Hackear Netflix con una aspiradora

El 21 de octubre del año 2016 se produjo uno de los ciberataques más potentes, o al menos más mediáticos junto al famoso Wannacry, de los últimos años. Spotify, Netflix, Twitter, CNN, PlayStation... ninguno consiguió resistir ante la potencia de la agresión y todos sufrieron las consecuencias con caídas de sus servicios. ¿El culpable? Mirai.

Ese es el nombre del malware que se utilizó para lanzar el ataque, un software que se sirve de combinaciones de 60 palabras que se bastan para utilizar dispositivos conectados a internet para crear una red que suma la fuerza de todos ellos.

Entre esos dispositivos no estaban superordenadores, grandes servidores o centros de datos de gigantes tecnológicos, sino aspiradoras, frigoríficos, lavadoras y otros miembros de la familia del Internet de las Cosas (IoT por sus siglas en inglés). En total, más de medio millón de dispositivos, como reconoció Hangzhou Xiangmai, el fabricante de todos ellos. "Mirai es un desastre enorme", explicaron entonces los portavoces de la compañía.

Pero, ¿es realmente posible hacer caer un servicio como Netflix a base de aspiradoras? "Sí que lo es", sentencia convencido Simon Bryden, matemático e ingeniero de sistemas de seguridad de Fortinet, una de las empresas punteras del sector y valorada en casi 12.500 millones de dólares, poco más de 11.000 millones de euros.

"Evidentemente, no es fácil para una persona de la calle, pero para alguien que dedica tiempo y recursos y tiene los conocimientos, el proceso es realmente sencillo y sí que se podrían acceder a la seguridad de gigantes como Spotify o Netflix", cuenta.

El camino para hacerlo, según él mismo explica a El Independiente, tiene varios pasos. Lo primero es infectar un gran número de dispositivos del Internet de las Cosas, ya que son "los más fáciles de controlar por su bajo nivel de seguridad". Una vez creamos una red con un gran número de ellos -en el ataque de Mirai participaron hasta 500.000- se utilizan para lanzar peticiones de entrada a un web, digamos Netflix, que no es capaz de soportar todas esas demandas para entrar al sistema, colapsa y se viene abajo.

Este modelo es conocido como ataque por denegación de servicio, o Ddos, y se basa en que un enorme número de direcciones IP, una por dispositivo, solicitan la entrada al mismo portal de internet a la vez, agotando los recursos de esa web para concederles el acceso. Es sencillo y muy efectivo.

En la variedad está el problema

Teniendo en cuenta que nuestro hogar está cada vez más conectado, ¿cómo es posible que no se pongan más barreras para evitar que los hackers nos usen para sus fines delictivos? "El problema es la enorme variedad de dispositivos diferentes", explica Bryden.

"Actualmente hay miles de compañías que crean sus productos conectados o que añaden ese acceso internet a elementos habituales como la aspiradora o la lavadora. Y cada uno lo hace a su manera, con protocolos diferentes. Así es imposible crear un sistema de seguridad efectivo para todos y sería tremendamente costoso hacerlo uno a uno", señala.

La palabra clave es la estandarización. Si existiera un modelo para todos los dispositivos del Internet de las Cosas, que para 2020 ya serán 20.400 millones en todo el mundo, sería fácil esquematizar las directrices de seguridad, pero no es posible.

Para Bryden, el problema es que todos los actores implicados tratan de imponer su forma de hacer las cosas. "Hay tantos proveedores intentando crear esa estandarización, su propia estandarización, que al final hacen practicamente imposible alcanzarla".

Eso tiene su parte buena y su parte mala, explica. "Ahora los agresores tampoco son capaces de crear un código específico, porque sería imposible tener uno para cada tipo de sistema. Igual que es costoso defenderse así, también lo es atacar", alega.

Por eso los dispositivos más en riesgo son los más populares. Entre ellos están los asistentes inteligentes del hogar como Google Home o Amazon Echo, cada vez más presentes en el salón de nuestras casas. "Empiezan a haber un número importante de ellos y los agresores lo saben, por eso ya están desarrollando modelos para ponerlos a su servicio", confirma Bryden.

En cualquier caso, el ingeniero de sistemas de seguridad de Fortinet también quiere rebajar el nivel de alarma, aunque admite que estos casos en los que aplicaciones tan populares son atacadas son muy llamativos y pueden distorsionar la realidad en cierto modo.

Según cuenta, ahora mismo el Internet de las Cosas "no representa una amenaza real a nivel global para nadie, mucho menos para sus usuarios" aunque advierte que esto puede cambiar "en unos pocos años, cuando las cifras de dispositivos presentes en nuestras casas y trabajos se multiplique todavía más.

¿Cómo nos protegemos?

Pese a que la amenaza no sea enorme para los usuarios, a nadie le gusta que un hacker pueda utilizar nuestros dispositivos con delictivas intenciones. ¿Cómo nos protegemos entonces?

"El mayor problema para la seguridad no es la tecnología, son las personas. El factor humano es el mayor riesgo para la ciberseguridad", cuenta Bryden. Entre los primeros consejos que da hay una muy importante: cambiar la contraseña que viene por defecto en los dispositivos que compramos.

Esos cifrados son tremendamente vulnerables, a un hacker con cierta experiencia no le costará demasiado acceder al sistema y convertir nuestra aspiradora o nuestro frigorífico en un dispositivo zombie, así llamados porque en apariencia siguen funcionando con normalidad, pero en segundo plano están ejecutando forma parte de una red preparada para ponerse al servicio de los amigos de lo ajeno.

Para Patrick Grillo, jefe de seguridad de Fortinet, no importa lo buena que sea la tecnología, ni las preocupaciones que tomen los fabricantes ya que "algo acabará por salir mal. A alguien se le olvidará algún paso para establecer la seguridad o no lo hará de manera correcta" "Debemos tener claro que la mentalidad debe ser proteger la red y proteger nuestros datos y dispositivos", dice.

Hackers SL

En agosto del año 2016 la Interpol, con la colaboración de Fortinet, intervino una red de hackers que consiguió estafar más de 60 millones de dólares, casi 53 millones de euros, a través del envío de emails fraudulentos que se hacían pasar por diferentes personas y compañías pidiendo el envío de dinero.

La verdad es que esta noticia no tiene, en principio, nada de particular. La policía detiene a un grupo de cibercriminales que se dedican a estafar a sus víctimas, lo hemos visto cientos de veces. La diferencia, pues este caso sí que es llamativo, es que los atacantes tenían montada una estructura empresarial con sedes en varios países e incluso diferentes departamentos dentro de su organización. Estaban constituidos como una empresa tradicional.

En dicha compañía trabajaban 40 personas y tenían su base en Nigeria, pero también contaban con una suerte de delegaciones en Malasia y Sudáfrica. Todo un entramado dedicado al crimen cuyo líder respondía al anodino nombre de Mike, según explicó la Interpol.

Según recogía la nota de la agencia Associated Press, las investigaciones se prolongaron durante varios meses y, además de Mike, acabó detenido uno de sus cómplices. La red tenía su cuartel general en Port Harcourt, una localidad cerca de la desembocadura del río Niger y que tiene mucha importancia por los pozos petrolíferos que hay en la zona.

"Ya están constituidos como una empresa, tienen hasta departamentos financieros. Van muy por delante de nosotros porque cuentan con una estructuras y unos recursos que les hacen muy peligrosos", explica Bryden.

La diferencia entre los buenos y los malos, tanto en la ciberseguridad como en muchos otros ámbitos, está en que los que se preocupan por defender nuestros datos deben ser perfectos. Un sólo fallo en el sistema puede hacer derrumbarse todo. Por su parte, los agresores pueden chocarse con un muro bien construido una y otra vez pero, si logran encontrar la grieta sólo una vez, pueden hacer mucho, mucho daño.