Lecciones de seguridad IoT de brechas recientes: Proteja su empresa

En un giro inesperado, un casino no identificado de Las Vegas fue víctima de un ciberataque que se originó en su acuario habilitado para IoT. Un termómetro de control remoto, usado para monitorizar alimentación y temperatura del agua, se convirtió en la puerta de entrada para que hackers extrajeran datos sensibles de clientes.

El Internet de las Cosas está remodelando las operaciones empresariales conectando dispositivos a lo largo de la cadena de suministro, aumentando la eficiencia, reduciendo costes y desbloqueando nuevas posibilidades de producto. Según Avinash Prasad, jefe de Servicios de Seguridad Gestionados en Tata Communications, el potencial transformador de IoT solo puede realizarse plenamente cuando la seguridad se integra en el modelo de negocio desde el día uno.

Aunque el volumen de datos generados por dispositivos IoT ofrece insights sin precedentes, también crea puntos de entrada atractivos para cibercriminales. Gartner informa que casi el 20% de las organizaciones han experimentado al menos un ataque basado en IoT en los últimos tres años. Con unos 75 mil millones de dispositivos conectados en todo el mundo para 2025, la exposición a vulnerabilidades cibernéticas se proyecta que aumente cinco veces.

Al abrazar una era dominada por IoT, es esencial examinar las amenazas que acompañan el despliegue masivo de dispositivos y tejer medidas de seguridad robustas en la estrategia empresarial. A continuación, tres vulnerabilidades clave de IoT que toda empresa debe abordar.

1. Incluso los dispositivos conectados más simples pueden ser vulnerables

El incidente del acuario de Las Vegas ilustra que ningún dispositivo es inmune. El firmware del termostato permitió a los atacantes exfiltrar 10 GB de datos personales, transmitidos luego a un servidor remoto en Finlandia. Con el 80% de los datos globales almacenados en servidores privados, proteger incluso los dispositivos IoT más básicos es crítico para mantener la integridad general de la red.

2. La seguridad física y la eliminación de dispositivos plantean desafíos únicos

En 2018, el grupo de investigación de seguridad Limited Results diseccionó una bombilla inteligente LIFX Mini White y descubrió que el dispositivo almacenaba la contraseña Wi-Fi del propietario, clave privada RSA y contraseñas de root en texto plano. Aunque LIFX lanzó una corrección de firmware, el incidente subraya la importancia de salvaguardar dispositivos durante su operación y asegurar la eliminación segura de hardware obsoleto.

3. El malware industrial amenaza la seguridad física

El ataque del malware Triton a una refinería de petróleo saudí en 2018 marcó la primera vez que una ciberamenaza fue diseñada para sabotear sistemas de seguridad industrial. Al desactivar sensores de seguridad, los atacantes podrían haber desencadenado eventos catastróficos. Aunque este ataque en particular se detuvo antes de su ejecución, sirve como recordatorio contundente de que, a medida que los sistemas de control industrial se vuelven más conectados, su seguridad debe priorizarse.

El dilema del cumplimiento

Recientes brechas de alto perfil en British Airways, Marriott Hotels y varias autoridades locales han destacado cómo una protección de datos inadecuada puede llevar a multas significativas bajo el Reglamento General de Protección de Datos (GDPR) de la UE. La brecha de Marriott por sí sola expuso 7 millones de registros de residentes del Reino Unido.

Los reguladores, incluyendo la Comisión Europea, están endureciendo el cumplimiento de la privacidad de datos. Las próximas regulaciones UK de IoT responsabilizarán a los fabricantes por vulnerabilidades inherentes en los dispositivos, mientras que las empresas también deben asumir la responsabilidad de asegurar sus propios ecosistemas de TI.

¿Cuál es la solución?

La ubicuidad creciente de IoT lo mantendrá como objetivo lucrativo para atacantes. Para salvaguardar contra amenazas en evolución, las empresas deben adoptar una estrategia de defensa en capas que incorpore analíticas avanzadas, machine learning e inteligencia artificial para detectar comportamiento anómalo en todos los dispositivos conectados.

La tecnología blockchain puede descentralizar el control, permitiendo que los dispositivos dentro de una red validen las acciones de los demás y alerten a administradores sobre solicitudes sospechosas. Asociarse con un proveedor de servicios de seguridad gestionados que ofrezca inteligencia de amenazas en tiempo real, respuesta automatizada y soporte de cumplimiento puede entregar un panel de seguridad integral, dando a los ejecutivos visibilidad total sobre el panorama IoT.

Al adoptar un enfoque holístico basado en la nube —integrando controles pervasivos, visibilidad extendida y tecnologías emergentes— las organizaciones pueden asegurar entornos IoT de extremo a extremo mientras permanecen cumplen con estándares de protección de datos en evolución.

En conclusión, IoT no necesita ser temido. Con las salvaguardas adecuadas, puede cumplir sus promesas y elevar las operaciones empresariales.

El autor es Avinash Prasad, jefe de Servicios de Seguridad Gestionados en Tata Communications.