Hay un antes y un después en la forma en que vivimos y trabajamos, y este punto está marcado por Internet de las Cosas (IoT). Nos hace más productivos, saludables y felices, y permite a las empresas trabajar de manera más inteligente, eficiente y con mayor agilidad. Solo hay un problema: desde la perspectiva de ciberseguridad, los dispositivos IoT son básicamente defectuosos. Y los chicos malos están consiguiendo bastantes buenos resultados explotándolos.
Ante el boom del IoT, este año podríamos ver una avalancha de nuevos ataques dirigidos no solo a los dispositivos inteligentes de consumo, sino a los entornos IoT industriales. Estos sistemas pueden pertenecer a mundos diferentes, pero el efecto que los compromisos pueden tener en las empresas objetivo podría ser igualmente devastador.
Si 2016 fue el año en que las botnets impulsadas por IoT se convirtieron en una gran noticia, entonces, lo lógico, sería que en los próximos doce meses fuéramos testigos de cómo esta tendencia finalmente se generaliza y se convierte en algo predominante. Después de que el código fuente del perverso malware Mirai se hiciera público el año pasado, no pasó mucho tiempo antes de que los black hats lo utilizaran para probarlo en dispositivos domésticos inteligentes, optando por aquellos con nombres de usuario y contraseñas predeterminados. Entonces lograron comprometer tales dispositivos en decenas de miles de unidades para crear botnets capaces de lanzar algunos de los mayores ataques DDoS jamás vistos. Uno supuestamente dejó fuera de línea durante un breve espacio de tiempo a la nación africana de Liberia. El más notable se dirigió a la firma de DNS, Dyn, que tuvo un efecto llamada devastador, arrastrando a sus clientes –entre algunos de ellos se encontraban los más grandes y conocidos de la web. Twitter, Reddit, Spotify y SoundCloud estaban entre los afectados.
La probabilidad de que aumenten las ciberamenazas altamente dirigidos para comprometer sistemas IoT industriales (IIoT), como los que ya se han registrado en compañías del ámbito de la fabricación y energía, es muy grande
Los ciberdelincuentes seguirán aprovechando este año las vulnerabilidades básicas de seguridad en los dispositivos de consumo como cámaras web y DVR para crear botnets DDoS. Después de todo, la reacción tibia e indiferente ante Mirai entre la comunidad de proveedores ha demostrado que siempre habrá dispositivos vulnerables que se puedan explotar. Los sitios políticos, los basados en servicios, noticias y los corporativos estarán en el punto de mira de los hacktivistas y los atacantes que tengan motivaciones económicas y que se valen de botnets DDoS.
En el otro extremo del espectro, la probabilidad de que aumenten las ciberamenazas altamente dirigidos para comprometer sistemas IoT industriales (IIoT), como los que ya se han registrado en compañías del ámbito de la fabricación y energía, es muy grande. Una vez más, el precedente ya se ha establecido. Las centrales eléctricas ucranianas vieron interrumpida su actividad en diciembre de 2015 y en 2016 tras ser víctimas de ataques relativamente sofisticados, dejando con ello a mucha gente sin electricidad.
El riesgo aquí no radica necesariamente en la pérdida de datos, sino en un daño físico muy real, porque el IIoT se encuentra en la intersección del mundo físico y el virtual. Hackea un coche conectado y podrías causar un problema nunca visto en una autopista. Corta con éxito el suministro de una central eléctrica en medio del invierno y quién sabe qué podría sucederles a los ciudadanos que no puedan calentar sus hogares.
Desafortunadamente, también en este plano los productos en sí mismos son terriblemente vulnerables a un ataque. De hecho, las vulnerabilidades en los sistemas de control y adquisición de datos (SCADA) comprendieron casi un tercio (30%) del número total de vulnerabilidades encontradas en 2016.
Entonces, ¿qué podemos hacer? Podemos tratar de aumentar la concienciación en materia de seguridad entre los consumidores y fabricantes, con el fin de no ponérselo tan fácil a los cibercriminales y reducir sus posibilidades. Mientras que desde el punto de vista industrial, los responsables de seguridad siempre deben tratar de mantener los sistemas de misión crítica parcheados y actualizados, y donde sea posible, dejar los menores huecos posibles a una circulación de Internet más amplia. Además, conviene asegurarse de tener un IPS de red en las instalaciones para detectar y bloquear paquetes de red maliciosos.
Y mientras el año transcurre, una cosa sí es segura. todos vamos a tener que arrimar el hombro para mitigar la creciente amenaza de la seguridad IoT.
