El ataque de los dispositivos domésticos inteligentes

No se puede negar que Internet de las cosas (IoT) se ha convertido en una categoría de productos de moda, como lo demuestra la amplia variedad de ofertas de IoT en el reciente CES, desde televisores, parlantes y productos de automatización del hogar como cámaras y termostatos hasta refrigeradores y, crea sea ​​o no, espejos. Si ya posee un dispositivo inteligente o incluso está pensando en comprar uno (o varios), tenga en cuenta que todos y cada uno de ellos conllevan amenazas a la privacidad y la seguridad, según los expertos de la industria de la seguridad.

Esa preocupación se subrayó recientemente cuando WikiLeaks publicó documentos en línea que afirmaban que la CIA pirateó dispositivos inteligentes, incluidos los televisores inteligentes Samsung. La piratería de estos televisores confirmó los peores temores de cualquiera que ya estuviera nervioso por los micrófonos incorporados que se utilizan para entender los comandos de voz de las personas. Aparentemente, cualquiera que obtenga el control de estos televisores puede escuchar todo lo que estamos diciendo mientras está cerca.

Por su parte, Samsung emitió este comunicado: "Proteger la privacidad de los consumidores y la seguridad de nuestros dispositivos es una de las principales prioridades de Samsung. Estamos al tanto del informe en cuestión y estamos investigando el asunto con urgencia". La compañía dijo que el software "malicioso" descrito por WikiLeaks se instaló a través de una unidad USB conectada físicamente que se aplicaba al firmware de los televisores que vendió en 2012 y 2013, "la mayoría de los cuales ya han sido reparados a través de una actualización de firmware". Agregó que, en Samsung, "supervisamos continuamente cualquier riesgo de seguridad" en su plataforma de televisión inteligente y, "si encontramos uno, lo abordamos de inmediato". Cualquiera que tenga inquietudes sobre el uso de televisores inteligentes Samsung puede tomar medidas para estar más seguro, dijo, y explicó: "La mejor acción que los consumidores pueden tomar para garantizar la seguridad de cualquier dispositivo es mantener siempre actualizado su software y aplicaciones".

Un número cada vez mayor de consumidores está experimentando con el concepto de controlar dispositivos AV y domóticos a través de un centro inteligente de algún tipo, ya sea SmartThings de Samsung o Amazon Echo, uno de los productos más vendidos de la temporada navideña pasada. Después de todo, es conveniente y bastante ordenado controlar todo desde tu sofá mientras miras una película o un partido de fútbol. Después de todo, ¿por qué tenemos que ponernos de pie y caminar por la habitación para subir o bajar el termostato cuando no necesitamos otra cerveza o tenemos que tomar un descanso para ir al baño?

Ya sea que esté utilizando dichos dispositivos en su sistema de cine en casa o en cualquier otro lugar de la casa, existen varias formas en las que puede ayudar a protegerse de las amenazas a la privacidad y la seguridad.

¡Peligro, Will Robinson (o como te llames)! ¡Peligro!
Según Bryce Boland, director de tecnología para Asia Pacífico en la empresa de seguridad cibernética FireEye, "los consumidores deben darle un valor mucho más alto a su seguridad cibernética que en la actualidad" porque "los dispositivos que coloca en una red doméstica pueden exponer potencialmente todos los dispositivos y datos en la red a los delincuentes".

"Estos delincuentes pueden explotar este acceso para acceder a su cuenta bancaria, intentar extorsionarlo, aprovechar sus dispositivos para realizar ataques a otros objetivos o infligir daño de otras maneras", dijo, y agregó: "Los consumidores deben ser conscientes de estos riesgos en evolución porque si no lo son, se aprovecharán".

La seguridad cibernética personal es un "problema importante" en la actualidad, y "solo será más importante en los próximos años", predijo. La mayoría de nosotros tendemos a pensar mucho más en la seguridad de nuestros hogares que en la seguridad de nuestros dispositivos e información. Pero "irrumpir en las casas no es muy común en la mayoría de los lugares porque es una actividad de riesgo relativamente alto: los ladrones que son atrapados son procesados ​​con frecuencia", dijo Boland.

Los ataques cibernéticos, por otro lado, son "de un riesgo bastante bajo y, a menudo, no son perseguidos debido a la naturaleza del delito y su naturaleza internacional". Simplemente no hay "grandes soluciones en el mercado actual", continuó explicando. En el ámbito corporativo, las empresas tienden a preferir suscribirse a ofertas de seguridad que "ayudan a cerrar la brecha de seguridad y abordar los riesgos", pero "estamos muy lejos de ver la adopción generalizada de productos de seguridad personal efectivos en el mercado actual".

Los dispositivos inteligentes que envían los fabricantes "deben estar protegidos de manera predeterminada, listos para usar" porque "si el consumidor no tiene que hacer nada para que el dispositivo funcione, no debería tener que hacer nada para que el dispositivo funcione de manera segura". “, dijo, y agregó: “Esto significa que los fabricantes de dispositivos no deben usar contraseñas codificadas o predeterminadas”.

Boland continuó diciendo que los fabricantes de dispositivos también deberían "asegurarse de que los dispositivos que envían puedan mantenerse y actualizarse fácilmente". Los fabricantes deben usar esta capacidad para "remediar las vulnerabilidades recién descubiertas y las nuevas amenazas". Desafortunadamente, la mayoría de ellos usan bibliotecas de código externas hoy en día. Lo que eso significa es que, "incluso si su propio código es perfectamente seguro, sus clientes pueden estar expuestos a vulnerabilidades que se descubren en estas bibliotecas externas", explicó.

Aunque los fabricantes de dispositivos "no pueden proporcionar una seguridad perfecta", lo que pueden hacer es "invertir en un equipo que garantice que sus dispositivos sean lo más seguros posible de forma predeterminada, y que puedan monitorear y responder a la seguridad continua" de su producto. Cada fabricante debe tener un equipo de personas que administren la seguridad de sus productos pasados, actuales y futuros durante el ciclo de vida de sus productos. “Si los fabricantes no están haciendo eso, deben asumir que sus productos se verán comprometidos por los atacantes más temprano que tarde”, dijo Boland.

La mayoría de los fabricantes de hoy ni siquiera tienen "equipos de seguridad efectivos y dedicados" porque "la economía no es favorable para la seguridad", por lo que a menudo es solo una "externalidad del mercado hasta que los reguladores se involucran", dijo. Predijo que "los gobiernos deberán intensificar la regulación de los fabricantes de dispositivos antes de que veamos una mejora generalizada".

Mientras tanto, dijo, hay algunas cosas que los consumidores pueden hacer para protegerse contra las infracciones:
1 Asegúrese de que sus dispositivos estén ejecutando el firmware más reciente.
2 Use contraseñas seguras y únicas en todos sus dispositivos y cuentas, incluido su Wi-Fi.
3 Deshabilite el acceso a la red en dispositivos donde no sea necesario. Por ejemplo, si su estéreo no necesita estar en línea, no lo conecte.
4 Asegúrese de que el enrutador de su hogar sea de un proveedor confiable y esté ejecutando una versión actual de su software sin vulnerabilidades conocidas.
5 Use una red separada para sus dispositivos móviles y computadoras que para sus dispositivos IoT. Algunos enrutadores tienen una función de red de invitados que se puede usar para dispositivos que necesitan acceso a Internet pero no necesitan acceso a su red doméstica.
6 Utilice únicamente dispositivos de fabricantes acreditados que emitan actualizaciones.
7 Considere deshabilitar el soporte/cuentas en la nube en los dispositivos donde no es necesario.
8 La red doméstica actual es casi tan compleja como la red de las pequeñas empresas de hace 10 años. Si desea hacer un esfuerzo adicional, puede instalar un enrutador para pequeñas empresas en su red doméstica y usar LAN virtuales (VLAN) para segmentar cada dispositivo en su propia red y luego controlar lo que puede hacer cada dispositivo. Esto puede mejorar tanto el rendimiento como la seguridad… pero viene con una configuración inicial mucho más complicada.

Tenga cuidado con ese dispositivo, Eugene (o quienquiera que sea)
Shagorika Dixit, gerente sénior de Norton Consumer IoT Security en Symantec, estuvo de acuerdo en que los consumidores deberían preocuparse por los problemas de seguridad y privacidad cuando se trata de dispositivos domésticos inteligentes. De hecho, en las pruebas, Symantec "encontró vulnerabilidades en 50 tipos diferentes de dispositivos domésticos conectados, que van desde termostatos inteligentes hasta concentradores inteligentes", dijo.

Añadió: "Los consumidores deberían estar igualmente preocupados por todos los dispositivos conectados". Esto se debe a que los piratas informáticos pueden obtener acceso a una cámara inteligente, una cerradura inteligente o una variedad de otros dispositivos. "Si bien algunos riesgos pueden parecer más aterradores que otros, la mayoría de los dispositivos conectados presentan algún tipo de riesgo, ya sea que un ciberdelincuente obtenga acceso físico a un dispositivo o extraiga información personal", dijo. Los consumidores deben, por lo tanto, tomar "precauciones para garantizar que TODOS los dispositivos conectados estén debidamente protegidos, razón por la cual Norton sugiere proteger los dispositivos a nivel de red", nos dijo.

A medida que más y más dispositivos conectados llenan nuestros hogares, también aumenta la cantidad de puntos de entrada para que los ciberdelincuentes se infiltren en nuestros dispositivos y roben información personal confidencial. Los piratas informáticos han aprendido a aprovechar el hecho de que muchos consumidores no cambian la configuración y las contraseñas predeterminadas en sus dispositivos domésticos inteligentes, y muchos dispositivos conectados aún no se fabrican teniendo en cuenta la seguridad, dijo Dixit.

"No te preocupes. La situación está bajo control".
Los representantes de los fabricantes que contactamos para esta historia admitieron que existen problemas potenciales de privacidad y seguridad con los dispositivos domésticos inteligentes, pero dijeron que los consumidores no deberían preocuparse demasiado cuando usan los productos de sus empresas (por supuesto).

Tecnologías como Smart ThinQ y Deep ThinQ de LG, junto con el Hub Robot del fabricante, "brindarán nuevos niveles de disfrute, conveniencia y ahorro de energía" para los consumidores, dijo John Taylor, vicepresidente de asuntos públicos de LG Electronics USA. "Al mismo tiempo, somos sensibles a las preocupaciones de privacidad/seguridad", y LG está "orgulloso de su trayectoria en la protección de la información personal de los consumidores en el ámbito de la televisión inteligente, y ese mismo compromiso se traslada a nuestros dispositivos conectados, como bien", dijo.

Taylor nos dijo que "las medidas de privacidad y seguridad de datos de última generación están diseñadas desde el principio" con los productos LG. "Dicho esto, este es un tema candente que, con razón, recibirá cada vez más atención en toda la industria a medida que el espacio IoT continúa evolucionando", dijo.

Agregó: "Un paso inicial es educar a los consumidores sobre los pasos que pueden tomar para asegurar sus dispositivos y redes domésticas". Con ese fin, dijo, LG está trabajando con la Asociación de Tecnología del Consumidor en una campaña de servicio público nacional para alentar a los consumidores a usar contraseñas seguras y brindar asesoramiento sobre otras medidas que pueden tomar para aumentar la seguridad en sus redes y dispositivos. Taylor nos dijo que no estaba al tanto de ninguna violación de seguridad con los dispositivos domésticos inteligentes de LG.

"Los consumidores deben ser conscientes, pero no demasiado preocupados, de los peligros muy reales que existen, y es nuestra responsabilidad como industria ganarnos su confianza", dijo Sol Hedaya, gerente de categoría de Merkury Innovations, fabricante de la nueva línea Geeni de smart productos para el hogar que incluye una gama de bombillas inteligentes, cámaras y soluciones de energía.

"A medida que nos acostumbramos a que todo lo que nos rodea esté conectado a Internet, hay grandes ganancias para nuestra sociedad, pero también peligros reales", admitió Hedaya. "Los problemas más comunes que hemos visto en el espacio del hogar inteligente son los intrusos que atacan los dispositivos (en particular, las cámaras) que tienen una contraseña predeterminada fácil de adivinar o que incluso no tienen contraseña". Añadió: "Cualquier dispositivo desprotegido en Internet puede ser detectado y explotado rápidamente, y muchas veces se convierte en un vehículo involuntario para nuevos ataques a otros. Como tal, nos tomamos la seguridad muy en serio, incluido el cifrado de datos AES de grado militar, algoritmos de cifrado durante la autenticación, canales encriptados HTTPS y más".

La compañía solo ha tenido una distribución limitada de la nueva línea Geeni hasta el momento, pero "no se han reportado infracciones en los dispositivos que tenemos disponibles", dijo.

Otros fabricantes no han tenido tanta suerte. Dixit de Symantec señaló el ataque de denegación de servicio distribuido (DDoS) ampliamente informado que ocurrió en octubre, en el que los piratas informáticos pudieron infectar una red de dispositivos IoT para eliminar varios sitios web. Las interrupciones se informaron inicialmente principalmente en la costa este de los EE. UU., pero los sitios europeos también se vieron afectados. Los sitios web que se infectaron incluyeron los de Netflix y Twitter.

Por lo tanto, al igual que en las películas, si un fabricante de dispositivos le dice que no se preocupe porque tiene la situación bajo control, tómelo con al menos un grano de sal. Y asegúrese de haber tomado todas las precauciones posibles al configurar cualquier dispositivo doméstico inteligente.