Escrito por: Jerónimo Corregido
En 2016 un grupo de jóvenes consiguió hackear miles de robots domésticos para perpetrar un golpe a gran escala. La misma metodología que usaron hace 10 años sigue vigente hoy en día. En este artículo, un repaso sobre los riesgos de los electrodomésticos conectados a internet, y qué hacer para protegerse.
Hay pasos concretos para prevenir el hackeo de una casa.
El golpe de Mirai y sus efectos sobre internet
Es el 21 de octubre de 2016, un día como cualquier otro en las oficinas de Dyn, uno de los mayores proveedores de DNS del mundo. Hasta que los funcionarios comienzan a notar errores críticos.
Los usuarios de internet en Estados Unidos empiezan a tener problemas para ingresar en sitios como Amazon, Netflix, Reddit, Spotify, PlayStation Network, PayPal y la CNN. Media internet parece quedarse a oscuras, y la clave del fallo pasa por Dyn.
Ocurre que la empresa se encarga de asegurar el acceso a las URL de internet. De eso se trata la tecnología DNS: funciona como una suerte de agenda de contactos. Alguien, de alguna manera, parece haber borrado o adulterado esa agenda…
No fueron hackers profesionales. No fue una red organizada de delincuentes. Fueron tres jóvenes universitarios con formación básica en programación: Paras Jha, Josiah White, Dalton Norman. El primero tiene 19 años; los otros dos, 20.
¿Cómo hicieron para perpetrar uno de los mayores ataques contra internet? De una manera sorprendentemente fácil. Se conectaron a más de 600.000 aparatos inteligentes, conectados a WiFi, que fueron infectados con Mirai.
Mirai es el nombre que recibió el malware creado por el grupo de muchachos estadounidenses. Estaba configurado para adentrarse en el IoT (internet of things) y lanzar ataques masivos de DDoS. Esto consiste en saturar el tráfico de una red hasta hacerla colapsar. Y fue lo que le pasó a Dyn.
¿Cómo fue posible un hackeo tan grande con tan pocos recursos?
El golpe de Jha, White y Norman fue singular porque no hizo gala de una tecnología de punta, sino que explotó los puntos débiles de un sistema muy básico. Concretamente, los jóvenes percibieron que los dispositivos electrónicos conectados a internet, como los robots aspiradores, utilizan un listado de 62 contraseñas y nombres de usuario.
A partir de este descubrimiento, comenzaron a probar de manera automatizada todas las variantes posibles para cada electrodoméstico. Con esta técnica llegaron a infectar productos de todo el mundo, sin que sus propietarios supieran lo que estaba ocurriendo.
¿Y qué era exactamente lo que estaba ocurriendo? Que los robots de las neveras, de las cámaras de seguridad, de los aspiradores, estaban atacando a uno de los servidores de DNS más importantes del mundo. Mientras tanto, seguían cumpliendo sus funciones: enfriando, grabando, aspirando, lo que sea que les tocara.
Los fabricantes no habían aplicado parches de seguridad ni habían configurado actualizaciones periódicas. De esta forma, sus productos se habían vuelto presa fácil para cualquiera que utilizara las credenciales correctas.
Un arma peligrosa librada al dominio público
Cuando los jóvenes vieron que el FBI iba a intervenir en cualquier momento, tomaron una decisión: publicaron en internet el código fuente de Mirai, para que no solo ellos pudieran usarlo. La lógica fue que, si el malware está disponible abiertamente, las sospechas no deben recaer necesariamente en ellos.
Así fue que sacrificaron su arma secreta y la entregaron a los hackers y curiosos del mundo. La treta no les sirvió, de modo que las autoridades los detuvieron. Los jóvenes se aprestaron a cooperar y ayudaron en la desarticulación de organizaciones de hackers.
En 2019, un juez federal de Alaska los condenó a 5 años de libertad condicional, junto con el pago de una multa de US$ 125.000 y la obligación de realizar 2.500 horas de trabajo comunitario. Sin embargo, para esa hora, el problema no eran Jha, White y Norman, sino la caja de Pandora que habían compartido con la web.
La libertad de uso de Mirai implicaba que las cámaras y micrófonos de los electrodomésticos inteligentes podían estar intervenidas sin que sus dueños tuvieran conocimiento. Ante este escenario, algunos fabricantes comenzaron a diseñar parches. Una solución que parecía estar llegando demasiado tarde.
Un ejemplo da cuenta de ello. En 2024, en Minnesota, el propietario de un robot aspirador escuchó que el electrodoméstico lo insultaba. Otro: ese mismo año, en Los Angeles, una pareja notó cómo su aspirador deambulaba por la casa durante la madrugada, filmando distintas partes, claramente dirigido por alguien de manera remota.
En efecto, Mirai se había expandido. El mismo malware y sus variantes están tan vigentes hoy en día como en 2016.
La contraseña que dejaste puesta y lo que eso significa hoy
Los grandes ataques no requieren una varita mágica, sino la noción de cuáles son los flancos a explotar. Los idearios de Mirai lo sabían muy bien. Cabría pensar que, desde entonces, las empresas que fabrican productos conectados a internet han tomado mayores recaudos. ¿O no es así?
A comienzos de este año, al ingeniero francés Sammy Azdoufal se le ocurrió un experimento: conectar un robot aspirador al mando de la PS5 para moverlo y dirigirlo a gusto. Con esta idea en mente, compró un DJI Romo, uno de los modelos más vendidos.
Para emparejarlo al mando de la PS5, tuvo que implementar un proceso de ingeniería inversa, es decir, averiguar cómo se conectaba el producto con los servidores del fabricante, DJI. Consiguió comunicarse con el sistema a través de una app creada por él mismo.
Una vez en la nube de DJI, descubrió que el mismo token de autenticación de su producto abría la configuración de cualquier otro. Es decir, con un mismo código de 14 dígitos podía no solo controlar su robot aspirador, sino cualquier dispositivo de la marca DJI, incluyendo sus cámaras, micrófonos y funcionalidades.
Otros en su lugar habrían utilizado este conocimiento para generar daños. Pero Azdoufal reportó el incidente y consiguió que DJI publicara 8 parches de seguridad en un mismo mes.
Lo que el caso expone es que las contraseñas guardadas por defecto podrían ser la puerta de ingreso para atacantes silenciosos. Todos los dispositivos con cámaras y micrófonos están potencialmente llenos de ojos y oídos.
Qué hacer para mantenerse a salvo
Las recomendaciones de seguridad para evitar ataques mediante la IoT son dos:
- Cambiar las contraseñas de fábrica: de esta manera se evita que las configuraciones por defecto sean la puerta de acceso para terceras partes.
- Crear una red de invitados para los electrodomésticos: en la configuración de internet del modem o router se puede añadir una red de invitados. Si se colocan allí todos los dispositivos con IoT, se evita que, si estos son atacados, también sufran ataques los demás dispositivos conectados a la red, como el teléfono donde se almacenan las claves bancarias.
Sobran motivos para querer protegerse. Y no es nada difícil establecer estas dos medidas básicas.
