Los riesgos del internet de las cosas: cuando los ciberdelincuentes pueden 'hackear' casi cualquier objeto

La constante evolución del mundo online, que ya hace años abandonó la reclusión del ordenador de sobremesa para colarse en teléfonos móviles, relojes y casi cualquier objeto imaginable, plantea nuevos retos relacionados con la ciberseguridad. El increíble potencial del internet de las cosas es también un filón sin precedentes para los ciberdelincuentes, que ahora cuentan con infinidad de dispositivos susceptibles de ser hackeados.

Ahora mismo, los hackers son capaces de intervenir y manipular desde teléfonos móviles y ordenadores hasta cámaras, máquinas de lotería, smart TV, juguetes con acceso a internet e incluso un coche conectado desde una distancia de 100 kilómetros.

Estos riesgos serán el tema central del encuentro Mundo Hacker Day 2016, un evento relacionado con el internet de las cosas y la ciberdefensa que tendrá lugar el 27 de abril en Kinépolis, Madrid. Antes, el próximo sábado 16 a las 12 de la mañana en La 2, se emitirá el primer episodio de Mundo Hacker, el primero de 12 programas divulgativos de 30 minutos que, semana tras semana, ahondarán en estos temas.

El objetivo tanto del encuentro como del programa es concienciar a usuarios, empresas y gobiernos de los riesgos de esta nueva era en la que la ciberdefensa ha cobrado nueva importancia. "Hace 13 años, esto era impensable. En el 2003, cuando querías hablar con alguien de seguridad, te dirigían a un tío con camiseta negra que estaba en el subsuelo tercero y hablaba de cosas que nadie entendía y que, por otro lado, a la dirección de la empresa no le importaba... y a los usuarios tampoco. La seguridad no le importaba a nadie. Poca gente tenía antivirus. Sin embargo, el mundo digital lo ha cambiado todo y, sobre todo, los móviles", cuenta Mario García, director general de CheckPoint España y Portugal, una de las empresas participantes en Mundo Hacker Day 2016.

García cuenta que el teléfono móvil se ha convertido en un elemento esencial de nuestra vida en el que se aúnan tanto lo profesional como lo personal y, aun así, se le presta menos atención que a otros dispositivos tales como el ordenador. "¿A ti se te ocurriría ir por Madrid con todo tu dinero en la cartera y con la declaración de la renta en el otro bolsillo?, ¿y el ordenador ese con el que haces la declaración es el que utilizas para conectarte a cualquier web guarra? Pues igual es que estás haciendo lo mismo. La gente no tiene ninguna cultura digital", plantea.

"De pequeño, tus padres te enseñan a qué barrios puedes ir, a qué hora tienes que volver a casa, con quién puedes hablar, a no coger caramelos de desconocidos... Los links en el Whatsapp son un caramelo, ¿quién te lo está dando?, ¿a dónde te lleva?, ¿por qué clicas? Si a un niño le enseñas que al salir de casa tiene que cerrar la puerta, ¿por qué no hacer lo mismo con el mundo digital? ¿Qué magia es la que os protege en el móvil para que no tengáis la mayoría de vosotros ningún sistema de seguridad montada en él y sin embargo en el ordenador a lo mejor sí tengáis un antivirus o un firework?", pregunta el experto.

Pablo Teijeira, director general de Sophos Iberia, también abunda en esta idea. Tejeira comenta que muchos de los dispositivos conectados ni siquiera traen por defecto la opción de usuario y contraseña. "Eso es como tirar un billete de 500 euros al suelo, ¿cómo no lo van a cogerlo los ciberdelincuentes? Otros a lo mejor sí traen contraseñas, pero es admin1234 y además no se puede cambiar. Vale, no has tirado un billete de 500, has tirado cuatro de 100", bromea.

"Sólo pedimos que la gente se fije al menos si tiene usuario y contraseña. Creo que no estamos pidiendo grandes avances en seguridad ni ninguna locura. Hace más de veinte años que en el mercado de la seguridad tenemos claro que hay que cumplir unos estándares mínimos, y muchos fabricantes del internet de las cosas están cometiendo errores que no se cometían desde los 90", asegura Teijeira.

Por este motivo, uno y otro experto piden concienciación, no sólo a los ciudadanos sino también a las empresas. "¿Y por qué las empresas? Porque si tus empleados están utilizando el internet de las cosas, indirectamente está presente en tu empresa, y para atacar una empresa lo más sencillo es atacar al eslabón más débil, que es tu empleado. A través de él van a poder entrar en tu empresa, con lo cual tanto unos como otros tienen que ser conscientes de los riesgos y de las soluciones que hay", explica.

Como ejemplo de los peligros para la empresa, Mario García relató la demostración que le hicieron a una compañía eléctrica española, a la que enseñaron cómo se hackeaba una presa para conseguir que, con valores normales no detectables, la barrera bajara tres metros de agua en vez de cinco, con el gran impacto económico que eso puede tener (de millones de euros al día). Además, al hacerse sin violar ningún sistema, la manipulación es muy difícil de detectar.

"Más sencillo. Puedo hackear tu móvil, ver tu agenda, descubrir que vas a tener una reunión importante a las 12, activar el micrófono a esa hora y escucharlo todo. Os prometo que es muy fácil de hacer, hackearle a alguien el móvil y escuchar las conversaciones es primero de hacking. No hace falta ser un gran hacker para hacer eso. En intenet te dan herramientas e incluso soporte de forma abierta para usarlas", explica García.

"Esto mueve más dinero que las drogas. Que la gente vaya tomando conciencia de lo que hay y tome medidas. Las redes sociales están muy bien y hay que utilizarlas, pero con cabeza. La información hay que saber dónde está y cómo la proteges, igual que lo haces en tu vida personal. En el mundo digital, lo más importante es tener un poquito de sentido común", sentencia.

Mónica Valle, presentadora del programa Mundo Hacker, pone otro ejemplo de la magnitud que está alcanzando el internet de las cosas: las centrales eléctricas hackeadas en Ucrania. "En el programa tratamos temas tan importantes como son las infraestructuras críticas, que son los sistemas que manejan servicios fundamentales para la ciudadanía como la electricidad, el agua y el gas, que están ahora mismo conectados a internet, y todo lo que está conectado es susceptible de ataques de ciberdelincuentes. Y está pasando. Hace unas semanas, en Ucrania, atacaron una central eléctrica y consiguieron dejar una zona sin luz durante unas horas", cuenta.

Como todos los demás expertos, Valle insiste en que la idea no es crear alarmismo sino alertar de los peligros para saber cómo protegerse. "Nuestra intención siempre ha sido concienciar sobre la importancia de la ciberseguridad porque creemos que todavía no existe esta conciencia. Todos usamos las nuevas tecnologías, las 24 horas al día estamos pegados a nuestros portátiles, a nuestros smartphones, a nuestras tablets, tenemos ya smartwatches, tenemos la tecnología pegada a nuestros cuerpos y no sabemos los riesgos que eso conlleva", explica.

"No queremos crear polémica ni una falsa sensación de inseguridad, no es eso, pero es que los riesgos realmente están ahí y no los conocemos. El programa quiere enseñar estos riesgos y también cómo nos podemos proteger los usuarios. Y también intentamos abrir los ojos a los Gobiernos y a las empresas, que tienen que hacer un poquito más en este sentido", concluye.

Antonio Ramos, experto en hacking y seguridad informática, es el presentador del programa Mundo Hacker y uno de los ponentes participantes del evento del próximo día 27 de abril.

Uno de los tema principales del evento es la ciberdefensa, ¿por qué es ahora mismo un tema tan importante?

Porque en verdad ha llegado el momento de tomarse muy en serio el quinto elemento, la red, como un escenario de un campo de batalla. Hace 300 y 400 años, ingleses y españoles nos peleábamos en el mar, por hacer valer nuestras armadas en el mar. Ahora, ya todo el mundo sabe que hay que tener un espacio en el ciberespacio como nación y generar una serie de capacidades, de defendernos de agentes hostiles tanto internos como externos así como tener una respuesta en ese nuevo medio, quizá el medio más rápido que jamás ha conocido la humanidad —el aire es rápido, internet mucho más—.

Hay dos temas candentes: la hiperconexión hacia la que va el mundo —si estamos hablando de que hoy habrá decenas de millones de dispositivos conectados, el internet de las cosas lo va a multiplicar por diez— y la ciberdefensa y los planes de ciberdefensa nacional, donde todos los servicios indispensables para el desarrollo de la raza humana están conectados a redes de ordenadores.

¿Cómo explica a alguien que apenas sabe lo que es el internet de las cosas cómo protegerse de sus riesgos?

Un buen ejemplo son las muñecas estas que han salido que podías interferirlas y podías ver a los niños cuando se desnudaban en la habitación. Estaban hechas para tener un control parental, para vigilar a los niños, pero una persona malintencionada puede abusar de ello para estar viendo a tu bebé cuando le estás cambiando. Eso es el internet de las cosas, dispositivos que nos van a dar funcionalidades que podemos controlar con nuestros teléfonos y con nuestros ordenadores pero que alguien puede utilizarlos de mala manera para volver esas funcionalidades contra nosotros.

Desde el punto de vista de la ciberseguridad, hay que entender que ya tenemos una vida anexionada a la física que es digital, y a veces tan importante como la vida física. Imagínate que anulan tus accesos bancarios, tus perfiles en redes sociales, tus accesos a la agencia tributaria, etcétera. ¿Qué significaría? Anularte como persona, desaparecerías.

¿Es posible hablar de todos estos temas sin meter miedo?

La mejor defensa es conocer el mejor ataque. Si tú conoces las consecuencias bajo control de lo que puede suceder es cuando vas a tomar las medidas, la conciencia del problema que enfrentas. Si no, estás viviendo en un momento feliz. Somos capaces de replicar estas cosas, ver la connotación malvada que podrían tener y, en ese momento, rápidamente cambiar a la concienciación y ver qué cosas hay que hacer para que ese drama no te suceda a ti. Conocer qué es lo peor que te puede pasar es lo que te hace saber qué tienes que hacer o motivarte a conocer qué puedes hacer para que no seas una víctima.

¿Cree que España está reaccionando bien a este nuevo panorama?

Somos una de las primeras potencias económicas mundiales, entre las quince primeras, eso es verdad. Y se están haciendo cosas bien, como reconocer el ciberespacio como un elemento más de defensa, pero mi opinión personal es que tenemos una generación con una edad muy elevada que dirige los rumbos de este país, y a ellos les ha pillado muy mayores esto.

Si es difícil concienciar a la gente de 25 o 30 años imagínate a personas cincuenta y ocho o cincuenta y nueve años. Muchos sienten aversión al cambio. Puede incluso interesarles el tema pero no entenderlo, con lo cual deciden dejarlo aparcado. En nuestro caso es una barrera generacional lo que se está enfrentando. Yo he trabajado en otros países donde en los gobiernos hay una edad media mucho más joven y esto va mucho más deprisa. Todo esto de las redes sociales, de la monitorización... lo tienen muy claro, el discurso es muy simple con ellos, pero su edad es 15 años o 20 años menor, lo justo.

¿Qué consejos daría a los ciudadanos de a pie para protegerse de los riesgos del internet de las cosas?

Ver Mundo Hacker en televisión. En 12 capítulos van a ver un montón de riesgos y cómo evitarlos, es como hacer un curso. Depués, el sentido común. Las cosas que puedas extrapolar a tu vida real y no harías, tampoco las hagas en la vida digital. Pregúntate "qué estoy haciendo, por qué estoy introduciendo estos datos, qué me están pidiendo, cuál es la procedencia de esto, es seguro el sitio donde estoy...". Sentido común, es lo mismo que utilizas en la vida diaria, esa es la primera capa de protección. Después ya hay herramientas, hay más conocimiento...