El ciberdelito siempre llama dos veces a la puerta del hogar conectado
El debate sobre los hogares conectados suele girar en torno a si los dispositivos IoT (internet de las cosas) se han convertido en una alfombra roja para las ciberamenazas. «Más que una alfombra roja –dice Raúl Aguilera, vocal de Aeinse (Asociación Española de Ingenieros … de Seguridad) y responsable de liderar el grupo de trabajo de ciberseguridad en sistemas de seguridad física de esta organización—, yo hablaría de una puerta adicional en una casa que antes tenía una sola. Una cámara, un panel de alarma, una cerradura inteligente o un detector de humo conectado están accesibles desde fuera de la vivienda. Es lo que los hace cómodos, porque permiten ver la casa desde el móvil o recibir un aviso estando de viaje, y también lo que los hace vulnerables, porque esa misma conexión permanece abierta de forma permanente y sin vigilancia».
El cibermalo no tiene objetivos concretos: rastrea internet de forma automatizada en busca de dispositivos mal configurados. «La inmensa mayoría de los incidentes domésticos no son ataques sofisticados, sino oportunidades aprovechadas», aclara Aguilera.
Los riesgos reales del hogar, advierte, son «menos espectaculares de lo que sugiere el cine, y en general más prosaicos y más frecuentes». El primero son las credenciales débiles, las que resultan fáciles de deducir. «Entran en esta categoría las que vienen de fábrica, pero también las previsibles: secuencias como ‘123456’, el apellido de la familia, la fecha de nacimiento, el nombre de la calle o la propia marca del dispositivo», detalla. A estos riesgos se añaden el software sin actualizar, la pérdida de privacidad, la inutilización del sistema, el uso del dispositivo como trampolín hacia otros equipos de la red doméstica y el compromiso de la cuenta en la nube.
Noticia relacionada
Poner en el foco
¿Pero dónde hay que poner el foco de la defensa? Estima el experto que no todos los hogares necesitan lo mismo: «Quien vive en un piso con un sistema sencillo, por ejemplo una alarma, una cámara y algún detector conectado, no necesita una estrategia compleja». Bastaría con sustituir las contraseñas de fábrica por otras largas que no se puedan deducir y que sean distintas para cada dispositivo y cuenta, activar la verificación en dos pasos en las cuentas asociadas, mantener activadas las actualizaciones automáticas y no exponer los dispositivos directamente a internet con configuraciones improvisadas, y usar los servicios que ofrece el fabricante para el acceso remoto. La situación cambia en una vivienda con varios sistemas integrados. Propone entonces por «separar en la red los equipos de seguridad del resto de dispositivos del hogar».
Eso de que lo barato sale caro tiene especial relevancia en este ámbito. La duda, para el usuario, es si un dispositivo doméstico económico puede tener un blindaje digital solvente. Aguilera apunta que «el precio es un mal indicador de la seguridad de un dispositivo». «Lo que de verdad la determina es quién está detrás del producto y durante cuánto tiempo está dispuesto a responder por él. Hay equipos baratos de fabricantes serios que publican actualizaciones, obligan a cambiar la contraseña en el primer uso y mantienen su soporte durante años. También hay equipos caros, con una estética impecable, que se abandonan al poco de salir al mercado», añade.
Como consejos prácticos, plantea que conviene fijarse en tres aspectos que pueden comprobarse en la tienda o en la web del fabricante: «Que la marca sea identificable y tenga presencia estable en el mercado, que indique por escrito durante cuántos años garantiza actualizaciones y que el producto obligue a establecer una contraseña propia al instalarlo».
La Ley de Ciberresilencia
La Unión Europea (UE) ha endurecido las obligaciones de los fabricantes a través del Reglamento de Ciberresiliencia (Cyber Resilience Act). Está previsto que el 11 de diciembre de 2027 empiecen a exigirse mayores responsabilidades en la gestión de vulnerabilidades, el suministro de actualizaciones y la información suministrada a los compradores.
«Salvo el tratamiento de datos, el problema que había con los dispositivos IoT era la falta de normativa clara. Esto va a cambiar con la Ley de Ciberresiliencia, que obliga a cumplir distintos requisitos en función de la categoría adjudicada. La mayoría de los dispositivos de bajo consumo, es decir, de consumo extendido van a ser de la categoría primera. Estos deberán acreditar en la descripción del producto el cumplimiento de unos requisitos», explica Pedro Peris, catedrático de Ciencias de la Computación e Inteligencia Artificial de la Universidad Carlos III de Madrid (UC3M).
Esta categoría de «no clasificados», de software general y productos de consumo conectados que no figuran en las categorías «importante» o «crítico» incluye aproximadamente el 90% de los artículos, entre ellos los dispositivos de domótica básica. Requieren una autoevaluación por parte del fabricante. A partir de la fecha marcada, si no hay moratoria, toda empresa que quiera vender productos en la UE tiene que cumplir con esta normativa, sea de la UE o extracomunitaria. «La ley —comenta el docente— va a garantizar que el tráfico de datos que hay, por ejemplo, entre dos dispositivos esté cifrado, que se va a actualizar el software y el dispositivo durante cinco años al menos».
En cuanto a dispositivos en el hogar, distingue tres tipos: «Las cerraduras inteligentes y el hub o concentrador, que son críticos, porque dan acceso físico al domicilio y son la puerta de entrada a la red; los automatismos, todo lo vinculado con luces, termostatos inteligentes, porque tienen datos sensibles, porque con ellos se pueden conocer los hábitos de vida; y por último, las cámaras y altavoces inteligentes, porque capturan imágenes y sonido, y debemos saber si son seguros y si los datos a los que acceden no salen». Coincide también Peris en la segmentación como solución, como protección ante los posibles ciberataques: «Debería disponerse de una red para todos los dispositivos IoT y otra para el resto de las cosas. Los proveedores de internet nos dan en nuestro router una red de wifi privada y otra que llaman de invitados. Pues sería tan sencillo como utilizar todos los dispositivos de IoT en la red de invitados».
La educación en ciberseguridad es uno de los retos que Peris considera clave: «Lo tenemos todos, los Gobiernos, las empresas… la concienciación. No le podemos cargar con toda la responsabilidad al ciudadano porque no tenga conocimiento del peligro».
El Balance de Ciberseguridad 2022, del Instituto Nacional de Ciberseguridad (INCIBE), informa de 122.223 incidentes de ciberseguridad a lo largo de ese año. Asusta todavía más saber que el 85% de los sistemas atacados por cibercriminales estaban relacionados con dispositivos IoT del hogar, como televisores inteligentes, decodificadores o reproductores multimedia.
Una nueva era
ADT España, compañía dedicada a la seguridad electrónica y las alarmas, cifra en más de 20 los dispositivos conectados a internet en los hogares. Sus expertos afirman que «la seguridad residencial ha entrado en una nueva era y que el blindaje del hogar moderno debe ser, a la vez, físico y digital»».
Apuestan por distintas soluciones como la detección de inhibición (tecnología que identifica el bloqueo de señal generado por un inhibidor entre los dispositivos y el panel de alarma: el sistema emite automáticamente una señal de alerta que se transmite a la Central Receptora de Alarmas, CRA); la seguridad multivía (funcionalidad que garantiza la continuidad de las comunicaciones con la CRA incluso cuando el atacante intenta neutralizar uno de los canales de transmisión); la supervisión de líneas mediante una comunicación permanente entre la CRA y el sistema de alarma para detectar si ha habido sabotaje o corte; y la tecnología Crash Signal, que permite que la CRA reciba la señal de alarma aunque el panel de control haya sido destruido por el intruso.
Source – ABC News
