Kaspersky Lab: varios componentes inteligentes de ciudades modernas son vulnerables a ciberataques

Las terminales de boletos en las salas de cine, las terminales de alquiler de bicicletas, los quioscos de servicios en organizaciones gubernamentales, las terminales de reservaciones e información en los aeropuertos, y las terminales de información y entretenimiento de pasajeros en los taxis pueden tener una apariencia diferente, pero en su interior casi todos son lo mismo. Cada uno de esos terminales es un dispositivo que funciona con Windows o con Android. La diferencia principal con los dispositivos ordinarios es el software especial en modalidad de quiosco que se ejecuta en los terminales de uso público y que sirve como interfaz de usuario. Este software permite al usuario un fácil acceso a las funciones específicas de la terminal, pero al mismo tiempo restringe el acceso a otras funciones del sistema operativo del dispositivo, entre ellas la de activar un navegador de la web y luego un teclado virtual. El acceso a estas funciones proporciona al atacante numerosas oportunidades de vulnerar el sistema, como si estuviera delante de una PC. La investigación reveló que casi cualquier quiosco público digital contiene uno o varios fallos de seguridad que le permiten a un atacante acceder a funciones ocultas del sistema operativo que puede utilizar para sus propios fines mercenarios (por ejemplo, para poner en marcha programas maliciosos, obtener información sobre los archivos impresos, obtener la contraseña del administrador del dispositivo, etc.).

"Algunas terminales públicas que hemos investigado procesaban información muy importante, como los datos personales del usuario, entre ellas números de tarjetas de crédito y contactos verificados (por ejemplo, números de teléfono móvil). Muchas de estas terminales están conectadas entre sí y con otras redes. Para un atacante pueden ser una superficie muy buena para realizar diferentes tipos de ataques, desde un simple vandalismo hasta una intrusión más avanzada en la red del propietario de la terminal. Por otra parte, creemos que en el futuro los quioscos digitales públicos estarán cada vez más integrados en otras infraestructuras de la ciudad inteligente, ya que son una forma conveniente de interactuar con variados servicios. Antes de que eso suceda, los proveedores necesitan estar seguros de que no será posible comprometer terminales aprovechándose de las debilidades que hemos descubierto", dijo Denis Makrushin, experto en seguridad de Kaspersky Lab.

Otra parte de la investigación se dedicó a las cámaras de control de velocidad utilizadas en las ciudades. Valiéndose del motor de búsqueda de Shodan, los investigadores identificaron varias direcciones IP pertenecientes a esos tipos de dispositivos y muy accesibles desde la web: no había contraseñas en uso y cualquiera podía ver las imágenes tomadas por las cámaras y más. Los investigadores descubrieron que algunas herramientas que se utilizan para manejar estas cámaras también están al alcance de cualquiera en la web.

"En algunas ciudades, los sistemas de cámaras para el control de velocidad siguen la pista de ciertas líneas en la carretera, una característica que podría fácilmente desactivarse. Así que si un atacante necesita apagar el sistema en un lugar determinado durante un período de tiempo, podría hacerlo. Teniendo en cuenta que estas cámaras pueden ser utilizadas, y a veces lo son, para fines de seguridad y de aplicación de la ley, es muy fácil imaginar cómo estas vulnerabilidades pueden ayudar en delitos como el robo de automóviles y otros. Por tanto, es muy importante tener este tipo de redes protegidas, al menos, del acceso directo a la web", dijo Vladimir Dashchenko, experto en seguridad de Kaspersky Lab.