Por César López. Analista CSIRT de Gobierno
Con internet de las cosas (IoT, por su sigla en inglés) nos referimos al conjunto de dispositivos y aparatos conectados por medio de una red, ya sea privada o pública (como es internet), pudiendo así ser visibles e interactuar entre sí. El IoT puede comprender una gran diversidad de aparatos, desde simples sensores hasta elementos más complejos, como drones, refrigeradores y lavadoras. Dentro del IoT, a esa comunicación entre máquinas se la conoce como M2M, por “machine to machine” en inglés.
Según Statista, se espera que alrededor de 75 billones de dispositivos se encuentren conectados a Internet para 2025. Eso sí, uno de los escollos que puede limitar este crecimiento en la adopción de la IoT por parte de los usuarios es la falta, en muchos casos, de protocolos estándar para la comunicación entre dispositivos de fabricantes distintos. Existen protocolos patentados por sus desarrolladores y para el uso exclusivo de algunos fabricantes, lo que dificulta la interoperabilidad entre distintos aparatos.
¿Dónde podemos encontrar IoT? Existen dos principales campos en los cuales se desarrolla el IoT, los ámbitos doméstico (o de la domótica, como se conoce al uso de tecnologías para automatizar un hogar) e industrial.
• Así, por ejemplo, la IoT domótica promete hacer la vida más fácil a las personas, por ejemplo, con el uso de dispositivos por comando de voz, incluso nuestros teléfonos con Siri, Bixby, Alexa o Google Assistant, a los cuales les podemos solicitar reproducir música, preguntarles como estará el tiempo o simplemente realizar una llamada. También tenemos la seguridad en el hogar, con sensores que nos avisan al celular cuando alguien entra a nuestra casa o el poder activar las luces para aparentar que hay alguien en la casa a través de internet.
• En el entorno industrial, la IoT se utiliza ampliamente en plantas de producción, donde estos dispositivos y sensores conectados analizan datos para generar alarmas y mensajes. Estos se envían a los usuarios definidos por la empresa para que tomen las medidas necesarias o activan protocolos de actuación automáticos para abordar las alarmas sin intervención humana y así tratar los problemas detectados. Esto puede mejorar la eficiencia y la seguridad de los procesos de producción industrial.
NO TODO ES EFICIENCIA
Gracias a la aplicación de la IoT, es posible asimismo recopilar datos y enviarlos a través de la red para su análisis o procesamiento casi instantáneo. Esto puede ser usado para volver más eficientes los procesos, pero también puede utilizarse para espiar a los usuarios y conocer, por ejemplo, sus costumbres e intereses, para el envío de publicidad.
Para peor, los dispositivos IoT son cada vez más apetecidos por los ciberdelincuentes, debido a la información que recopilan sobre los usuarios en diversos ámbitos como finanzas, educación, salud y entretenimiento. La gestión de componentes físicos y datos en la nube puede representar un alto riesgo a la privacidad. Es por esto que la seguridad es un factor crucial en la implementación de la IoT, con tal de protegernos contra las principales amenazas, como el espionaje, los ataques de malware, la captura de dispositivos para su uso como parte de una botnets, por ejemplo, para realizar denegación de servicio los generar minería de criptomonedas.
En este sentido, algunos fabricantes han llevado la recopilación de datos a niveles extremadamente riesgosos, como se evidenció cuando se supo que los Smart TV de Samsung grababan el texto de las conversaciones de las personas todo el tiempo, incluso las de aquellas que habían decido no usar la función de reconocimiento de voz.
Más aún, las debilidades de la domótica pueden dar lugar a serios problemas en el mundo “real”, como robos, secuestros u otras actividades delictivas dirigidas a los usuarios o familiares.
Las brechas de seguridad en IoT no se limitan al ámbito doméstico, sino que afectan a muchas empresas debido a medidas de protección insuficientes frente a las crecientes amenazas en su infraestructura tecnológica. En el ámbito empresarial, permitir que terceros accedan a información de manera no autorizada, a través de dispositivos conectados vulnerables, puede resultar en espionaje industrial, robo de datos y, como consecuencia, causar significativas pérdidas financieras. Lo anterior, a través de técnicas como las siguientes:
• Ataques de malware y denegación de servicio: los dispositivos IoT a menudo carecen de suficientes medidas de seguridad, lo que facilita que los ciberdelincuentes los ataquen, o puedan usarlos como vectores para acceder de forma ilícita a activos sensibles de la red corporativa. También utilizan malware para convertir los dispositivos IoT en parte de botnets, las que se utilizan para realizar ataques de denegación de servicio distribuido (DDoS). Estos ataques pueden además bloquear dispositivos, alterando la producción y causando problemas productivos, de seguridad y financieros.
• El secuestro de dispositivos IoT (ransomware) permite al atacante tomar el control remoto de los dispositivos. Esto podría implicar, por ejemplo, el bloqueo de puertas de acceso o manipular a distancia vehículos corporativos, causando accidentes o solicitando rescates.
CÓMO PROTEGER NUESTROS DISPOSITIVOS
Entre las medidas que debemos tomar para proteger nuestras redes y nuestros aparatos están:
• Identificar y asegurar los dispositivos mas vulnerables en cada red.
• Implementar elementos de IoT de forma gradual y realizando previamente pruebas de seguridad.
• Actualizar las políticas de seguridad de la empresa para incluir dispositivos IoT.
• Reforzar la concienciación de seguridad de todas las personas que usan la red, explicándoles que los aparatos conectados a internet también son potenciales vectores de ataque.
• Mantener los dispositivos actualizados con las ultimas versiones de su software.
• Usar contraseñas robustas, asegurándose de que no se usen en los aparatos las claves que vienen por defecto.
• Prestar atención a los servicios en la nube que se usen y su política de privacidad.
• Crear un análisis de riesgo alineado con el negocio para proteger los activos críticos.
Seguir estas medidas permite lograr una mayor seguridad en IoT y así proteger mejor la información corporativa, siendo de vital importancia para las empresas que utilizan dispositivos IoT, y según corresponda, también a los usuarios domésticos, como podemos ser todos y cada uno de nosotros.