad, más difícil serán de hackear.