Gracias a la popularización del Internet de las Cosas, los hackers ahora usan máquinas expendedoras para atacar redes. A ese extremo hemos llegado.

Hoy en día cualquier cosa se puede conectar a Internet; es lo que se conoce, apropiadamente, como el “Internet de las Cosas”. Ya no solo son los ordenadores o nuestros smartphones los que están conectados; el frigorífico, el televisor, la lavadora, está todo conectado a la red.

Las máquinas expendedoras ahora son inteligentes, y peligrosas

Y por supuesto, también las máquinas expendedoras; las empresas se han dado cuenta de las posibilidades que tiene controlar el stock y realizar automáticamente los pedidos usando Internet. Fabricantes como Intel incluso ya ofrecen máquinas expendedoras inteligentes, que muestran mensajes personalizados y cambian el precio de los productos dependiendo de la demanda.

Sin embargo, en esta carrera por ofrecer la última tecnología a los que sólo queremos un refresco a cambio de unas monedas, las compañías se han olvidado de algo muy importante: la seguridad. No necesariamente la de los clientes, sino la de sus propios sistemas; y esta es una lacra que comparte todo el sector del Internet de las Cosas.

En el mercado hay millones de dispositivos con versiones viejas de su software, que nunca serán actualizados; son productos tan baratos, que normalmente al fabricante no le merece la pena desarrollar una actualización. Así que son abandonados en cuanto llegan a las tiendas; incluso si usan software libre y la comunidad les hace el trabajo sucio, no suelen enviar las actualizaciones a los dispositivos.

Para los hackers, estos aparatos son como un caramelo a la puerta de un colegio; deja un dispositivo conectado, y al poco rato alguien tomará el control. Y a partir de ahí es cuando empiezan los desastres.

De “una red lenta” a perder el control completo de tus dispositivos

El último informe de seguridad de Verizon, la operadora estadounidense, cuenta una historia similar. Habla de una universidad (que no han querido nombrar) que fue atacada por un ejército de 5.000 dispositivos del Internet de las Cosas.

Todo empezó como una queja típica en sitios públicos: la red iba lenta. De hecho, era una queja tan normal que inicialmente los responsables de la universidad no le hicieron mucho caso. Para cuando los administradores y responsables de IT recibieron la notificación, era demasiado tarde; la red de la universidad estaba dominado por un extraño.

Cuando por fin los administradores actuaron, inmediatamente sospecharon que pasaba algo raro; analizaron el tráfico, y se dieron cuenta de que de repente había un gran interés por dominios relacionados con el marisco. No es que los estudiantes estuviesen planeando una mariscada, evidentemente; pero algo o alguien estaba realizando tantas peticiones relacionadas con marisco al servidor de nombres (DNS) de la universidad, que este no podía responderlas todas.

Ese es un tipo de ataque muy común; si haces muchas peticiones falsas a un servidor, llegará un punto en el que este no pueda responder a las peticiones legítimas. De esta manera, los atacantes habían conseguido que nadie pudiese navegar por Internet normalmente usando la red de la universidad.

Cómo un hacker usó máquinas expendedoras para atacar redes

Los administradores decidieron pedir ayuda a la operadora; y esta descubrió que las peticiones llegaban de nada menos que 5.000 aparatos diferentes. No hay tantos ordenadores en el campus; en realidad las peticiones venían de bombillas inteligentes, máquinas expendedoras, y otros aparatos conectados a Internet.

Cada 15 minutos, estos aparatos realizaban cientos de peticiones DNS cada uno. Las peticiones estaban relacionadas sólo con 15 direcciones IP; al menos cuatro de ellas y cientos de dominios de “marisco” pertenecen a una botnet, una red de bots controlada a distancia por el atacante.

El atacante consiguió controlar tantos dispositivos a base de probar la contraseña una y otra vez, lo que se conoce como un ataque de fuerza bruta. Probando contraseñas débiles y las que normalmente están por defecto, el atacante consiguió controlar 5.000 dispositivos, a los que cambió la contraseña.

Afortunadamente, la universidad no tuvo que “cambiar todos los dispositivos”, como creían; en vez de eso, se centraron primero en analizar el tráfico interno, buscando la nueva contraseña que había usado el atacante. Una vez conseguida, retomaron el control de sus dispositivos cambiándoles las contraseñas; además, iniciaron nuevas prácticas para mitigar futuros ataques y responder mejor a la situación.

La idea de un mundo conectado es muy bonita; pero si no se toman las precauciones necesarias puede traducirse en un infierno en el que nuestras propias máquinas se vuelven contra nosotros.