Por qué el 98 % del tráfico IoT sigue sin cifrar: una llamada a la acción inmediata

Según el Informe de Amenazas Unit 42 de 2020 de Palo Alto Networks, un asombroso 98 % del tráfico IoT viaja sin cifrado. Mike Nelson, VP de Seguridad IoT en DigiCert, confesó estar atónito ante la cifra.

Un informe de Z‑Scaler del año anterior ya advertía la tendencia: el 91 % del tráfico IoT carecía de cifrado.

El tráfico sin cifrar permite a los atacantes realizar ataques Man‑in‑The‑Middle (MiTM), interceptando o alterando datos entre dispositivos y redes.

Los fabricantes suelen lanzar dispositivos al mercado con prisas, descuidando la seguridad básica en el diseño. Las empresas despliegan luego estos dispositivos vulnerables en redes que, por lo demás, son seguras. Los atacantes pueden descubrir endpoints expuestos mediante herramientas como Shodan, ganando un punto de apoyo.

El IoT se expande rápidamente. McKinsey proyecta 43.000 millones de dispositivos conectados para 2023. Si persiste la tendencia actual del 98 % sin cifrar, los ciberdelincuentes tendrán un inmenso banquete de datos para explotar.

A menudo se imagina hacks caprichosos —muñecas o timbres—, pero el peligro real reside en despliegues empresariales a gran escala. Un solo dispositivo expuesto puede convertirse en una puerta de entrada a redes sensibles.

En 2017, un casino de Las Vegas sufrió una brecha a través de un acuario. Un sensor IoT vinculado al tanque enviaba datos a un servidor remoto en Finlandia. Las investigaciones revelaron que los hackers usaron el acuario para exfiltrar 10 GB de la base de datos de grandes apostadores del casino.

El incidente puso de relieve tres problemas críticos: (1) los datos almacenados por el casino no estaban cifrados, permitiendo a los atacantes capturarlos fácilmente; (2) controles de acceso inadecuados permitieron moverse del dispositivo IoT a datos altamente sensibles; (3) el sensor del acuario estaba integrado en la red corporativa del casino, proporcionando una ruta directa a información crítica.

Este tipo de brechas pueden ir desde pérdidas financieras y exposición de datos de clientes hasta ataques a infraestructuras críticas, pudiendo causar apagones, cortes de internet y paradas de sistemas de salud nacionales.

Lograr el 100 % de cifrado

Todos los datos confidenciales —ya sea en reposo o en tránsito— deben estar cifrados. Incluso un único flujo de datos sin cifrar es una vulnerabilidad que los atacantes pueden explotar.

Cifrar datos móviles en constante movimiento a través de hubs, gateways y la nube es complejo, pero esencial para proteger redes IoT empresariales que dependen de numerosos endpoints intercambiando datos.

La Infraestructura de Clave Pública (PKI) con certificados digitales ofrece una solución escalable, permitiendo autenticación mutua y cifrado de extremo a extremo en despliegues IoT masivos. Las empresas líderes están adoptando PKI para asegurar sus redes.

Aunque hay avances, la industria debe acelerar. Los fabricantes deben integrar cifrado, autenticación e integridad en sus productos desde el diseño. Los parches incrementales son insuficientes.

El cifrado a escala empresarial es el futuro de la seguridad IoT. A medida que los fabricantes líderes implementan PKI, el resto de la industria debe seguirles —y hacerlo pronto.

El autor es Mike Nelson, VP de Seguridad IoT en DigiCert.

Sobre el autor

Mike Nelson es VP de Seguridad IoT en DigiCert, proveedor de seguridad digital. En este rol, supervisa el desarrollo estratégico de mercado para industrias de infraestructura crítica que aseguran redes altamente sensibles y dispositivos IoT, incluyendo salud, transporte, operaciones industriales e implementaciones de redes inteligentes y ciudades inteligentes.

Mike asesora frecuentemente a organizaciones, contribuye a informes de medios, participa en organismos de estándares industriales y habla en conferencias sobre cómo la tecnología puede mejorar la ciberseguridad de sistemas críticos y las personas que dependen de ellos.

Ha desarrollado su carrera en TI sanitaria, incluyendo tiempo en el Departamento de Salud y Servicios Humanos de EE. UU., GE Healthcare y Leavitt Partners —una firma boutique de consultoría sanitaria. Su pasión por la industria surge de su experiencia personal como diabético tipo 1 y su uso de tecnología conectada en su tratamiento.