Que sería si un ciberdelincuente pirateando una cámara web con acceso a Internet instalada en una organización espiara una reunión, un proceso de fabricación o una sesión de capacitación interna. Luego imagine lo que esa persona haría con la información que obtuvo.
De acuerdo a un nuevo informe sobre dispositivos IoT inseguros, BitSight descubrió que una de cada 12 organizaciones con cámaras web conectadas a Internet o dispositivos similares no se protegieron adecuadamente, dejando vulnerables a video y audio. El 3% de las organizaciones rastreadas por BitSight tenían al menos un dispositivo de video o audio con acceso a Internet. El 9% tenía al menos un dispositivo con transmisiones de video o audio expuestas, lo que permitía que alguien podía ver directamente esas transmisiones o escuchar conversaciones a escondidas.
La mayoría de los dispositivos analizados por BitSight utilizan el protocolo de transmisión en tiempo real para comunicarse a través de Internet, aunque algunos utilizan los protocolos HTTP y HTTPS. Con RTSP, los usuarios pueden enviar contenido de video y audio y ejecutar comandos para grabar, reproducir y pausar la transmisión. Muchos de los dispositivos examinados para el informe eran cámaras web, el análisis también incluyó grabadoras de video en red, timbres inteligentes y aspiradoras inteligentes. Algunos dispositivos en realidad se configuraron con fines de seguridad.
Los dispositivos con acceso a Internet analizados no estaban protegidos por un firewall o VPN, lo que los dejaba expuestos a huellas dactilares y amenazas. Ciertos dispositivos expuestos se configuraron incorrectamente, y algunos carecían de cualquier tipo de contraseña establecida por el usuario. Otros dispositivos se vieron afectados por una falla de seguridad, y muchos se vieron afectados por una vulnerabilidad de control de acceso específica llamada vulnerabilidad de referencias de objetos directos inseguros.
La transmisión de video o audio debe estar protegida por medidas de control de acceso; sin embargo, muchos de ellos no estaban protegidos de esta manera, lo que permitía a los atacantes ver transmisiones de video y espiar conversaciones. Un hacker inteligente podría incluso alterar las fuentes expuestas para difundir información falsa, explicó BitSight.
Las cámaras web vulnerables y otros dispositivos IoT abren la puerta a varios tipos de amenazas. Un atacante podría ver reuniones privadas y otras conversaciones, lo que les permitiría recopilar datos personales o información comprometedora a través de una transmisión de video o audio. Las ubicaciones reales de los empleados y otras personas podrían quedar expuestas. Un pirata informático también podría acceder a actividades y conversaciones relacionadas con el negocio, lo que le permitiría obtener información confidencial no solo de la empresa sino de terceros.
Para reducir el riesgo de las cámaras web con conexión a Internet y otros dispositivos IoT, BitSight brinda los siguientes consejos:
Identifique cualquier dispositivo de video o audio implementado en su organización y sus socios comerciales. Luego analice la seguridad de estos dispositivos.
Coloque cualquier dispositivo vulnerable detrás de un firewall o VPN.
Configure medidas de control de acceso para proteger cualquier dispositivo que carezca de la autenticación adecuada.
Para dispositivos que sufren vulnerabilidad de software, el desarrollador debe intervenir para proporcionar un parche o proteger el dispositivo de otra manera. Si el proveedor no puede o no quiere hacer esto, su única opción puede ser cambiar a un dispositivo o marca diferente.
