Dispositivos inteligentes, seguridad torpe: cómo proteger su IoT

El problema de seguridad del IoT

El Internet de las Cosas (IoT) se refiere a la creciente categoría de dispositivos conectados a internet más allá de los ordenadores y teléfonos tradicionales: televisores inteligentes, cámaras de seguridad, timbres con vídeo, robots aspiradores, termostatos, altavoces inteligentes, monitores para bebés, frigoríficos y docenas de otros electrodomésticos "inteligentes".

Estos dispositivos tienen un problema de seguridad importante. La mayoría están fabricados por empresas cuya prioridad es sacar los productos al mercado rápidamente y mantener bajos los costes, no la seguridad. Se venden con contraseñas predeterminadas débiles, rara vez reciben actualizaciones de software y a menudo ejecutan software obsoleto con vulnerabilidades conocidas. Una vez instalados en los hogares, suelen quedar completamente olvidados.

El resultado: millones de dispositivos protegidos de forma inadecuada conectados a redes domésticas en todo el mundo, que forman en conjunto una de las mayores superficies de ataque que existen.

Por qué se atacan los dispositivos IoT

Los atacantes atacan los dispositivos IoT por varias razones:

• Acceso persistente: un televisor inteligente comprometido da al atacante un punto de apoyo en su red que puede persistir durante años sin ser detectado
• Reclutamiento para botnets: la botnet Mirai de 2016 infectó más de 600 000 dispositivos IoT y los usó para lanzar el mayor ataque DDoS registrado hasta entonces, dejando fuera de servicio a grandes servicios de internet
• Movimiento lateral: desde un dispositivo IoT comprometido, los atacantes pueden saltar a ordenadores y teléfonos de la misma red
• Vigilancia: las cámaras y micrófonos comprometidos proporcionan ojos y oídos dentro de su hogar
• Recolección de datos: los televisores inteligentes y los asistentes de voz pueden explotarse para captar conversaciones sensibles

Cambie las credenciales predeterminadas en cada dispositivo

Este es el paso de seguridad IoT más importante de todos. La mayoría de los dispositivos se venden con nombres de usuario y contraseñas predeterminados como admin / admin, admin / password o user / 1234. Estos aparecen publicados en la documentación del fabricante y son las primeras credenciales que prueban los atacantes.

Para cada dispositivo IoT que posea:

1. Acceda a la interfaz de administración del dispositivo (normalmente a través de una aplicación móvil o una interfaz web)
2. Cambie la contraseña predeterminada por una contraseña larga y única guardada en su gestor de contraseñas
3. Cambie el nombre de usuario predeterminado si la interfaz lo permite
4. Desactive las cuentas de administrador predeterminadas que no vaya a usar

Solo este paso elimina la mayoría de los ataques IoT automatizados, que no hacen más que probar credenciales predeterminadas.

Aísle los dispositivos IoT en una red separada

La protección arquitectónica más eficaz es la segmentación de red: mantener sus dispositivos IoT en una red wifi separada que no pueda comunicarse directamente con sus ordenadores, teléfonos y tabletas.

La función de red de invitados de su router proporciona esto. Actívela, conecte todos los dispositivos IoT a ella y habilite la opción de aislar los dispositivos de esta red entre sí y de su red principal.

El beneficio: si su televisor inteligente se ve comprometido, el atacante queda en un segmento aislado y no puede acceder directamente a su portátil, teléfono o unidad NAS. Está contenido.

Qué colocar en la red IoT:

• Televisores inteligentes
• Asistentes de voz (Amazon Echo, Google Home)
• Cámaras de seguridad y timbres con vídeo
• Termostatos inteligentes
• Robots aspiradores
• Bombillas y enchufes inteligentes
• Consolas de videojuegos

Mantenga en su red principal:

• Ordenadores
• Teléfonos y tabletas
• Almacenamiento conectado a la red (NAS)

Mantenga el firmware actualizado

Los fabricantes de IoT publican periódicamente actualizaciones de firmware para corregir vulnerabilidades conocidas. A diferencia de los ordenadores, la mayoría de los dispositivos IoT no se actualizan automáticamente, y muchos propietarios nunca lo comprueban.

• Abra la aplicación del dispositivo y busque la opción de actualización de firmware
• Algunos dispositivos admiten actualizaciones automáticas: active esta función siempre que esté disponible
• Consulte el sitio web del fabricante en busca de anuncios de actualizaciones
• Programe un recordatorio en el calendario cada 3 meses para comprobar las actualizaciones de firmware del IoT

Si un dispositivo tiene más de 3-4 años y el fabricante ya no publica actualizaciones, plantéese sustituirlo. Mantener dispositivos permanentemente sin parchear es un riesgo continuo.

Desactive las funciones que no use

Muchos dispositivos IoT incluyen capacidades que quizá nunca use, y cada una es una superficie de ataque adicional:

• Acceso remoto / acceso en la nube: si no necesita controlar su termostato desde el otro extremo del mundo, desactive el acceso remoto en la nube y use solo el control local
• UPnP: permite que los dispositivos abran puertos en su router automáticamente. Desactive UPnP en su router para evitar que los dispositivos IoT hagan agujeros en su cortafuegos sin su conocimiento
• Acceso universal: algunas cámaras y dispositivos NAS pueden configurarse para ser accesibles desde internet; active esto solo si es necesario y use autenticación robusta
• Servicios sin usar: SSH, Telnet o interfaces web que no necesite: desactívelos

Sea selectivo con lo que compra

Consideraciones de seguridad antes de comprar un nuevo dispositivo IoT:

• ¿Tiene el fabricante un historial de publicación de actualizaciones de seguridad?
• ¿Funciona el dispositivo sin necesidad de una cuenta en la nube? (La operación solo local es más privada y segura)
• ¿Ha recibido el dispositivo revisiones de seguridad independientes?
• ¿Qué datos recopila y comparte la aplicación del dispositivo?
• ¿Es probable que el fabricante dé soporte a este dispositivo durante los próximos 5 años?

Las marcas con mejores historiales de seguridad incluyen Ubiquiti, Eufy (con almacenamiento local) y dispositivos que admiten protocolos locales como Matter. Evite las marcas desconocidas que venden dispositivos de hogar inteligente inusualmente baratos: suelen estar mal protegidos y pueden contener malware preinstalado.

Supervise su red en busca de dispositivos desconocidos

Compruebe periódicamente qué está conectado a su red:

• El panel de administración de su router lista todos los dispositivos conectados
• Aplicaciones como Fing (iOS/Android) escanean su red e identifican los dispositivos
• Busque nombres de dispositivo o direcciones MAC desconocidos
• Los dispositivos nuevos que no reconozca podrían ser vecinos conectándose a su red o un dispositivo comprometido que ha registrado una nueva identidad de red

Documente sus dispositivos IoT: haga una lista sencilla de lo que posee, en qué red está y cuándo comprobó por última vez las actualizaciones de firmware.

Considere un router IoT dedicado o una VLAN

Para usuarios que deseen un control más estricto, una opción más avanzada es usar un router que admita VLAN (redes de área local virtuales) para crear segmentos de red totalmente aislados. Marcas como Ubiquiti UniFi, TP-Link Omada o pfSense ofrecen esta capacidad.

Esto va más allá del enfoque de la red de invitados y le da un control detallado sobre qué dispositivos IoT pueden acceder a internet, cuáles solo pueden alcanzar su red local y qué tráfico se bloquea por completo.

La seguridad del IoT no es complicada, pero requiere intencionalidad. Los ajustes predeterminados son sistemáticamente inseguros: cada dispositivo de su hogar merece cinco minutos de configuración de seguridad al instalarlo.