Ataque dos dispositivos de casa inteligente

Não há como negar que a Internet das Coisas (IoT) se tornou uma categoria de produtos em alta, como evidenciado pela vasta variedade de ofertas de IoT na recente CES – de TVs, alto-falantes e produtos de automação residencial, como câmeras e termostatos a geladeiras e, acredite, ou não, espelhos. Se você já possui um dispositivo inteligente ou está pensando em comprar um (ou vários), saiba que cada um deles traz consigo ameaças de privacidade e segurança, de acordo com especialistas do setor de segurança.

Essa preocupação foi ressaltada recentemente quando o WikiLeaks divulgou documentos online alegando que a CIA invadiu dispositivos inteligentes, incluindo TVs inteligentes da Samsung. A invasão dessas TVs confirmou os piores temores de quem já estava nervoso com os microfones embutidos usados ​​para entender os comandos de voz das pessoas. Qualquer um que ganhe o controle dessas TVs pode aparentemente ouvir tudo o que estamos dizendo nas proximidades.

Por sua vez, a Samsung emitiu esta declaração: "Proteger a privacidade dos consumidores e a segurança de nossos dispositivos é uma prioridade na Samsung. Estamos cientes do relatório em questão e estamos analisando o assunto com urgência". A empresa disse que o software "malicioso" descrito pelo WikiLeaks foi instalado por meio de uma unidade USB conectada fisicamente que se aplicava ao firmware das TVs vendidas em 2012 e 2013, "a maioria das quais já foi corrigida por meio de uma atualização de firmware". Acrescentou que, na Samsung, "monitoramos continuamente quaisquer riscos de segurança" em sua plataforma de TV inteligente e, "se encontrarmos um, tratamos disso imediatamente". Qualquer pessoa preocupada com o uso de TVs inteligentes da Samsung pode tomar medidas para ser mais segura, disse, explicando: "A melhor ação que os consumidores podem tomar para garantir a segurança de qualquer dispositivo é sempre manter seus softwares e aplicativos atualizados o tempo todo".

Um número crescente de consumidores está experimentando o conceito de controlar dispositivos AV e de automação residencial por meio de algum tipo de hub inteligente – seja o SmartThings da Samsung ou o Amazon Echo, um dos produtos mais vendidos da última temporada de festas. Afinal, é conveniente e muito legal controlar tudo do seu sofá enquanto assiste a um filme ou a um jogo de futebol. Afinal, por que deveríamos realmente nos levantar e atravessar a sala para aumentar ou diminuir o termostato quando não precisamos de outra cerveja ou temos que fazer uma pausa no banheiro?

Esteja você usando esses dispositivos em seu sistema de home theater ou em qualquer outro lugar da casa, há várias maneiras de ajudar a se proteger contra ameaças à privacidade e à segurança.

Perigo, Will Robinson (ou qualquer que seja o seu nome)! Perigo!
De acordo com Bryce Boland, diretor de tecnologia para a Ásia-Pacífico da empresa de segurança cibernética FireEye, "os consumidores precisam dar um valor muito maior à sua segurança cibernética do que fazem hoje" porque "os dispositivos que você coloca em uma rede doméstica podem expor todos os os dispositivos e dados na rede para criminosos."

"Esses criminosos podem explorar esse acesso para acessar sua conta bancária, tentar extorquir você, alavancar seus dispositivos para realizar ataques a outros alvos ou infligir danos de outras maneiras", disse ele, acrescentando: "Os consumidores precisam estar cientes disso. riscos em evolução, porque se não forem, eles serão aproveitados."

A segurança cibernética pessoal é uma "questão importante" hoje e "só se tornará mais importante nos próximos anos", previu. A maioria de nós tende a pensar muito mais na segurança de nossas casas do que na segurança de nossos dispositivos e informações. Mas “invadir casas não é muito comum na maioria dos lugares porque é uma atividade de risco relativamente alto – os ladrões que são pegos são frequentemente processados", disse Boland.

Os ataques cibernéticos, por outro lado, são "de risco bastante baixo e muitas vezes não são processados ​​devido à natureza do crime e sua natureza internacional". Simplesmente não existem “grandes soluções no mercado hoje”, ele continuou explicando. Na área corporativa, as empresas tendem a preferir assinar ofertas de segurança que "ajudam a fechar a lacuna de segurança e a lidar com os riscos", mas "estamos muito longe de ver a adoção generalizada de produtos de segurança pessoal eficazes no mercado hoje".

Os dispositivos inteligentes que os fabricantes enviam "devem ser protegidos por padrão, prontos para uso" porque "se o consumidor não precisa fazer nada para que o dispositivo funcione, ele não deve fazer nada para que o dispositivo funcione com segurança ", disse ele, acrescentando: "Isso significa que os fabricantes de dispositivos não devem usar senhas codificadas ou padrão".

Boland continuou dizendo que os fabricantes de dispositivos também devem "garantir que os dispositivos que eles enviam possam ser facilmente mantidos e atualizados". Os fabricantes devem usar esse recurso para "remediar vulnerabilidades recém-descobertas e novas ameaças". Infelizmente, a maioria deles usa bibliotecas de código externas hoje. O que isso significa é que, "mesmo que seu próprio código seja perfeitamente seguro, seus clientes podem estar expostos a vulnerabilidades que são descobertas nessas bibliotecas externas", explicou.

Embora os fabricantes de dispositivos "não possam fornecer segurança perfeita", o que eles podem fazer é "investir em uma equipe que garanta que seus dispositivos sejam o mais seguros possível por padrão, e possam monitorar e responder à segurança contínua" de seus produtos. Cada fabricante deve ter uma equipe de pessoas gerenciando a segurança de seus produtos passados, atuais e futuros ao longo do ciclo de vida de seus produtos. "Se os fabricantes não estiverem fazendo isso, eles devem assumir que seus produtos serão comprometidos pelos invasores mais cedo ou mais tarde", disse Boland.

A maioria dos fabricantes hoje nem tem "equipes de segurança eficazes e dedicadas" porque "a economia não é favorável à segurança", então muitas vezes é apenas uma "externalidade de mercado até que os reguladores se envolvam", disse ele. Ele previu que "os governos precisarão intensificar a regulamentação dos fabricantes de dispositivos antes de vermos melhorias generalizadas".

Enquanto isso, ele disse, há algumas coisas que os consumidores podem fazer para se proteger contra violações:
1 Certifique-se de que seus dispositivos estejam executando o firmware mais recente.
2 Use senhas fortes e exclusivas em todos os seus dispositivos e contas, incluindo seu Wi-Fi.
3 Desative o acesso à rede em dispositivos onde não é necessário. Por exemplo, se o seu aparelho de som não precisar estar online, não o conecte.
4 Certifique-se de que seu roteador doméstico seja de um fornecedor confiável e esteja executando uma versão atual de seu software sem vulnerabilidades conhecidas.
5 Use uma rede separada para seus dispositivos móveis e computadores do que para seus dispositivos IoT. Alguns roteadores têm um recurso de rede de convidados que pode ser usado para dispositivos que precisam de acesso à Internet, mas não precisam de acesso à sua rede doméstica.
6 Use apenas dispositivos de fabricantes respeitáveis ​​que emitem atualizações.
7 Considere desabilitar o suporte/contas de nuvem em dispositivos onde não é necessário.
8 A rede doméstica de hoje é quase tão complexa quanto a rede de pequenas empresas de 10 anos atrás. Se você quiser fazer um esforço extra, pode instalar um roteador de pequena empresa em sua rede doméstica e usar LANs virtuais (VLANs) para segmentar cada dispositivo em sua própria rede e controlar o que cada dispositivo pode fazer. Isso pode melhorar o desempenho e a segurança… mas vem com uma configuração inicial muito mais complicada.

Tenha cuidado com esse dispositivo, Eugene (ou quem quer que você seja)
Shagorika Dixit, gerente sênior do Norton Consumer IoT Security da Symantec, concordou que os consumidores devem realmente se preocupar com questões de segurança e privacidade quando se trata de dispositivos domésticos inteligentes. De fato, em testes, a Symantec “encontrou vulnerabilidades em 50 tipos diferentes de dispositivos domésticos conectados, variando de termostatos inteligentes a hubs inteligentes”, disse ela.

Ela acrescentou: "Os consumidores devem estar igualmente preocupados com todos os dispositivos conectados". Isso ocorre porque os hackers podem obter acesso a uma câmera inteligente, um bloqueio inteligente ou uma variedade de outros dispositivos. “Embora alguns riscos possam parecer mais assustadores do que outros, a maioria dos dispositivos conectados apresenta algum tipo de risco, seja um cibercriminoso obtendo acesso físico a um dispositivo ou minerando informações pessoais”, disse ela. Os consumidores devem, portanto, tomar "precauções para garantir que TODOS os dispositivos conectados sejam protegidos adequadamente, e é por isso que Norton sugere proteger os dispositivos no nível da rede", disse ela.

À medida que mais e mais dispositivos conectados enchem nossas casas, a quantidade de pontos de entrada para os cibercriminosos se infiltrarem em nossos gadgets e roubarem informações pessoais confidenciais também está aumentando. Os hackers aprenderam a tirar proveito do fato de que muitos consumidores não alteram as configurações e senhas padrão em seus dispositivos domésticos inteligentes, e muitos dispositivos conectados ainda não são fabricados com segurança em mente, disse Dixit.

"Não se preocupe. A situação está sob controle."
Os representantes dos fabricantes que contatamos para esta história admitiram que existem possíveis problemas de privacidade e segurança com dispositivos domésticos inteligentes, mas disseram que os consumidores não devem se preocupar muito ao usar os produtos de suas empresas (é claro).

Tecnologias como o Smart ThinQ e o Deep ThinQ da LG, juntamente com o Hub Robot do fabricante, "proporcionarão novos níveis de prazer, conveniência e economia de energia" para os consumidores, disse John Taylor, vice-presidente de relações públicas da LG Electronics USA. "Ao mesmo tempo, somos sensíveis às preocupações com privacidade/segurança", e a LG "se orgulha de seu histórico na proteção das informações pessoais dos consumidores na área de TV inteligente – e esse mesmo compromisso é transferido para nossos aparelhos conectados, como bem", disse ele.

Taylor nos disse que "medidas de segurança e privacidade de dados de última geração são projetadas desde o início" com os produtos da LG. “Dito isso, este é um tópico importante que, com razão, receberá cada vez mais atenção em todo o setor à medida que o espaço da IoT continuar a evoluir”, disse ele.

Ele acrescentou: "Um passo inicial é educar os consumidores sobre os passos que eles podem tomar para proteger seus dispositivos e redes domésticas". Para esse fim, disse ele, a LG está trabalhando com a Consumer Technology Association em uma campanha nacional de serviço público para incentivar os consumidores a usar senhas fortes e fornecer conselhos sobre outras medidas que podem ser tomadas para aumentar a segurança em suas redes e dispositivos. Taylor nos disse que não estava ciente de nenhuma violação de segurança nos dispositivos domésticos inteligentes da LG.

“Os consumidores devem estar cientes, mas não muito preocupados, com os perigos reais que estão por aí, e é nossa responsabilidade como indústria ganhar sua confiança”, disse Sol Hedaya, gerente de categoria da Merkury Innovations, fabricante da nova linha de produtos inteligentes Geeni. produtos domésticos que inclui uma variedade de lâmpadas inteligentes, câmeras e soluções de energia.

"À medida que nos acostumamos a tudo ao nosso redor estar conectado à Internet, há grandes ganhos para nossa sociedade, mas também perigos reais", admitiu Hedaya. "Os problemas mais comuns que vimos no espaço de casa inteligente são os invasores que atacam dispositivos (principalmente câmeras) que têm uma senha padrão fácil de adivinhar ou até mesmo nenhuma senha." Ele acrescentou: "Qualquer dispositivo desprotegido na Internet pode ser rapidamente detectado e explorado, e muitas vezes se torna um veículo involuntário para novos ataques a outros. Como tal, levamos a segurança muito a sério, incluindo criptografia de dados AES de nível militar, algoritmos de criptografia durante a autenticação, canais criptografados HTTPS e muito mais."

A empresa teve apenas distribuição limitada da nova linha Geeni até agora, mas "nenhuma violação foi relatada nos dispositivos que temos por aí", disse ele.

Outros fabricantes não tiveram tanta sorte. O Dixit da Symantec apontou para o ataque de negação de serviço distribuído (DDoS) amplamente divulgado que ocorreu em outubro, no qual hackers conseguiram infectar uma rede de dispositivos IoT para derrubar vários sites. As interrupções foram inicialmente relatadas principalmente na costa leste dos EUA, mas os locais europeus também foram afetados. Os sites infectados incluíam os da Netflix e do Twitter.

Portanto, assim como nos filmes, se um fabricante de dispositivos disser para você não se preocupar porque eles têm a situação sob controle, leve-o com pelo menos um grão de sal. E certifique-se de ter tomado todas as precauções possíveis ao configurar qualquer dispositivo doméstico inteligente.