Objetos conectados y red aislada

Un atacante que ha logrado entrar en una red busca primero qué hay en ella. La base MITRE ATT&CK describe esta etapa: el adversario intenta obtener la lista de servicios que se ejecutan en equipos remotos y en los dispositivos de la red local, incluidos los que podrían ser vulnerables a una explotación remota⁵. Ahí es donde actúa la separación de redes. La CISA describe la segmentación como un medio para impedir que un intruso propague sus ataques o se desplace lateralmente por una red interna. En una red mal segmentada, puede extender su control hasta equipos críticos o datos sensibles³. Una red bien separada puede, por el contrario, contener el incidente y reducir su efecto³.

El NIST, por el lado de los fabricantes, mantiene un programa dedicado a la ciberseguridad de los objetos conectados. Publica en él recomendaciones para los fabricantes y para las empresas que despliegan estos objetos⁶. Por su parte, la ENISA publicó en noviembre de 2017 un estudio de recomendaciones de seguridad básicas para el Internet de las cosas⁷.

• Cambie la contraseña de origen. El NCSC pide cambiarla si el aparato trae una, y elegir una sólida, por ejemplo combinando tres palabras al azar¹.
• Active la verificación en dos pasos si el objeto o su aplicación la ofrecen¹.
• Desactive el acceso remoto si no necesita llegar al objeto desde fuera de su wifi¹.
• Instale las actualizaciones. Active la instalación automática si existe, e instale las manuales en cuanto se ofrezcan¹.
• Elimine lo que no se usa. La CISA recomienda desactivar los servicios innecesarios, porque los servicios y programas sin usar pueden crear fallos². También aconseja desactivar UPnP cuando no es necesario: según ella, un software malicioso presente en la red puede aprovecharlo para sortear el cortafuegos del router².
• Desactive la administración remota del router, que permite consultar y modificar sus ajustes desde Internet².
• Separe los elementos sensibles. La CISA recomienda repartirlos en segmentos de red distintos³.
• Vigile las conexiones desconocidas. La CISA sugiere detectar los dispositivos no autorizados que se unen a la red, con ayuda del sitio web del fabricante del router².
• Antes de revender o regalar un objeto, haga un restablecimiento de fábrica, que también debe borrar sus datos personales¹.

La primera trampa es el aparato que llega con una contraseña compartida en Internet. En el Reino Unido se aplica una ley desde el 29 de abril de 2024: todos los objetos conectados deben cumplir requisitos básicos, entre ellos indicar la fecha de fin de soporte, y los fabricantes deben asegurarse de que los aparatos no se entreguen con contraseñas por defecto, que pueden compartirse fácilmente en línea¹. Esta norma vale para el Reino Unido. En otros lugares, nada garantiza que el objeto comprado se haya diseñado así.

La segunda trampa es comprar un objeto sin soporte. El NCSC invita a ver la fecha de fin de soporte como una fecha de caducidad: pasado ese plazo, el aparato es más fácil de atacar o puede dejar de funcionar¹. La CISA señala por su parte que los proveedores de acceso no siempre sustituyen un equipo cuando su fabricante ya no le da soporte³.

La tercera trampa es creer que el objeto es seguro nada más salir de la caja. Las configuraciones de fábrica suelen ser demasiado permisivas, pensadas para facilitar la instalación y no para la seguridad².

La última trampa es el olvido. Una vez instalados, muchos equipos no se mantienen con el mismo nivel de seguridad que los ordenadores, y sus propietarios también los pasan por alto cuando buscan intrusos tras un ataque³.