Sin duda, los dispositivos IoT han sido desarrollados para hacernos la vida más fácil. Pero si no tomamos una serie de medidas, las vulnerabilidades del Internet de las Cosas pueden acabar afectando negativamente a la continuidad de nuestro negocio.
Es difícil precisarlo. Según algunas estimaciones, en 2020 habrá más de 20.000 millones de dispositivos conectados a Internet. Otras fuentes hablan de 30.000 millones. Y los más osados prevén que la cifra supere los 50.000 millones. Y muchos de ellos, además de a la Red, estarán conectados entre sí. Esa relación es lo que se conoce como Internet de las Cosas o Internet of Things –de ahí que habitualmente se interprete dicho término como IoT–.
Sin duda, el IoT ha llegado para quedarse. Y los dispositivos interconectados están llamados a hacernos la vida más sencilla tanto en lo personal como en lo profesional. Así, según recuerdan desde la Oficina de Seguridad del Internauta (OSI), el Internet de las Cosas tiene numerosos usos: desde la domótica hasta la medicina y el cuidado de la salud, pasando por la automatización y el control de los procesos de producción, el transporte y la logística, la agricultura, la ganadería, la silvicultura o la videovigilancia. En definitiva, puede aplicarse a actividades de lo más variado.
¿Qué tipo de dispositivos inteligentes hay en una oficina?
Entre ellas, la mediación de seguros, cuyos profesionales se sirven de distintos dispositivos inteligentes para llevar a cabo su labor. Al respecto, apuntan desde el Instituto Nacional de Ciberseguridad (Incibe), si bien cada oficina es un mundo, muchos espacios de trabajo ya cuentan con algunos de los siguientes:
- Impresoras y fotocopiadoras con conexión a Internet.
- Servidores de almacenamiento en red (NAS).
- Sistemas de videoconferencia.
- Sistemas de control de presencia.
- Termostatos.
- Cámaras de vigilancia web IP.
- Alarmas con control remoto.
- Tomas de corriente con control remoto.
- Concentradores USB inteligentes.
- Smart TV.
- Pequeños electrodomésticos.
Y llegados a este punto conviene preguntarse: más allá de los “smartphones”, los ordenadores y las “tablets”, ¿las pymes se preocupan de proteger los dispositivos conectados a Internet o las redes internas de la empresa? ¿Hasta qué punto tienen en cuenta si son vulnerables? ¿Disponen de personal propio o externo que se ocupe de diseñar e implementar las medidas de ciberseguridad apropiadas?
¿Qué riesgos entraña el Internet de las Cosas?
A simple vista, los dispositivos IoT podrían parecer inofensivos para la ciberseguridad de nuestras redes y empresas. Sin embargo, alertan desde Incibe, no es así. Al estar conectados a Internet, los ciberdelincuentes pueden acceder a ellos y comprometerlos. En este sentido, se estima que el 70% de los dispositivos IoT es vulnerable a los ataques más simples. Y ello es así porque se comercializan con unos estándares de seguridad inferiores a otros dispositivos de red, lo que los convierte en presas fáciles y muy apetecibles para los ciberdelincuentes que desean acceder a las “tripas” de una organización.
En declaraciones a la Agencia Efe, Maya Horowitz, directora del Grupo de Inteligencia de Amenazas de Check Point, empresa israelí especializada en ciberseguridad, alerta de los riesgos que entraña el IoT:
“Por sí solos, los dispositivos conectados no son especialmente peligrosos. Pero los cibercriminales los atacan para integrarlos en una “botnet”, una red de dispositivos infectados y controlados de forma remota. Dispositivos que, en muchos casos, almacenan sus datos en la nube. Y el mundo “cloud”, a pesar de lo que suele pensarse, también tiene sus vulnerabilidades”.
Sobre estas últimas, Josep Albors, responsable de Concienciación e Investigación de ESET España, realiza una interesante reflexión en el blog We Live Security de la firma eslovaca de seguridad informática:
“Los fabricantes (de los dispositivos) han descuidado casi por completo un apartado crucial como es la seguridad. Y los usuarios son conscientes de ello: el 70% de los encuestados para la elaboración de un estudio cree que los dispositivos IoT no son seguros, sobre todo en términos de privacidad. Pero, a pesar de ello, el 62% no dejaría de comprarlos. Es muy importante ser conscientes de las vulnerabilidades que entrañan, ya que pueden ser aprovechadas de forma sencilla por los ciberdelincuentes para crear “botnets” que faciliten usar los dispositivos en beneficio propio”.
¿Qué ataques pueden sufrir los dispositivos IoT?
Como comentaba Josep Albors, muchos dispositivos inteligentes salen de fábrica sin unos estándares de seguridad apropiados. Por ejemplo, es posible que presenten un usuario y una contraseña de acceso configurados por defecto que, en algunos casos, no se pueden cambiar por otras credenciales más seguras. Y entre otras vulnerabilidades también figuran la inexistencia o inseguridad de cifrados de comunicación con la nube, el servidor o el usuario, la ausencia de actualizaciones para corregir fallos de seguridad o la presencia de “puertas traseras” que facilitan el acceso al dispositivo.
Y una vez logrado el objetivo, advierten desde la OSI, las vulnerabilidades de los dispositivos IoT pueden ser explotadas para llevar a cabo, entre otros, los siguientes ciberataques:
- “Ransomware”. Se trata de uno de los ciberataques de moda y se basa en el secuestro de dispositivos. Estos no son liberados hasta que se realiza el pago del rescate, acción que no garantiza la recuperación del control del dispositivo.
- Ataques de denegación de servicio. Los también conocidos como DoS o DDoS permiten obtener el control de un dispositivo y sumarlo a una red de equipos infectados que atacan a objetivos predefinidos de forma conjunta.
- Robo de información. El ataque a un dispositivo IoT posibilita acceder a otros conectados a Internet, lo cual allana el camino para robar documentos, archivos y credenciales de servicios.
- Manipulación de las mediciones. Si un dispositivo inteligente es atacado, los cibercriminales pueden llegar a provocar averías relacionadas con el suministro eléctrico o la calefacción, la apertura de puertas, el funcionamiento de los electrodomésticos, etc.
- Privacidad. A través de un ataque a un dispositivo IoT es posible conocer dónde se encuentra una persona, así como sus hábitos y preferencias.
10 consejos para proteger nuestros dispositivos inteligentes
Por todo lo expuesto, queda claro que los dispositivos IoT han sido desarrollados para hacernos la vida más fácil. En el ámbito personal, es probable que muchos lectores del blog de Senassur hayan adquirido un reloj o una pulsera inteligente para, entre otras funciones, utilizarlo como podómetro o medidor del consumo de calorías. Y desde una perspectiva profesional, también pueden contribuir a agilizar la labor de un mediador de seguros o a materializar el concepto de oficina inteligente en una correduría.
Pero, como hemos visto, los dispositivos IoT tienen vulnerabilidades que son aprovechadas por los cibercriminales. Por ello, a la espera de la elaboración y aprobación de regulaciones y normativas que fuercen a los fabricantes a desarrollar dispositivos más seguros, es preciso tener en cuenta estos consejos de seguridad que nos brinda la OSI:
- Siempre que sea posible es importante cambiar el usuario y la contraseña que traiga el dispositivo por defecto.
- Es conveniente aislar los dispositivos en una red independiente para evitar que alguien que acceda a la red wifi llegue a interactuar con ellos. Si no necesitamos acceder remotamente a nuestra red, lo suyo es deshabilitar la administración remota.
- Además de utilizando contraseñas robustas, los dispositivos IoT han de “blindarse” con WPA2, un sistema para proteger las redes wifi. Y también preocuparse de la seguridad del “router” para evitar que los ciberdelincuentes accedan a él.
- Asimismo, es aconsejable establecer un filtrado de tráfico para evitar que el tráfico no autorizado se dirija a un dispositivo en concreto o hacia el exterior de la red.
- La información que contenga o reciba un dispositivo ha de estar cifrada para evitar el robo, la manipulación o la modificación de las acciones a realizar.
- A través de análisis periódicos, un antivirus nos ayudará a detectar infecciones o vulnerabilidades.
- En el supuesto de utilizar las aplicaciones de control y gestión de un dispositivo IoT en el teléfono móvil, debe comprobarse que los permisos concedidos son los que necesita; en caso contrario, tienen que deshabilitarse los que no sean necesarios para su funcionamiento.
- Es importante leer las políticas de privacidad de un dispositivo IoT para saber qué información recolecta, almacena y usa la empresa que lo ha creado.
- Tanto el “software” como el “firmware” de los dispositivos IoT tienen que mantenerse actualizados.
- Al igual que sucede en el ámbito de la salud, en materia de ciberseguridad más vale prevenir que curar. En las políticas de ciberseguridad de una empresa han de contemplarse todos los riesgos, incluyendo los que entrañan los dispositivos IoT.
También puedes leer:
https://corredoresymediadores.senassur.es/sin-categoria/byod-riesgos-entrana/
https://corredoresymediadores.senassur.es/noticias-seguros/ciberamenazas-consejos-prevenirlas/
https://corredoresymediadores.senassur.es/noticias-seguros/la-ciberseguridad-una-prioridad-para-el-sector-asegurador/
