La adopción de IoT se estanca: por qué la exageración no cumple las expectativas

Si el ciclo de exageración de Gartner es un indicador fiable, el Internet de las Cosas (IoT) está entrando ahora en el "valle de la desilusión". Estudios recientes muestran que aproximadamente el 60% de las implementaciones piloto no cumplen sus promesas. Aunque proyectos aislados pueden tropezar, el mercado en general no se ha saturado aún de dispositivos que indiquen un pico; en cambio, el ritmo de nueva adopción se está desacelerando.

Factores que frenan el crecimiento de IoT

Varios factores socavan el crecimiento de IoT. Uno de los principales es la tendencia a añadir conectividad a dispositivos que simplemente no la necesitan. Tomemos el ejemplo del "acuario IoT" que monitorizaba la alimentación, la temperatura y la calidad del agua. Ken Munro, socio de Pen Test Partners, señala que un casino que instaló el acuario perdió 10 GB de datos a través de un dispositivo ubicado en Finlandia. Esto ilustra cómo los endpoints de IoT mal protegidos pueden convertirse en puertas traseras a las redes corporativas, permitiendo el robo de credenciales y la exfiltración de datos.

Preocupaciones sobre longevidad

La longevidad es otra preocupación. Muchas organizaciones sustituyen dispositivos en lugar de actualizar el firmware, lo que pone en duda el retorno de inversión a largo plazo. Incluso cuando un dispositivo permanece en servicio, surge la pregunta: ¿proporcionará el fabricante soporte continuo y parches de seguridad? Las vulnerabilidades que surgen con el tiempo pueden dejar los dispositivos expuestos si los fabricantes carecen de recursos o voluntad para emitir actualizaciones, o peor aún, retiran el soporte por completo.

Vulnerabilidades expuestas

Los fabricantes luchan por proteger su base instalada existente. La base de datos pública de Shodan enumera miles de unidades IoT desplegadas —incluidos sistemas de control industrial— junto con detalles como direcciones IP, sistemas operativos y versiones de software. Combinado con la publicación de esquemas de dispositivos futuros por parte de la FCC, los atacantes pueden identificar modelos vulnerables y explotar credenciales por defecto. En un incidente, un técnico publicó públicamente una lista de "supercontraseñas" que daba credenciales de acceso diario para todo un año, subrayando la laxitud en la seguridad de la cadena de suministro y la facilidad con que los datos confidenciales pueden verse comprometidos.

Ante estos riesgos, algunos proveedores recurren a la monetización de datos. Vender datos de uso a terceros puede generar ingresos, pero erosiona aún más la privacidad del usuario. Por ejemplo, los datos de planos de una aspiradora inteligente podrían venderse en la dark web, o los datos de un Sistema de Gestión de Edificios (BMS) podrían permitir ataques de ransomware contra termostatos inteligentes.

El camino a seguir

Algunos podrían argumentar que los usuarios finales deberían asumir más responsabilidad, pero muchos no reconfiguran los dispositivos tras la instalación. Incluso cuando se hacen cambios, los PIN o contraseñas por defecto suelen seguir siendo débiles —cuatro o seis dígitos pueden descifrarse en horas. La causa raíz de la actual falta de confianza es simplemente un diseño de seguridad deficiente, y los fabricantes deben actuar.

Las mejores prácticas de seguridad incluyen: desarrollo seguro de aplicaciones móviles, gestión robusta de sesiones, cifrado de extremo a extremo para servicios web, implementación rigurosa de estándares inalámbricos, desactivación de interfaces no utilizadas (puertos serie/depuración), ofuscación y almacenamiento seguro de claves en el dispositivo, y garantía de que el firmware está cifrado y firmado digitalmente. Hasta que los proveedores prioricen estas medidas, la adopción de IoT seguirá tambaleándose. Un incidente de malware de alto perfil —especialmente uno que ataque una interfaz ubicua como el puerto 80— podría dañar permanentemente la confianza del mercado. Construir confianza mediante estándares a nivel de industria o supervisión regulatoria es ahora esencial.

Autor: Ken Munro, socio en Pen Test Partners