Los dispositivos de IoT no autorizados ponen contra las cuerdas a las empresas

El crecimiento de internet de las cosas (IoT) y el uso de dispositivos no autorizados está comprometiendo la seguridad de las empresas, que cada vez más se enfrentan al Shadow IoT o el IoT en la sombra.

Zscaler ha identificado un cambio en el comportamiento a la hora de elaborar su informe “Dispositivos de IoT en la Empresa 2020: Aparece la amenaza del IoT en la sombra”, detectando un incremento del 1500 % en el tráfico de IoT a través de su nube. Zscaler advierte de que la presencia de dispositivos no autorizados en el lugar de trabajo va en aumento. Entre ellos se encuentran relojes y televisores inteligentes, decodificadores de televisión, cámaras IP, sistemas multimedia para automóviles, asistentes digitales y otros dispositivos inteligentes para el hogar.

El problema es que los equipos de TI y seguridad de las organizaciones no suelen estar al tanto de que estos dispositivos están en sus redes corporativas. Así, los riesgos aumentan. Zscaler está bloqueando 14 000 intentos de ataque de malware basado en IoT cada mes, una cifra siete veces superior a la de hace un año.

No dejan de aparecer nuevos exploits para atacar los dispositivos de IoT, como la red de bots RIFT. Y la mayoría de las transacciones son inseguras. Hasta un 83% de las transacciones de IoT se realizan por medio de canales de texto sin formato en vez de por canales seguros.

“Hemos entrado en una nueva era del uso de dispositivos de IoT dentro de la empresa. Los empleados están exponiendo a las organizaciones a una gran ola de ataques mediante el uso de dispositivos personales, el acceso a dispositivos domésticos y la vigilancia de personas a través de redes corporativas”, indica Deepen Desai, vicepresidente de Investigación de Seguridad de Zscaler, “Como industria”, dice, “necesitamos implementar estrategias de seguridad que protejan las redes empresariales”. Esto pasaría por retirar los dispositivos en la sombra y trabajar en la detección y prevención de ataques. Una solución es la aplicación del método de confianza cero.

Los sectores que más sufren, por sus altos volúmenes de tráfico de IoT, son la industria manufacturera y el comercio minorista.

Los casos de Fibaro Home Center Lite, HomeMatic CCU2 y eLAN-RF-003.

La compañía de seguridad ESET ha encontrado agujeros de seguridad en varios dispositivos que se usan para gestionar otros dispositivos conectados.

Las vulnerabilidades halladas podrían derivar en ataques MitM, espionaje, creación de puertas traseras y el acceso en forma de administrador, con la posibilidad de tomar el control de las unidades centrales. “Las vulnerabilidades en dispositivos IoT siguen siendo muy numerosas”, lamenta Ondrej Kubovic, especialista en seguridad y concienciación de ESET. “Nuestra investigación muestra problemas en la configuración y fallos en el cifrado y en la autenticación. Queremos destacar que estos defectos no son exclusivos de los dispositivos más baratos, sino que se encuentran también en aparatos de gama alta”.

Los dispositivos en los que ESET ha visto problemas son Fibaro Home Center Lite, HomeMatic CCU2 y eLAN-RF-003.

El primero de ellos es un controlador de automatismos para el hogar que trabaja con dispositivos periféricos. El segundo es una unidad central del sistema eQ-3. Y el tercero también es una unidad central pensada para controlar distintos sistemas de domótica a través de una aplicación móvil, de smartwatch o para la tele.

En los tres casos, los fabricantes han resuelto las incidencias de seguridad para proteger a los usuarios.