Esto no es un simulacro. La amenaza de los Thingbots es existencial y aumenta con cada dispositivo conectado que instalamos.
Tengo un pastor de las Shetland que le tiene manía a mi tostadora. Cada vez que está encendida, le ladra y salta hacia ella como si fuera una amenaza. Mi marido y yo bromeamos con que el perro cree que la tostadora es un Decepticon. O al menos lo hacíamos hasta que leí el último informe de F5 Labs. Ahora me pregunto si quizá mi perro sabe algo que nosotros no sabemos.
Desde hace años, F5 Labs realiza un seguimiento de los ataques contra dispositivos IoT e informa sobre ellos. Además de las evidentes cámaras IP y los routers SOHO, esto incluye el televisor, el horno, el frigorífico y la cafetera Keurig.
Lo has leído bien: F5 Labs ha detectado tráfico de ataques procedente de una cafetera Keurig. Eso hace que la desconfianza de mi perro hacia mi tostadora ya no parezca tan disparatada como hace un momento, ¿verdad?
El último informe de F5 Labs, que recoge datos sobre ataques a dispositivos IoT en todo el mundo entre enero y junio de 2018, resulta preocupante. No solo porque los dispositivos IoT siguieran siendo objeto de ataques o incluso porque fueran vulnerables a ellos, sino por la transformación que se está produciendo.
El informe señala que el 74 % de los «thingbots de los que tenemos constancia se desarrollaron en los últimos dos años. Solo en 2018 se han descubierto trece thingbots, que ya no son bots de una o dos funciones. Se ha producido una transición hacia bots de ataque multipropósito de alquiler que implementan servidores proxy.»
Los thingbots se están transformando en plataformas de ataque. Son dinámicos y configurables, capaces de lanzar multitud de ataques, desde el cryptojacking y el rastreo de paquetes hasta el secuestro de DNS y el relleno de credenciales. Los atacantes no se limitan a reclutar dispositivos IoT, sino que los entrenan para convertirlos en supersoldados de sus ejércitos digitales.
Dada la facilidad con la que los atacantes pueden comprometer dispositivos, esta transformación resulta preocupante. La posibilidad de aprovechar un único dispositivo comprometido para llevar a cabo distintos tipos de ataques proporciona una ventaja económica a los «propietarios» de estas redes de bots. El alquiler de redes de dispositivos comprometidos lleva mucho tiempo siendo un negocio lucrativo, pero la posibilidad de diversificar la cartera supone una ventaja en cualquier mercado.
No se deje engañar pensando que esto no es un mercado. Lo es, y al transformar las redes de bots del Internet de las cosas en plataformas, los atacantes están garantizando que sea un mercado en crecimiento.
Lo frustrante es que seguimos alimentando este mercado. Los fabricantes y proveedores de servicios contribuyen a ello al utilizar credenciales predeterminadas poco seguras que se descubren —o se adivinan— fácilmente. El informe de F5 Labs señala: «El ochenta y ocho por ciento (88 %) de las credenciales de la lista de las 50 más atacadas entre el 1 de enero de 2018 y el 30 de junio de 2018 tienen el mismo nombre de usuario que contraseña. Entre ellas se incluyen “root:root”, “admin:admin” y “user:user”».
Los atacantes lo saben y lo aprovechan con un índice de éxito alarmante. A ello contribuye que los consumidores no cambien estas credenciales predeterminadas. Y, una vez que los atacantes se hacen con el control de un router SOHO, les resulta muy sencillo atacar todos los dispositivos del interior de la red a los que, de otro modo, quizá no habrían podido acceder.
Como tu cafetera. O quizá mi tostadora.
Será interesante ver si la prohibición de California sobre las contraseñas predeterminadas —que entrará en vigor el 1 de enero de 2020— tendrá algún efecto apreciable. La ley exige que cualquier dispositivo conectado que se venda en California tenga una contraseña única en el momento de su fabricación o que se solicite crear una durante la primera interacción del usuario. Dada la naturaleza global del mercado, es probable que este requisito afecte a los dispositivos vendidos en cualquier lugar. Pero solo se aplica a los dispositivos vendidos después del 1 de enero de 2020. No afectará a los dispositivos que se venden ahora ni a los que se vendan durante los próximos dos años. Para entonces, la red mundial de dispositivos comprometidos podría ser tan grande que la medida no resultará tan útil como podría haberlo sido si esta —o una ley similar en otro estado— se hubiera implantado hace años.
Merece la pena dedicar tiempo a leer el último informe de F5 Labs para comprender la grave amenaza que representan las redes de bots de dispositivos IoT, no solo para los activos digitales, sino también para las personas. Todos los aspectos de nuestra vida están experimentando una transformación digital, y el IoT contribuye de forma significativa a ella. Al apropiarse de los dispositivos de los que dependen la policía, los bomberos y los profesionales sanitarios, los atacantes pueden poner en peligro nuestra salud y seguridad. El control de la señalización digital que guía y dirige el tráfico en las carreteras podría tener consecuencias desastrosas.
Cuanto más dependemos de los dispositivos IoT, mayor es la amenaza que supone que se vean comprometidos.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.