Japón lanza auditoría nacional de seguridad IoT para abordar brechas de vulnerabilidad

A partir de mediados de febrero, el gobierno de Japón iniciará una auditoría de seguridad sistemática de más de 200 millones de dispositivos IoT ya en uso en todo el país.

Esta iniciativa, anunciada la semana pasada, busca poner de relieve un hecho que los expertos conocen desde hace tiempo pero que los consumidores pasan por alto en gran medida: una parte significativa de los productos IoT de consumo siguen siendo vulnerables a ciberataques.

La inseguridad del IoT proviene de varios factores: indiferencia del consumidor —la mayoría de usuarios nunca cambian las contraseñas por defecto tras comprar e instalar un dispositivo—; la falta inherente de supervisión en la comunicación dispositivo‑a‑dispositivo; y el despliegue infrecuente de actualizaciones de firmware automatizadas por parte de los proveedores de servicios.

Los especialistas en seguridad aplauden el plan como medida necesaria, sin embargo numerosos medios japoneses han criticado lo que ven como un exceso de alcance por parte del Estado.

Los críticos argumentan que la iniciativa vulnera la privacidad, cuestionando por qué los ciudadanos deberían permitir que un gobierno inspeccione sus dispositivos personales. Muchos desconfían de la capacidad del Estado para salvaguardar los datos que recopila, temiendo filtraciones accidentales o intencionadas. También existe la preocupación más amplia de que tal vigilancia pueda erosionar libertades civiles y empujar a Japón hacia un estado de vigilancia.

El Instituto Nacional de Tecnologías de la Información y Comunicaciones (NICT) reveló que empleará tácticas como sondeo de contraseñas por defecto y otros métodos para probar dispositivos IoT seleccionados al azar, con el objetivo de compilar un inventario exhaustivo de productos vulnerables.

NICT remitirá los hallazgos a los proveedores de servicios de Internet, que a su vez notificarán a los consumidores y recomendarán medidas de seguridad. Aunque el alcance exacto permanece indefinido, se espera que el programa se centre inicialmente en routers y webcams, y la agencia ha indicado que la iniciativa podría extenderse hasta cinco años.

Los defensores justifican la vigilancia expansiva citando los Juegos Olímpicos de Tokio como catalizador para una seguridad reforzada.

Los grandes eventos internacionales suelen provocar un aumento de alertas de ciberseguridad por parte de expertos y autoridades. El reciente recuerdo de la botnet Mirai —donde malware secuestró dispositivos de consumo como cámaras IP y routers domésticos para lanzar masivos ataques DDoS— refuerza la urgencia de medidas proactivas.

Tanner Johnson, analista de ciberseguridad en IHS Markit especializado en IoT y tecnologías emergentes, describe el programa de hacking de Japón como una salvaguarda proactiva directa.

«Un evento como los Juegos Olímpicos garantiza atraer millones de visitantes, elevando las preocupaciones de seguridad en general», señaló Johnson. «Los hackers tienden a atacar los eslabones más débiles de una red, explotando los dispositivos más vulnerables en lugar de los más seguros».

Algunos escépticos cuestionan si el programa es meramente un simulacro para los Juegos Olímpicos o si sirve a objetivos gubernamentales más amplios. Gaku Ogura, country manager en AnyConnect, preguntó por qué la iniciativa podría durar hasta cinco años si su motivo principal es la seguridad olímpica.

Ogura señaló que muchos consumidores japoneses no cambian las contraseñas por defecto en sus dispositivos conectados. También destacó que el programa puede ser una oportunidad para evaluar la integración de tecnologías de Huawei en la infraestructura de red de Japón.