Consumidores deben estar atentos a los riesgos del Internet de las Cosas

Los ataques mediante dispositivos conectados a Internet (IoT) que no cuentan con la suficiente seguridad han aumentado de forma exponencial en el último año. En los primeros cinco meses del 2017, Kaspersky Lab detectó  7,242 muestras de malware en dispositivos conectados a Internet,  74% más que el total de muestras detectadas entre 2013 y 2016, y muchas compañías están cada vez más preocupadas por la existencia de los dispositivos IoT en los espacios de trabajo.

De acuerdo con el documento Estado de la Ciberseguridad 2017 de la Asociación de Auditoría y Control de Sistemas de Información (ISACA) de Estados Unidos, dos de cada tres directivos están preocupados o muy preocupados por los dispositivos IoT dentro de las áreas laborales, algo que demuestra que las compañías están cada vez más atentas a los riesgos que puede implicar el abandono de cámaras, reproductores de video, impresoras, y hasta hornos de microondas y refrigeradores conectados a Internet sin las más mínimas medidas de seguridad cibernética.

Para Steinthor Bjarnason, los ciudadanos son los que más deben preocuparse por los dispositivos desprotegidos que tienen en casa. Bjarnason forma parte del equipo de respuesta e ingeniería de seguridad de Arbor Networks (ASERT) y es especialista en ciberseguridad vinculada a dispositivos con Internet de las Cosas (IoT).

El analista piensa que las personas comunes apenas están empezando a comprender los alcances que pueden tener los ciberataques realizados mediante dispositivos conectados a la red, pero de ninguna manera están alertas a la seguridad de los dispositivos que compran o que ya poseen.

 “El problema comienza cuando la gente va a una tienda de electrónicos a comprar una videocámara para monitorear su entrada y existen dos tipos de productos: uno con la etiqueta de seguridad, que es costoso, y otro muy barato. El 90% de las personas optará por el más barato, que no garantiza ningún tipo de seguridad”, dijo Streinthorn Bjarnason en entrevista con El Economista.

Normalmente, los dispositivos IoT son utilizados para llevar a cabo ataques de denegación de servicio (DDoS), aquellos en los que un grupo de dispositivos son controlados para enviar una gran cantidad de solicitudes de servicio a un servidor particular, con lo que este puede llegar quedar sin la capacidad de realizar más conexiones. Esto fue lo que ocurrió hace un año, en octubre de 2016, cuando la botnet Mirai atacó los sistemas del proveedor de dominios Dyn, lo cual generó que páginas y plataformas como AirBnb, Netflix, Twitter y Amazon dejaran de funcionar durante algunas horas.

Tal vez esto no cause tanta preocupación a las personas de a pie como a los proveedores de este tipo de servicios online, pero ¿qué sucede cuando un dispositivo personal, como puede ser una smart tv o la videocámara que nos regalaron en nuestro último cumpleaños, no cumple con las medidas de seguridad que garanticen que no serán controladas de manera remota a través de Internet?

“Cualquier cosa es posible”, dijo Bjarnason. “Si tienes una smart tv con una cámara incluida, los atacantes no sólo podrán ver lo que tú ves sino que podrán verte a ti”.                

En la actualidad existe un promedio de 6,000 millones de dispositivos conectados a Internet en todo el mundo y se espera que esta cifra se multiplique por cinco para el año 2020. De acuerdo con Kaspersky Lab, lo que hace a muchos de estos dispositivos vulnerables ante ciberataques es que su ciclo de vida no es el adecuado, ya que aunque ya no existen actualizaciones o parches de seguridad para estos, las personas los siguen utilizando, ya sea por falta de recursos para adquirir uno nuevo o por un deficiente conocimiento de los requerimientos del dispositivo.  

Para el analista de ciberseguridad de Arbor Networks, “los usuarios y consumidores de dispositivos IoT deben estar conscientes de los riesgos de seguridad de estos dispositivos y deben exigir a los fabricantes mejores prácticas de seguridad, ya sea comprando únicamente productos seguros u obligando a las marcas a que sus dispositivos cumplan con ciertos requisitos de seguridad para poder ser comercializados”.

rodrigo.riquelme@eleconomista.mx