211service.com
Los piratas informáticos podrían volar fábricas usando aplicaciones para teléfonos inteligentes
Eni | Flickr
Muchas empresas permiten que los trabajadores supervisen y administren máquinas, y en ocasiones procesos industriales completos, a través de aplicaciones móviles. Las aplicaciones prometen mejoras en la eficiencia, pero también crean objetivos para los ataques cibernéticos. En el peor de los casos, los piratas informáticos podrían explotar las fallas para destruir máquinas y, potencialmente, fábricas enteras.
Dos investigadores de seguridad, Alexander Bolshev de IOActive e Ivan Yushkevich de Embedi, pasaron el año pasado examinando 34 aplicaciones de compañías como Siemens y Schneider Electric. Ellos fundar un total de 147 agujeros de seguridad en las aplicaciones, que fueron elegidos al azar de Google Play Store. Bolshev se negó a decir qué compañías fueron las más infractoras o revelar las fallas en aplicaciones específicas, pero dijo que solo dos de las 34 no tenían ninguna.
Algunas de las vulnerabilidades que descubrieron los investigadores permitirían a los piratas informáticos interferir con los datos que fluyen entre una aplicación y la máquina o el proceso al que está vinculado. Entonces, se podría engañar a un ingeniero para que piense que, por ejemplo, una máquina está funcionando a una temperatura segura cuando en realidad se está sobrecalentando. Otra falla permitiría a los atacantes insertar código malicioso en un dispositivo móvil para que emita comandos maliciosos a los servidores que controlan muchas máquinas. No es difícil imaginar que esto cause caos en una línea de montaje o explosiones en una refinería de petróleo.
Bolshev dice que esta combinación de aplicaciones y sistemas de control industrial es un cóctel muy peligroso y vulnerable, aunque enfatiza que el riesgo variará ampliamente. Algunas empresas pueden tener múltiples sistemas a prueba de fallas que limitan los daños potenciales. También pueden insistir en que los ingenieros confíen en varias fuentes de datos para una máquina en lugar de una sola lectura de una aplicación.
Sin embargo, eso no es totalmente tranquilizador, porque hay evidencia de que los piratas informáticos ya han podido evadir defensas más amplias alrededor de las instalaciones de fabricación (consulte Un nuevo pirateo industrial destaca los agujeros cibernéticos en nuestra infraestructura). Y los riesgos se extienden a otras áreas; las centrales eléctricas y los sistemas de transporte también se están conectando a Internet. Las aplicaciones móviles también podrían ser puntos débiles aquí.
Los investigadores dicen que no han analizado si alguna de las fallas realmente ha sido explotada. Antes de publicar sus hallazgos, contactaron a las empresas cuyas aplicaciones tenían fallas. Algunos ya arreglaron los agujeros; muchos aún tienen que responder.
Beau Woods, miembro de innovación en seguridad cibernética del Atlantic Council, dice que existe un dilema para las empresas. Lo último que desea en una emergencia, dice, es que los operadores queden bloqueados en un sistema crítico, por lo que están diseñados para ser accesibles de múltiples maneras, como a través de aplicaciones móviles. Pero agregar esta conectividad también agrega exposición a los malos.