Não jogue lâmpadas inteligentes no lixo ou o perigo da IoT

De acordo com analistas da GlobalData, o mercado de soluções de IoT no ano passado foi de cerca de US $ 130 bilhões . Em 2023, esse número quase triplicará, para US $ 318 bilhões, e o crescimento anual (GAGR) agora é de cerca de 20%. O volume de dispositivos conectados até 2020 será de 20 a 50 bilhões de peças .

Infelizmente, os gadgets inteligentes estão mal protegidos contra hackers. Muitos deles contêm credenciais incorporadas, vulnerabilidades que são facilmente detectadas e exploradas pelos cibercriminosos. Exemplo: a rápida disseminação da Mirai. E agora os ataques ainda estão em andamento, graças à nova encarnação do malware.

Estima-se que os danos causados ​​à economia global por botnets totalizem US $ 110 bilhões no ano passado .

Um pouco sobre botnets

Além do Mirai, BetaBot, TrickBot, Panda, Ramnit agora são relevantes. Eles estão gradualmente infectando cada vez mais dispositivos inteligentes e são um perigo para as empresas e para o estado.

As perdas comerciais causadas por malware podem ser muito grandes. Um botnet é capaz de bloquear completamente o trabalho dos serviços de qualquer empresa, o que levará a um tempo de inatividade forçado. Nesse caso, as perdas são em média de US $ 100.000 . A empresa terá que gastar ainda mais na eliminação das consequências dos hackers.

Além disso, o malware pode atacar a rede de empresas para roubar dados corporativos: nomes de usuário e senhas de funcionários, informações financeiras, desenvolvimentos tecnológicos. Uma botnet pode agir de diferentes maneiras, incluindo a interceptação de teclas.

Infelizmente, não apenas o malware é perigoso, mas também os próprios dispositivos inteligentes.

Gadgets inteligentes - por que eles são perigosos?

Os dispositivos inteligentes representam um perigo para uma empresa ou pessoa privada, mesmo quando eles já são jogados fora e estão em um recipiente de lixo. Alguns deles armazenam informações sobre o acesso a redes sem fio locais e outros dados. E se hackers anteriores procuravam registros e unidades que funcionários de várias empresas jogavam fora, agora a busca por sistemas IoT pode começar.

Lâmpadas inteligentes

Os especialistas em resultados limitados estudaram vários modelos populares de lâmpadas inteligentes. A equipe de pesquisa adquiriu uma nova lâmpada LIFX e a conectou a uma rede sem fio. Então a luz foi apagada e desmontada .



Depois de carregar os dados armazenados na lâmpada, descobriu-se que o despejo tinha acessos da rede WiFi à qual o dispositivo foi conectado após a compra. Os dados foram armazenados em texto não criptografado. Até o certificado raiz e a chave RSA privada estavam disponíveis.

E não apenas o LIFX teve problemas, os dados foram baixados de outras lâmpadas inteligentes. Provavelmente, se os pesquisadores analisassem câmeras inteligentes, fechaduras, olhos etc., a situação seria a mesma.

Termostatos



No ano passado, a invasão de um cassino seguro (do ponto de vista da segurança cibernética) era amplamente conhecida. Os invasores não conseguiram quebrar a “testa” do sistema, então começaram a procurar brechas . Um deles acabou sendo um termostato inteligente, usado para termorregular um grande aquário instalado em um cassino, que foi invadido por uma rede sem fio. Depois disso, os crackers roubaram um banco de dados de jogadores que fazem grandes apostas, representando um enorme interesse por outros cassinos.

Câmeras inteligentes

Robert Hannigan, chefe da agência de inteligência britânica GCHQ em 2014-2017, testemunhou o hackeamento de uma grande rede de bancos. Os invasores conseguiram entrar na rede corporativa através de câmeras inteligentes, que eram facilmente acessadas .

As câmeras inteligentes também podem incluir babás. Alguns anos atrás , um caso ficou conhecido quando um invasor começou a procurar dispositivos conectados apenas para assustar crianças (por exemplo, diga algo com uma voz assustadora através de um alto-falante externo).

Robôs de limpeza a vácuo

Modelos de aspiradores de pó robóticos equipados com câmeras podem servir como ferramentas confiáveis ​​de cracker. Esse dispositivo permite que você não apenas acesse a rede sem fio da sua casa ou escritório, mas também bisbilhote e ouça o que está acontecendo.


No ano passado, tornou-se conhecido as vulnerabilidades de vários aspiradores de pó robóticos, incluindo Diqee 360 , Xiaomi Mi Robot e outros modelos.

E outra coisa

Os hackers afetam um grande número de outros dispositivos, o nome é Legião. Na maioria das vezes, roteadores hackeados, câmeras de vigilância, componentes de sistemas como "casa inteligente".

Em janeiro de 2018, especialistas em segurança da informação da Universidade Ben-Gurion conversaram sobre a verificação de quase duas dúzias de dispositivos inteligentes aleatórios - gadgets populares comprados do fabricante. Como se viu, a grande maioria invadiu em cerca de meia hora . A maneira mais fácil de acessar o dispositivo é pegar uma senha padrão.

Qual é o problema?

Na maioria das vezes, os fabricantes de dispositivos inteligentes simplesmente não fornecem mecanismos para combater os invasores. O motivo é simples - a maioria das empresas se esforça pelo custo mínimo do dispositivo.

Se a empresa não lançar constantemente novos itens, irá à falência. Para implementar o mecanismo de segurança da informação, são necessários dinheiro e tempo - recursos que nem todos os desenvolvedores possuem.

Para reduzir o ciclo de produção, as empresas montam seus dispositivos a partir de componentes prontos produzidos por diferentes fabricantes: processador, câmera, módulo de comunicação sem fio, chip de áudio etc. Mas qualquer elemento pode conter uma vulnerabilidade que ninguém conhece. Idealmente, um dispositivo integrado deve ser verificado por várias semanas, explorando possíveis buracos. Mas, na prática, nada disso acontece.

Desde a ideia do dispositivo até sua implementação, às vezes apenas alguns meses se passam, uma verificação abrangente nessa situação não pode ser realizada. Claro, existem exceções, mas existem poucas.

Cerca de 90% dos dispositivos inteligentes estudados por especialistas estavam mal protegidos . As vulnerabilidades de muitas delas não podem ser eliminadas, pois o fabricante do próprio dispositivo ou de um dos componentes não libera atualizações. E, se for lançado, longe de todos os usuários conhecerem o novo produto, sem mencionar um nível suficiente de conhecimento técnico para baixar e atualizar o novo firmware.

Como resolver o problema?

_{Uma maneira confiável de se proteger contra ameaças de IoT.}

Existem duas possibilidades - para fabricantes e usuários. Quanto aos fabricantes, os dispositivos de IoT precisam de padrões comuns para unificar o setor. Em vez de um "zoológico" de soluções diferentes, haverá dispositivos padronizados de vários tipos, incluindo aparelhos domésticos e corporativos. Infelizmente, a situação agora é tão complicada que não é possível unificar tudo isso em um futuro próximo. Tentativas únicas são feitas nos EUA e em outros países.

Os usuários podem apenas recomendar a aquisição de dispositivos que foram testados pelo tempo e por outras pessoas, não comprar gadgets usados ​​(você nunca sabe, o proprietário anterior deixou um "presente"), estudar o modelo de gadget na Internet antes de comprar, para garantir que ele não tenha uma senha universal. E as recomendações mais familiares são usar senhas únicas complexas, instalar atualizações, se disponíveis.

Em geral, a esfera da IoT não mudará até que legisladores, desenvolvedores e usuários mudem de atitude em relação a ela. Se a segurança da informação dos sistemas IoT for considerada uma das prioridades, mudanças positivas poderão ser observadas em algumas semanas.

Você tem uma política de segurança em relação aos gadgets de IoT (pessoais ou corporativos)?

Usando gadgets de IoT? Que precauções você tem?