Ciberataques a comercios en Francia
Los sistemas de refrigeración modernos son un ejemplo típico de sistemas ciberfísicos. Esto significa que pueden supervisarse y controlarse de forma remota, mientras que su nivel de seguridad a menudo sigue siendo insuficiente.
En algunos casos, los fabricantes no implementan medidas de protección básicas, como la exigencia de políticas de contraseñas, autenticación de dos factores y otros controles de seguridad estándar. Además, estos productos suelen presentar deficiencias en el desarrollo seguro de software y en los procesos SSDLC (Security Software Development Life Cycle).
Estos sistemas ciberfísicos también suelen estar expuestos a Internet en lugar de estar correctamente aislados. Los paneles de control de los sistemas de refrigeración, por ejemplo, pueden identificarse mediante buscadores como Shodan y Censys, que indexan dispositivos accesibles desde Internet. En la práctica, esto significa que, si un dispositivo es accesible públicamente y está configurado de forma insegura, puede ser descubierto tanto por administradores como por actores maliciosos. Según Shodan, más de 4.500 dispositivos de este tipo son accesibles a través de Internet, mientras que Censys muestra aproximadamente 4.300. Los paneles de refrigeración no son el único ejemplo: los sistemas de control de instalaciones solares y otros dispositivos industriales también pueden encontrarse expuestos online. Esto incrementa considerablemente el riesgo de accesos no autorizados, explotación de vulnerabilidades conocidas y posterior interferencia en el funcionamiento de los equipos.
Anteriormente se ha hecho público un método para conseguir ejecución remota de código arbitrario en paneles de control de sistemas de refrigeración similares. En algunos casos, además, los fabricantes carecen de mecanismos para garantizar la instalación de actualizaciones críticas, lo que puede convertirse en una vía plausible para este tipo de ciberataques.
Se recomienda a los fabricantes incorporar los requisitos de seguridad desde la fase de diseño, evitar la exposición directa a Internet, implementar mecanismos de autenticación robustos y garantizar la instalación oportuna de actualizaciones críticas. Los compradores y las organizaciones que adquieran este tipo de equipos también deberían prestar atención a las prácticas de ciberseguridad del proveedor, incluida la gestión de parches y la protección de los accesos remotos.
Vladimir Dashchenko, Principal Security Researcher en Kaspersky
