Atenție la IOT

Luna trecută, specialiști de top în securitate cibernetică de la compania slovacă ESET au vorbit în cadrul unui eveniment internațional dedicat presei despre pericolele cibernetice ale anului 2018 și ale anilor următori. Printre problemele cunoscute și abordate deja de zeci de ani, precum protejarea unui device personal sau a unei rețele, problematica vulnerabilităților pe care le prezintă tehnologiile de tip IoT a devenit una tot mai fierbinte.

Astfel, am aflat acolo că, atunci când ești un pasionat avid de tehnologie și îți dorești să încerci imediat orice device (dispozitiv) de tip smart, te poți expune pericolelor cibernetice chiar și prin saltea, furculiță sau prin jucăriile copiilor.

Atunci când ne gândim la soluții de securitate cibernetică, nu ne vine în minte că ar trebui să avem un software care să ne protejeze peria de păr (dacă aceasta este un device smart), iar specialiștii atrag atența că, deși inteligente, device-urile IoT nu ar trebui considerate neapărat sigure, iar vulnerabilitatea unui device conectat prin rețea la restul device-urilor din casă devine o vulnerabilitate pentru întreaga casă.

Internet of Things (IoT) a devenit un termen recunoscut la nivel global, iar într-un sens foarte larg ar putea fi utilizat pentru a descrie orice este conectat la internet. Însă ce device-uri se încadrează de fapt în IoT? În această categorie, oamenii tind să încadreze în sens general aproape orice, de la telefoane mobile, becuri inteligente, brățări de fitness, boxe smart și mașini de spălat vase inteligente până la senzori care testează calitatea apei înainte de distribuție, potrivit unui studiu publicat de compania slovacă de securitate cibernetică ESET asupra tehnologiilor IoT și a conceptului de smart home.

Când predicțiile cu privire la răspândirea IoT au început să apară, analiștii au supraestimat capacitatea de absorbție a pieței și anunțau cifre imense: 50 de miliarde de device-uri IoT în lume până în 2020 a fost numărul citat într-o prezentare oficială în 2010 de Hans Vestberg, fostul CEO al Ericsson.

Opt ani mai târziu, entuziasmul s-a mai temperat în jurul sectorului, iar estimările jucătorilor din industrie sunt mult mai conservatoare. Astăzi, Ericsson oferă o perspectivă mult mai nuanțată, estimând că aproximativ 29 de miliarde de device-uri conectate vor exista în lume până în 2022, dintre care circa 18 miliarde vor avea o conectivitate specifică IoT.

În timp ce numărul device-urilor la nivel global este, cu siguranță, în creștere, iar acestea aduc beneficii atât caselor oamenilor cât și vieților acestora în general, majoritatea consumatorilor au tendința de a ignora amenințările care vin odată cu tehnologia sau de a nu se proteja corespunzător de potențialele atacuri cibernetice.

Toți senzorii din componența unui produs specific smart home – cu microfoane, camere, interfață cu GPS și interoperabilitate la nivelul sistemului – sunt ținte atractive pentru atacuri de tip malware (n.red.: tip de software utilizat pentru deteriorarea datelor dintr-un device) sau chiar ransomware (n.red.: tip de atac cibernetic ce blochează accesul utilizatorului la sistem dacă nu plătește o recompensă). Dacă obțin controlul asupra acestor device-uri, criminalii cibernetici pot să atace alte device-uri conectate la rețea cu device-ul utilizatorului. Mai mult, aceștia pot spiona și pot obține date personale sau date confidențiale.

Exemplul oferit în studiul ESET de la începutul anului care demonstrează că un singur device personal poate prezenta un risc enorm vine de la un student australian, Nathan Ruser, de 20 de ani, care studiază securitate internațională în cadrul Universității Naționale din Australia. În cadrul unei postări pe rețeaua socială Twitter în 27 ianuarie 2018, Ruser a evidențiat o problemă de securitate operațională generată de personalul militar care folosește aplicația  de fitness Strava.

Aplicația utilizează locația GPS din telefon pentru a urmări și înregistra rutele de jogging ale utilizatorului. Astfel, Strava înregistrează trasee. Exemplul evidențial de Ruser a fost baza aeriană Bagram din Afganistan, în dreptul căreia orice utilizator al aplicației putea vedea pe hartă traseul de antrenament utilizat de militarii staționați în bază. Acest incident nu a avut urmări, însă poate fi un exemplu al riscurilor cu care vin chiar și device-urile personale.
În cadrul conferinței ESET desfășurate în sediul central din Bratislava luna trecută, Ondrej Kubovic, security awareness specialist în cadrul grupului slovac, a prezentat evoluția amenințărilor cibernetice și a demonstrat că acestea sunt prezente încă de la primele dispozitive smart.
Primul telefon smart a fost iPhone-ul lansat în SUA pe 29 iunie 2007. În perioada octombrie-noiembrie 2009, virusul Dutch Hack deja făcea victime printre utilizatori. Acest virus bloca accesul utilizatorilor la dispozitiv dacă aceștia nu plăteau o recompensă de 5 euro pentru deblocare.
La 22 octombrie 2008, a fost lansat în SUA primul telefon cu sistem de operare tip Android, iar în august 2010, virusul FakePlayer.A, care se inflitra în sistem prin accesarea unor aplicații de redare media false și trimitea mesaje text cu plată de pe dispozitivul afectat. Kubovic susține, în baza unui articol publicat în platforma BleepingComputer, că aproape 90% dintre televizoarele smart sunt vulnerabile la a fi hackuite de la distanță. Atacul cibernetic prin care s-a ajuns la această statistică a fost dezvoltat de Rafael Scheel, un cercetător pe segmentul de securitate în cadrul companiei elvețiene de securitate cibernetică Oneconsult, și a fost utilizat doar pentru a testa gradul de risc la care sunt expuse datele colectate de smart TV-uri.
Mai mult, Kubovic a vorbit despre protecția cibernetică a saltelelor smart, un subiect ce poate părea discutat pentru un scenariu ireal. Cu toate acestea, saltelele smart există, iar tehnologia lor le permite să memoreze tipare de somn, forma corpului, comportamentul utilizatorului în timpul somnului, iar acestea se pot adapta.

Pentru a face însă acest lucru, saltelele trebuie să stocheze date, iar aceste date pot fi atacate. „Să spunem că cineva îți atacă cibernetic salteaua și să spunem că nevasta te înșală, sau tu pe ea, iar cineva poate folosi datele extrase din saltea doar pentru a te șantaja. Însă există și produse complete de protecție pentru smart home care pot preveni atacurile cibernetice”, spune Kubovic. Chiar și jucăriile pentru copii și stadiul tehnologic avansat în care au ajuns unele dintre acestea pot prezenta un risc la adresa intimității și a securității datelor.

Potrivit CNN, în 2017, în Germania, organele de reglementare s-au autosesizat și au interzis vânzarea unei păpuși numite My Friend Cayla. Această jucărie se conecta la internet prin intermediul Bluetooth-ului și putea răspunde copiilor la întrebări simple precum „Care este cel mai înalt munte din lume?”. Instituțiile germane de reglementare au oprit vânzările după câteva luni și au transmis tuturor părinților care au achiziționat aceste păpuși să le distrugă deoarece au microfoane neprotejate cibernetic în componența lor.

Însă vulnerabilitatea dispozitivelor inteligente conectate la internet poate avea și implicații foarte serioase și poate afecta chiar și dispozitivele medicale foarte avansate din punct de vedere tehnologic.

În vara anului 2017, Administrația Medicamentelor și a Alimentației din SUA (FDA) a anunțat că 465.000 de pacienți cu stimulator cardiac (n.red.: denumit pacemaker, este un dispozitiv medical care emite impulsuri electrice, transmise prin electrozi ce sunt în contact cu mușchii inimii, cu scopul de a regulariza bătăile inimii) au nevoie de update-uri la dispozitivele lor pentru că ar putea fi atacați cibernetic, întrucât și stimulatoarele sunt conectate la internet.

Noile dispozitive precum periile de păr inteligente mențin apetitul de consum pentru tehnologie. Periile de tip Hair Coach sunt dispozitive care pot învăța textura părului unei persoane și pot personaliza caracteristicile periei, acesta fiind un dispozitiv conectat, de asemenea, la internet. Chiar și acestea pot fi atacate cibernetic.

Care este pericolul dacă cineva îți hackuiește peria de păr?
La prima vedere poate niciunul, deoarece utilizatorul nu consideră textura părului o informație sensibilă. Însă specificul tehnologiilor IoT stă în conectivitate. Atât conectivitatea la internet, cât și interconectivitatea. Accesul la un device neprotejat atât de banal precum o perie de păr pe care o utilizezi acasă, conectată la același router de internet nesecurizat precum celelalte dispozitive din casă, poate asigura unui atacator accesul la întreg sistemul smart home, caz în care cu cât mai multe dispozitive IoT, cu atât mai bine pentru atacator. Iar multitudinea de device-uri poate depăși imaginația consumatorilor care sunt „la început de drum” cu tehnologia IoT. O companie numită HAPI a dezvoltat produsul HAPIfork, o furculiță care promite utilizatorului că ajută la scăderea în greutate, prin caracteristicile smart pe care le are încorporate. Această furculiță învață comportamentul utilizatorilor plecând de la parametri precum durata unei mese sau de câte ori a îndreptat utilizatorul furculița spre gură, informații ce pot fi uploadate ulterior în computer și interpretate prin intermediul platformei HAPI pentru a oferi sfaturi de nutriție.
Astfel de gadgeturi pot simplifica viața unei persoane și pot chiar îmbunătăți activitățile cotidiene, însă specialiștii atrag atenția că fără o protecție adecvată, chiar și cel mai nesemnificativ device, conectat la internet, poate reprezenta o amenințare dacă nu este protejat corespunzător. Cât de smart sunt, de fapt, IoT-urile?