Imagine ir ao supermercado local na esquina para comprar alguns lanches, apenas para receber um sermão sincero sobre as virtudes da sindicalização da impressora de recibos. Sim, o mesmo que pediu para você inscrever-se em uma estrela do YouTube alguns anos atrás. É um dispositivo muito franco, aparentemente.
O sequestro tendência de segurança
Por mais divertidos que esses sequestros possam ser, eles revelam o que já é muito familiar — A tendência de segurança da IoT (ou melhor, a falta dela).
As empresas tendem a ser negligentes na proteção de seus dispositivos conectados, e essa atitude de não interferência criou o ponto cego mais significativo no mercado atual cenário de segurança.
A velocidade das superfícies de ameaça
A velocidade da proliferação da Internet of Things (IoT) significa que a maioria das empresas está construindo vastas superfícies de ameaças – e geralmente fechando os olhos para eles. Como resultado, o mercado está se expandindo rapidamente, com a expectativa de que o número de dispositivos conectados aumente para mais de 27 bilhões até 2025.
Cerca de dois terços das empresas em todo o mundo já usam produtos IoT, para que você tenha certeza de que o mercado B2B será responsável por uma proporção sólida desses dispositivos.
Alvos de ataque e pontos de entrada
Mais IoT significa mais alvos e pontos de entrada para os hackers. Segundo a Kaspersky, o número de ataques a dispositivos conectados dobrou no primeiro semestre de 2021 em comparação com os seis meses anteriores.
Alguns incidentes de segurança são uma piada
Certamente, alguns incidentes de segurança de IoT não passam de uma piada inócua – como a impressora de recibos torcendo por um canal do YouTube. No entanto, as empresas relatam esses incidentes menores, recebem uma manchete ou duas, e o mundo segue em frente.
Muitas vezes, porém, outros incidentes não são relatados – e acredite, esses ataques são tudo menos uma piada.
Mas quando o hack não é uma piada
Aqui está um exemplo rápido da minha própria experiência. Hackers perseguindo um órgão governamental específico atacaram uma Smart TV em uma sala de conferências. Depois de obter acesso ao dispositivo, eles puderam gravar várias discussões internas confidenciais antes que o ataque fosse detectado.
Seqüestrar um dispositivo conectado é como proteger uma cabeça de praia para uma operação ofensiva para um hacker.
Uma cadeia é tão fraca quanto seu elo mais fraco, e os dispositivos IoT, que geralmente não possuem proteção ou monitoramento de endpoint, funcionam como pontos de entrada perfeitos.
Após comprometer uma impressora inteligente, uma câmera de vigilância ou outro dispositivo, um invasor pode se infiltrar uma rede corporativa para roubar dados confidenciais, interromper operações hospitalares, ou fechar derrubar uma usina ou instalação industrial.
Os dispositivos IoT comprometidos também são ótimos para armazenar malware. Além disso, os hackers geralmente conectam os dispositivos “zombificados” em botnets, que podem inundar uma rede ou servidor de destino com solicitações de conexão, desligando-o.
O número de tais ataques disparou em 2021, e os botnets são a ferramenta ideal para sua execução.
Colossos em pés de barro
Pode ser tentador culpar toda a situação de segurança da IoT em empresas que não alteram credenciais de acesso de fábrica em dispositivos inteligentes . Dito isto, a realidade é mais complexa. Não se trata apenas das credenciais.
Os dispositivos inteligentes geralmente têm dezenas de vulnerabilidades de software que os usuários não podem fazer nada por conta própria. Essas lacunas cabem ao fabricante detectar e corrigir e, até que isso aconteça, seus clientes estarão expostos. Obviamente, não esperaríamos que uma mercearia escrevesse uma atualização de firmware para sua impressora de recibos.
Os patches do fabricante chegam tarde demais
Muitas vezes, porém, os patches do fabricante são lançados tarde demais. Como resultado, o mercado de IoT se expande a uma velocidade vertiginosa, com mais e mais dispositivos online todos os dias. Mas o problema é que sua própria pesquisa e desenvolvimento de segurança estão ficando para trás.
Pesquisadores e reguladores ainda estão descobrindo os melhores padrões e práticas para o setor. Da mesma forma, os profissionais geralmente lutam para proteger a infraestrutura de IoT adequadamente.
Indústrias legadas migrando para o mundo digital
Outra tendência que entra nisso é a desconexão entre os protocolos de segurança seguidos por gigantes da tecnologia estabelecidos e as indústrias legadas se movendo para o mundo digital.
Estas empresas vigiam os hackers
Os hackers há muito fazem parte da equação de empresas como Apple e Google, uma ameaça conhecida a ser observada.
Essas empresas tradicionalmente não protegem com rapidez suficiente
Ao mesmo tempo, uma empresa tradicional de eletrodomésticos que expande sua oferta com lâmpadas inteligentes dificilmente está atualizada com o que há de mais recente em segurança cibernética.
Não é surpresa que os pesquisadores tenham encontrado uma lacuna significativa na forma como esses dois grupos abordam sua segurança, com o primeiro previsivelmente muito à frente deste último.
A crise de segurança da IoT em mãos
A incompatibilidade resultante no setor é o que sustenta a crise de segurança da IoT.
O mercado de IoT é simplesmente muito rápido e muito lucrativo para seu próprio bem, e a discrepância entre seu crescimento e pesquisas e soluções de segurança abre uma brecha para os hackers explorarem.
Algumas das empresas que ingressam neste mercado não possuem a experiência ou os procedimentos de segurança cibernética necessários.
Dado o quão raros são os produtos de segurança de dispositivos maduros e estabelecidos, esses recém-chegados acabam exacerbando o problema. Como resultado, os bandidos obtêm mais exploits para perseguir, enquanto as vítimas ficam esperando por patches.
Dispositivos Centrais Conectados
O problema torna-se cada vez mais agudo devido à forma como os dispositivos conectados são centrais para a mudança tectônica de hoje no paradigma de negócios. Todos, mesmo empresas herdadas, de empresas de mineração a empresas agrícolas, se esforça para ser inteligente. Então, eles implantam conjuntos de sensores, frotas de drones e robôs para fazer as coisas melhor, mais rápido e com maior qualidade.
Ficar esperto é burrice sem recursos de segurança
Mas ser inteligente é perigoso quando você depende de dispositivos aparentemente burros para funcionar como sua infraestrutura. E eles são burros, considerando a frequência com que não possuem recursos integrados de segurança e observabilidade.
Novas Superfícies de Ataque
Sem as devidas salvaguardas, as empresas que passam por uma transformação digital expõem novas superfícies de ataque que seriam inconcebíveis apenas uma década atrás. E o pior é que eles nem sabem disso.
Cibersegurança é uma obrigação para todos
Quando todo dispositivo é inteligente, a segurança cibernética se torna uma obrigação para todos. À medida que mais e mais empresas ingressam na briga digital, nem as empresas que implantam o dispositivo nem os fabricantes que o desenvolvem podem fechar os olhos para ele, mesmo quando se trata de garantir a tecnologia mais inócua.
Os recém-chegados à IoT devem aprender as cordas rapidamente. Caso contrário, eles correm o risco de prejudicar seu próprio progresso, abrindo as comportas para todo um tsunami de incidentes cibernéticos.
Natali Tshuva
Natali Tshuva é CEO da Sternum, uma empresa de cibersegurança que desenvolveu uma plataforma universal de segurança IoT e veterano da Unidade 8200 das Forças de Defesa de Israel. Ela trabalhou como pesquisadora de vulnerabilidades e líder de equipe de P&D na Cellebrite antes de co-fundar a Sternum em 2018. Ela possui mestrado em Ciência da Computação pela Universidade Bar-Ilan de Israel e aspira a mudar o mundo para melhor por meio da tecnologia.
