El «Internet de las Cosas», ¿una nueva ventana para la ciberdelincuencia?

El reciente ciberataque masivo DDoS (por denegación de servicio) contra empresas tecnológicas en Estados Unidos podría ser el inicio de una nueva era de ataques en la Red llevadas a cabo a través del «Internet de las Cosas» (IoT, por sus siglas en inglés). En este caso, el ataque no se ha dado en nuestros ordenadores, como es habitual, sino en los dispositivos con un sistema de adaptación al Internet de las Cosas como son los routers, las cámaras webs o las impresoras.

En este ciberataque, más de 500.000 cámaras inteligentes aquellas que solemos ver por la calle, centros comerciales, vestíbulos, oficinas y tiendas, se vieron afectadas por una «botnet» (red de bots utilizados para controlar muchos ordenadores o servidores de forma remota).

Este número tan elevado de cámaras involucradas se puede explicar por la falta de seguridad existente en las mismas, ya que están diseñadas para conectarse de manera automática a internet, igual que el resto de dispositivos IoT, lo que las hace vulnerables a cualquier ciberataque.

Sin embargo, en esta ocasión tan solo se ha utilizado aproximadamente un 10% de estos bots, dando muestra del increíble poder ejercido desde un solo tipo de dispositivo, y más aún si tenemos en cuenta que existen otros tantos tan vulnerables como las cámaras, por lo que este ataque solamente es la punta del iceberg de lo que los ciberdelincuentes realmente podrían ser capaces de hacer.

Los problemas de ciberseguridad en dispositivos IoT no son nuevos, pero no se había vivido hasta ahora ninguno de tal magnitud. Y es que, de momento los ciberdelincuentes no saben cómo obtener beneficios económicos de ellos, tal y como sí que saben hacer con el ransomware, donde están obteniendo grandes sumas de dinero. Según el FBI, las pérdidas económicas ocasionadas por ciberataques mediante ransomware, durante el primer trimestre de 2016 ascendieron hasta los 206 millones de dólares.

Aunque de momento no haya indicios de pérdidas económicas por parte de las empresas que sufrieron este ciberataque masivo DDoS, ha quedado claro que los dispositivos IoT son vulnerable cuando están en manos equivocadas, tanto es así que la caída de los servicios DNS (sistema de nombres de dominio) en la costa este de los Estados Unidos, tuvo como consecuencia la interrupción de webs de gigantes tecnológicos como Twitter, Reddit y Spotify, todos ellos clientes de Dyn, proveedor de servicios DNS.

Debemos ser conscientes de que estos dispositivos no son tan inteligentes como creemos, ya que como hemos podido comprobar cualquiera puede acceder a ellos y utilizarlos para dirigir ciberataques a gran escala. De cara al futuro, y para evitar males mayores es fundamental que los fabricantes eliminen las contraseñas por defecto y garanticen que los dispositivos que forman parte del IoT se puedan actualizar de forma remota y automática contra amenazas de seguridad, ayudando a prevenir este tipo de ataques recurrentes.

Hay que recalcar que hasta que los fabricantes de IoT no tomen las medidas pertinentes, desde Sophos Iberia recomendamos que las personas que tengan televisiones inteligentes, luces, termostatos, routers y demás dispositivos conectados a Internet actualicen su respectivo software de forma regular y cambien inmediatamente la contraseña que viene por defecto por otra personalizada y más segura.

Vicente Pérez es Key Account Manager de la firma de seguridad informática Sophos Iberia