El Internet de las Cosas (IoT por sus siglas en inglés) ha revolucionado el mundo empresarial. Ha ayudado a agilizar procesos industriales, reducir costes e incluso ha creado nuevos modelos de negocio. Pero, como suele ser el caso, todas estas ventajas van de la mano de una serie de desventajas, la más importante de las cuales es el aumento significativo de la superficie de ataque.

Uno de los primeros ejemplos del tipo de ciberataque que puede afectar los dispositivos del IoT era Mirai. En 2016, este botnet consiguió colapsar gran parte de Internet en Estados Unidos al llevar a cabo un ataque DDoS con dispositivos IoT, incluidos cámaras de seguridad y televisiones conectadas. Se estima que este ataque implicó a hasta 150,000 endpoints infectados.

OpenDreamBox: un plugin vulnerable

En agosto, investigadores de ciberseguridad anunciaron que OpenDreamBox, que provee software para televisiones digitales y cámaras de seguridad entre otros dispositivos del IoT, contiene una vulnerabilidad muy seria en su WebAdmin plugin. La vulnerabilidad, denominada CVE-2017-14135, tiene una severidad de 10—la más alta posible.

La vulnerabilidad en OpenDreamBox es de ejecución remota de código, lo cual significa que permite que los ciberatacantes ejecuten comandos de forma remota, hacerse con el control del dispositivo, o instalar software malicioso. El fallo ocupó el octavo puesto entre las vulnerabilidades más explotadas durante el pasado mes de junio. Es más, debido a la popularidad de los dispositivos IoT, esta vulnerabilidad afecta el 32% de las empresas del mundo.

Esta vulnerabilidad es bastante fácil de detectar con Shodan, el motor de búsqueda que le permite al usuario encontrar iguales o diferentes tipos específicos de equipos conectados a Internet. Según explica Alfie Njeru en su blog, una búsqueda en Shodan revelará si una aplicación contiene el WebAdmin plugin vulnerable.

Los problemas de ciberseguridad del IoT

Actualmente, hay más de 23 mil millones de dispositivos IoT en el mundo, una cifra que subirá a 60 mil millones para 2025, una superficie de ataque significativa. Esto es más preocupante cuando consideramos que muchas veces, la seguridad no suele ser una prioridad para los desarrolladores de estos dispositivos; en muchos casos, la prioridad es sacar el dispositivo al mercado lo antes posible, en vez de pasar mucho tiempo desarrollando medidas de seguridad.

Otro problema son las actualizaciones. Como hemos visto aquí, una vulnerabilidad sin actualizar puede causar serios problemas de seguridad. Sin embargo, para muchos dispositivos IoT, el proceso de instalar actualizaciones no es automático, y a veces el fabricante no provee ninguna actualización. Con la aparición o descubrimiento de vulnerabilidades peligrosas, una falta de actualizaciones automáticas perjudica la seguridad de la organización que utiliza el dispositivo.

¿Es posible protegerse contra esta vulnerabilidad?

Como es el caso con todas las vulnerabilidades, con OpenDreamBox lo más importante es mantener al día todas las aplicaciones y aplicar los parches relevantes. A menudo las organizaciones suelen tener dificultad a la hora de priorizar y aplicar los parches relevantes. Por eso una solución de gestión de parches es tan importante. Panda  Patch Management audita, monitoriza y prioriza las actualizaciones de los sistemas operativos y aplicaciones desde un panel único. Además, es capaz de contener y mitigar ataques que explotan vulnerabilidades, aplicando una política constante de actualizaciones críticas para detectar cualquier posible amenaza incluso antes de que sea efectiva.

Otra medida fundamental en cualquier política de ciberseguridad son las contraseñas seguras y robustas. Uno de los peligros más presentes para los dispositivos IoT es el uso de las contraseñas por defecto. Estas contraseñas facilitan los ciberataques, ya que suelen ser compartidas entre muchos dispositivos y son fáciles de obtener. Todo esto significa que una contraseña puede permitir a un ciberatacante entrar en el sistema informático de tu empresa y hacerse con el control de los dispositivos.

Este año se han descubierto un promedio de casi 40 vulnerabilidades nuevas cada día. Para adelantarse a estos fallos que pueden poner en peligro tu empresa, es imprescindible tomar medidas de ciberseguridad.