Consejos para proteger tu casa

Las casas modernas se parecen a pequeñas oficinas. Tenemos montones de diferentes aparatos conectados a nuestra red, desde dispositivos de almacenamiento y equipos de red, hasta impresoras de red inalámbricas. Toda la industria del “entretenimiento familiar” está conectada: es muy difícil comprar una TV, un reproductor de DVD o Blu-Ray que no tenga Wi-Fi… Lo mismo pasa con la industria de los juegos: todas las consolas modernas necesitan conectarse a Internet.

Me encanta el hecho de que se apliquen nuevas tecnologías en antiguos conceptos para mejorar su funcionamiento. En mi caso, hasta mis viejos ordenadores retro están conectados a Internet, y hablo de equipos tan antiguos como Commodore 64, Amiga 500 y Atari, porque me encanta que las cosas antiguas tengan nuevas funciones.

Y, como sabemos, a mayor poder, mayor responsabilidad. Pero esto no es algo que los fabricantes de productos de consumo estén adoptando a la hora de añadir funciones adicionales a sus “viejos” productos. En una investigación que hice, analicé los dispositivos conectados a mi propia red doméstica, ¡y el resultado fue escalofriante! En pocos minutos logré comprometer algunos de mis dispositivos, convirtiéndolos en máquinas de redes zombi, burlando toda la seguridad y accediendo a archivos en dispositivos de almacenamiento sin tener autorización para hacerlo.

Muchos creen que estos ataques son difíciles y que sólo alguien dentro de la misma red puede lanzarlos (por ejemplo, en tu conexión privada de Wi-Fi), pero es una falsa idea. Existen formas muy sencillas y efectivas para comprometer tu red de dispositivos conectados desde cualquier lugar a través de Internet.

Mi colega Marta Janus también hizo una investigación muy interesante sobre la (in)seguridad de los módems y routers domésticos, y ambos llegamos a la misma conclusión. ¡Tenemos que actuar ahora! No se trata de un problema para el futuro, es un problema de ahora. Los ciberpiratas están explotando estas debilidades en este preciso instante y la industria no está haciendo lo suficiente al respecto.

No es sólo cuestión de un problema técnico que pueda resolverse con un parche. A los consumidores en general les cuesta mucho entender cómo instalar estos dispositivos conectados a la red. Cada uno de estos dispositivos tiene un uso específico y por ello requiere diferentes configuraciones de red. Solemos ser muy perezosos y no nos molestamos en seguir apropiadamente las instrucciones de instalación de estos dispositivos, y simplemente los conectamos a la red, pensando que con esto la instalación ya está hecha.

Lo que pasa es que estás compartiendo la misma configuración de red con todos los dispositivos. Esto resulta, por ejemplo, en tener tu TV, tu reproductor Blu-Ray y tus dispositivos de almacenamiento en la misma red que el ordenador que usas para tus transacciones bancarias online, para llevar tus finanzas personales, para tus compras online, y quizás hasta para tu trabajo.

Los fabricantes también tienen que ser más responsables cuando sacan sus productos al mercado. El usuario corriente no sabe que la duración del soporte para estos dispositivos es de apenas seis meses, después de los cuales no habrá más actualizaciones ni soporte de parte del fabricante, porque tienen que enfocarse en dar apoyo a la próxima generación de sus productos.

Al hablar con amigos y familiares, me quedó claro que les cuesta darse cuenta de que están frente a una amenaza. Siguen creyendo que son “otros” los que se infectan con códigos maliciosos o sufren por el robo de sus identidades o de los datos de sus tarjetas de crédito. Por favor, abramos los ojos al mundo real… Esto está pasando ¡aquí y ahora! Estos son muy buenos ejemplos de este tipo de ataques:

• Uno de los principales proveedores de servicios de Internet en Suecia envió routers vulnerables a sus clientes, y los atacantes comprometieron estos dispositivos de forma remota, mediante una cuenta “divina” con una contraseña muy débil, y todos los dispositivos tenían la misma cuenta con la misma contraseña.
• Ciberpiratas robaron mucho dinero a los clientes de cinco reconocidos bancos polacos tras un ataque con el que cambiaron la configuración de cientos de routers domésticos y de pequeñas oficinas vulnerables para desviar a los usuarios hacia sitios web fraudulentos que imitaban a los sitios legítimos de sus bancos.
• El programa malicioso Psyb0t atacó las debilidades del software de routers domésticos y de pequeñas oficinas, y las también débiles contraseñas de la interfaz administrativa, capturando los dispositivos en una red zombi.
• El programa malicioso BlackEnergy2 implementó módulos adicionales, diseñados para ejecutarse en dispositivos del Internet-de-Cosas (IoT), lanzar ataques DDoS (Denegación Distribuida de Servicio), robar contraseñas y espiar el tráfico de red.El programa malicioso Flasher remplazó el firmware en dispositivos domésticos con una imagen modificada del sistema que espía la actividad en la red de la víctima.

Para los investigadores es muy sencillo identificar las debilidades en la seguridad y reclamarles a los fabricantes al respecto, pero ya es un desafío proponer una solución efectiva. Junto a Marta compilamos una lista breve de sencillos consejos y trucos que puedes aplicar si tienes dispositivos conectados a tu red. Son sólo consejos generales porque es difícil encontrar una sola solución que funcione para múltiples dispositivos, pues todos los productos son distintos y tienen diferentes funciones.

1. Cambia las contraseñas predeterminadas en tu dispositivo. ¡Los atacantes tratarán de explotar la contraseña original!
2. Si es posible, intenta actualizar el firmware a su última versión.
3. Si no utilizas la conectividad de red de tu dispositivo, ¡APÁGALA! Si la usas, o si es necesaria para el funcionamiento de tu dispositivo, asegúrate de que NO HAYA ACCESO REMOTO desde el mundo exterior para la administración de la interfaz del dispositivo.
4. Aplica una sólida segmentación de red para tus dispositivos conectados.
   • ¿Tu dispositivo necesita conectarse a Internet?
   • Tu dispositivo, por ejemplo tu TV, ¿necesita acceder a la misma red a la que se conectan tus datos personales?
5. Apaga las funciones innecesarias. Los modernos dispositivos IoT suelen tener una variedad de funciones, y ni sospechas que algunas de ellas existen. Es una buena práctica, después de comprar un dispositivo, averiguar sobre todas sus funciones y deshabilitar las que no necesites. Tener todas las funciones habilitadas sólo aumenta el riesgo de un potencial ataque.
6. Lee el fascinante manual de instrucciones. Cada dispositivo viene con su manual, que explica todas sus funciones y configuraciones. Además, podrás encontrar mucha información adicional en la web. Para mantener protegida tu casa, tienes que familiarizarte con cualquier dispositivo nuevo que vayas a incorporar en tu red y seguir todas las recomendaciones para hacer que tu dispositivo sea seguro y confiable.
7. Por favor, consulta con el equipo de soporte del fabricante si tienes dudas. Al comprar un producto de consumo, también estás pagando por el soporte. ¡Úsalo! Te ayudarán con tu dispositivo.