Una casa más inteligente es más vulnerable: cómo proteger el inodoro de los hackers

Los dispositivos inteligentes son cada vez más populares en nuestros hogares. Más de 14 millones de dispositivos están conectados al Internet de las Cosas (IoT) y, según Gartner, en 2021 serán 25 000 millones.

Bombillas, neveras, timbres y cerraduras están siendo sustituidas por versiones smart con conexión a internet. Los altavoces inteligentes Alexa (Amazon) y Nest Mini (Google) compiten por los 25 millones de clientes que comprarán un asistente de voz en 2020.

Dispositivos vulnerables

Avanzamos hacia un futuro de hogares inteligentes casi de ciencia ficción. Lleno de comodidades pero, también, de nuevos peligros. Como en la piratería informática, los hackeos de estos dispositivos pueden exponer nuestros datos personales. En los hogares, los ciberdelincuentes pueden provocar inconvenientes más graves e incluso poner en peligro nuestra vida. Paradójicamente, los aparatos que nos facilitan la vida pueden volverse contra nosotros. Son muchos los casos conocidos.

En octubre de 2016, una red de bots que operaban desde dispositivos IoT lanzó el mayor ataque de denegación de servicio (DDoS, en sus siglas en inglés) de la historia. El origen del ataque fue un virus llamado Mirai, que escanea incansablemente la web en busca de dispositivos accesibles como webcams y routers. Los infecta silenciosamente y los convierte en bots a la espera de órdenes.

En el ataque contra Dyn, 100 000 de estos dispositivos atacaron a la vez los servidores de la empresa para hacerlos caer y, con ellos, servicios como Twitter, Netflix, Spotify y CNN.

Una sola bombilla, mal diseñada, puede permitir que los hackers accedan en unos minutos a las credenciales del wifi de casa. Investigadores de CheckPoint mostraron cómo infectar una bombilla Hue de Philips y, desde ella, acceder a la red wifi. Una vez publicada la vulnerabilidad, la empresa anunció una nueva versión del firmware que los usuarios pueden descargar, aunque pocos lo hacen. Podemos ver con detalle el modo de hackear estos dispositivos en el blog LimitedResults.

Los juguetes no han salido mejor parados. Defectos de diseño en ositos de peluche y muñecas Barbie han dejado al descubierto información personal y millones de grabaciones de voz de niños.

No hay dispositivo doméstico que esté libre de peligro: cafeteras, robots aspiradores e incluso inodoros. Recientemente, el hackeo se ha extendido a juguetes sexuales, lo que eleva el grado de intimidad de la información que queda al descubierto.

En 2019 Karsperski detectó más de 100 millones de ataques IoT, un 900 % más que en 2018. Casi todos son tan silenciosos que sus víctimas desconocen estar infectadas, la mayoría de ellos por alguna variante de Mirai.

Pero no siempre es tan silencioso. En diciembre de 2016, en los Alpes austríacos, el Hotel See sufrió un hackeo y las cerraduras electrónicas de la habitaciones fueron bloqueadas por un virus hasta que pagaron 2 bitcoins (algo más de 1 000 euros por entonces).

En agosto de 2017, la FDA (Agencia de Medicamentos y Alimentación americana) pidió a personas con marcapasos de la marca St. Jude que acudieran al hospital para instalar una actualización que impidiera a los hackers acceder al dispositivo y modificar los comandos de programación.

Aunque parezca un episodio de Black Mirror, es la realidad. No se trata solo de robar información: los hackers pueden encerrarnos en casa, bloquearnos el coche y detener nuestro marcapasos.

Dispositivos seguros: rentabilidad vs seguridad

La prevención es esencial pero, desafortunadamente, muchos dispositivos IoT no se diseñan, ni se fabrican, con la seguridad como prioridad.

Los dispositivos de fabricantes conocidos incorporan medidas de seguridad, aunque nunca podemos estar seguros de que estén completamente protegidos. Pero los pequeños fabricantes de marcas más baratas destinan a la seguridad un presupuesto insuficiente, lo que se traduce en un gran riesgo.

La seguridad debería abordarse desde el diseño, en lugar de ser una preocupación cuando el producto está listo para lanzarse al mercado. Los fabricantes deberían incorporar prácticas de desarrollo de software seguro y realizar estrictas pruebas de verificación.

Además, deben estar vigilantes y proporcionar actualizaciones frecuentes que resuelvan las vulnerabilidades de sus productos. Todo ello se promueve desde iniciativas como el proyecto IoT nuggets, donde se ha definido un marco para mejorar las competencias en seguridad de desarrolladores y usuarios de dispositivos inteligentes.

Lamentablemente, la mayoría de los fabricantes de dispositivos IoT piensan más en los beneficios que en la seguridad, e intentan reducir al máximo el tiempo y los costes de desarrollo.

Prácticas seguras

Mientras la realidad siga siendo esta, será necesario mantener un espíritu crítico a la hora de elegir dispositivos inteligentes para el hogar. He aquí algunas buenas prácticas previas y posteriores a su compra:

1. Investigue antes de comprar. No compre lo primero que encuentre, o lo más barato. Averigüe si la empresa ha estado involucrada en algún incidente de seguridad y cómo lo gestionaron. Compruebe si el software del dispositivo puede actualizarse y visite la página web del fabricante para ver con qué frecuencia publica actualizaciones. Compárelo con otros.
2. Cambie el nombre de usuario y la contraseña por defecto de sus dispositivos de IoT y utilice una contraseña robusta. Se estima que más del 15 % de los propietarios de dispositivos IoT no cambian sus contraseñas por defecto. Esto será lo primero que intente un hacker.
3. Revise los ajustes de privacidad y seguridad. La mayoría de los dispositivos domésticos inteligentes tienen, por defecto, permisos generosos para recoger información comercial.
4. Mantenga una red wifi separada para los dispositivos IoT. Evitará que los hackers usen un dispositivo infectado para acceder al resto de su red.
5. Asegure su red wifi. Utilice cifrado WPA2-PSK, desactive la opción WPS y, por supuesto, revise que la contraseña sea robusta.
6. Active las actualizaciones automáticas de los dispositivos. Si no existe la función, revise regularmente la página web del fabricante e instale las actualizaciones.
7. Revise las aplicaciones de los dispositivos IoT y desactive los que no le interesen. Además, para evitar infecciones, descárguelas solo desde tiendas oficiales.

Un dispositivo conectado es una posible brecha en la seguridad en nuestra casa. Si encuentran la ocasión, los hackers no perderán la oportunidad. Por eso es fundamental que fabricantes y consumidores nos concienciemos y tomemos acciones para procurar que nuestros dispositivos sean tan seguros como útiles.

Este artículo fue publicado originalmente en The Conversation. Lea el original.