Una reciente investigación
sugiere que miles de sensores de monitoreo de la actividad geológica son
vulnerables a los ataques cibernéticos. Los mínimos controles de seguridad alrededor
de la forma en que los sensores transmiten datos fueron detallados en una
presentación en la convención de hackers Def
Con.
Los investigadores encontraron
la manera de engañar y de sobrecargar los sensores de manera que los sistemas
de monitoreo obtengan lecturas muy imprecisas. Los hallazgos han sido
reportados a la organización de emergencia de los Estados Unidos que supervisa
la infraestructura nacional.
"No hemos visto ninguna
investigación previamente en este campo", dijo Bertin Bonilla, un
experto en seguridad con sede en Costa Rica que, con su colega James Jara,
llevaron a cabo el trabajo. Bonilla dijo que la red de sensores apareció
durante un proyecto diferente, que trataba de encontrar y mapear los
dispositivos inteligentes conectados a la red para crear un motor de búsqueda
de Internet de las Cosas.
Los dispositivos llamaron la
atención debido a su ubicación y por la huella distintiva de datos que entregaron
al software que estaba escaneando las señales, dijo Bonilla. "Estos
dispositivos se encuentran en ambientes extremos como el medio del océano y
volcanes activos", dijo.
Un examen más detallado reveló
que era fácil conectarse a los sensores y ver los datos que se estaban
reuniendo y transmitiendo. Cuando los investigadores trazaron enlaces hacia los
servidores centrales, los datos recopilados revelaron una serie de defectos,
incluyendo contraseñas por defecto común, que podrían ser explotadas por
atacantes para tomar el control de la red.
"Tenemos un intérprete de
comandos", dijo
Bonilla. "Ese es el nivel más alto de privilegios en el sistema de
modo que podíamos hacer lo que quisiéramos. (El sistema) está comprometido por
completo", añadió. Además, dijo que los riesgos asociados a la red y los
sensores eran bajos, pero el fácil acceso podría ser de interés para determinados
tipos de atacantes.
El
Equipo de Estado de Alerta de los EE.UU. (US-CERT) ya ha sido informado
sobre la serie de defectos, y está coordinando el trabajo para endurecer los
sistemas nacionales de infraestructura. US CERT ha pasado, a su vez, la información
sobre los fallos de seguridad a la empresa canadiense Nanometrics, la cual
fabrica los sensores y los equipos de recogida de datos que conforman gran
parte de la red de vigilancia sísmica.
Un portavoz de Nanometrics
dijo que las conversaciones técnicas con US CERT después de que los
investigadores habían compartido sus hallazgos habían convencido a la agencia de
no emitir una alerta. "Siempre hemos recomendado a nuestros clientes cambiar
las contraseñas de fábrica y que cuando usen los sistemas de redes de
comunicaciones en tiempo real, limiten el acceso a direcciones IP conocidas y/o
utilizar software
de VPN", dijo.
Los dispositivos, los cuales
cuestan más de 30 mil dólares, miden los desastres
naturales, y si alguien llegará a abusar de ellos podría dar lugar a un
sabotaje financiero a una empresa o país específico. De ahí la importancia de
darles las seguridad debida.
FUENTES: BBC, DIGITALJOURNAL