Ciberseguridad: desafíos olímpicos que amenazan desde nuestros móviles personales hasta el suministro de agua pública

Usar un teléfono desechable en los Juegos Olímpicos de Invierno 2022 es una forma en que los atletas, entrenadores y fanáticos pueden protegerse del espionaje. Esta táctica es ciertamente incómoda y potencialmente costosa, pero es factible. Los expertos en ciberseguridad también están preocupados por los ataques de Internet de las Cosas (IoT) que podrían llegar mucho más allá de las preocupaciones y soluciones individuales.

Los organizadores olímpicos se han enfrentado a ciberataques durante años, con Londres y Río enfrentando problemas informáticos en 2012 y 2016, respectivamente. Uno de los ataques más dramáticos fue en 2018. Hackers lanzaron un ataque durante la ceremonia de apertura de los Juegos de Invierno en Pyeongchang, Corea del Sur. En un artículo de Wired de 2019, Andy Greenberg describió el ataque a una infraestructura de TI que incluía "más de 10,000 PC, más de 20,000 dispositivos móviles, 6,300 enrutadores Wi-Fi y 300 servidores en dos centros de datos de Seúl". El ataque comenzó "apagando todos los controladores de dominio en los centros de datos de Seúl", lo que significaba que el Wi-Fi no funcionaba, los televisores conectados a Internet en las instalaciones olímpicas dejaron de funcionar junto con todas las puertas de seguridad basadas en RFID y la aplicación oficial de los Juegos Olímpicos, según el artículo de Wired.

Este año, la aplicación que los atletas deben usar para controles de salud y otras tareas presenta un serio riesgo de seguridad para la pérdida de datos personales, según investigadores del Citizen Lab de Toronto. Además, Beijing recientemente obtuvo el cuarto lugar en la lista de ciudades inteligentes a nivel mundial de Juniper Research. La infraestructura de la ciudad inteligente puede hacer la vida más conveniente para los residentes, pero los líderes de la ciudad deben equilibrar esos beneficios con los mayores riesgos de seguridad de conectar el transporte, la comunicación, el agua, las plantas de tratamiento de desechos y otras infraestructuras críticas a Internet.

Riesgos de ciberseguridad personal para los atletas

James Carder, director de seguridad de LogRhythm, ve un riesgo real de que los hackers violen las cuentas de los atletas visitantes y utilicen correos electrónicos o mensajes de texto para el chantaje.

"Cuando viajo por trabajo y como persona regular, si voy a China o a un país que puede ser menos sensible a mi privacidad, no llevo mi computadora portátil corporativa o teléfono celular", dijo. "Uso teléfonos desechables".

Ben Cody, vicepresidente senior de gestión de productos en SailPoint, dijo que los atletas deberían usar Bluetooth solo cuando sea absolutamente necesario, y las VPN deberían ser obligatorias sin importar si se está utilizando Wi-Fi o una conexión celular.

Protección antivirus en línea: McAfee Clinic lleva la seguridad de tu PC al siguiente nivel

"Considera cerrar la sesión en las aplicaciones corporativas en tu teléfono", dijo. "Pregunta sobre tu perfil de identidad y considera un enfoque de 'privilegio mínimo' para los permisos de la aplicación mientras estés en los juegos".

Carder dijo que los atletas deben estar conscientes de su seguridad física, así como de los riesgos cibernéticos.

"Entiendan que hay personas que quieren espiarlos y no se lo pongan fácil para obtener lo que necesitan", dijo.

Problemas de seguridad de la aplicación MY2022

Estas preocupaciones de seguridad se suman a las vulnerabilidades en la aplicación que los atletas deben usar. Investigadores del proyecto Citizen Lab de Toronto realizaron una extensa evaluación de MY2022, una aplicación que los atletas deben usar para compartir información médica relacionada con COVID-19. Las fallas son significativas:

• La encriptación que protege el audio de voz y las transferencias de archivos de un usuario se puede evitar.
• Los formularios aduaneros de salud con detalles del pasaporte, historial médico y de viajes son vulnerables.
• Las respuestas del servidor se pueden falsificar.

En el informe "Exposición transfronteriza: análisis de la aplicación de los Juegos Olímpicos MY2022", los investigadores afirmaron que "las deficiencias de seguridad de la aplicación pueden no solo violar las políticas de software no deseado de Google y las pautas de la App Store de Apple, sino también las propias leyes y estándares nacionales de China en materia de protección de la privacidad...". El proveedor que construyó la aplicación no respondió a estas revelaciones de seguridad, según el laboratorio. El Comité Organizador de Beijing para los Juegos Olímpicos 2022 construyó la aplicación. Beijing Financial Holdings Group, una empresa estatal, está listada como el vendedor de la aplicación en la App Store.

Los investigadores encontraron dos vulnerabilidades en la transmisión de datos: una falla en la validación de certificados SSL y la falta de encriptación al enviar datos. Los expertos en seguridad encontraron cinco conexiones SSL que son vulnerables, lo que podría permitir a un atacante "leer información demográfica sensible, pasaporte, historial de viajes y médico enviada en una declaración de salud aduanera o enviar instrucciones maliciosas a una víctima después de completar un formulario. Por ejemplo, ya que la aplicación no valida el certificado SSL para 'tmail.beijing2022.cn', un atacante puede usar los mismos métodos para leer el audio de voz o los archivos adjuntos transmitidos de las víctimas".

Cómo proteger tu computadora de los virus: métodos y consejos

En respuesta a estas preocupaciones, el Comité Olímpico Internacional dijo que no había identificado ninguna vulnerabilidad crítica. Un funcionario de Beijing dijo a los periodistas durante una conferencia de prensa que la aplicación había sido validada por las tiendas de aplicaciones tanto de Android como de Apple. Los investigadores de Citizen Lab crearon una cuenta en la versión de iOS de la aplicación, pero no pudieron hacer lo mismo con la versión de Android.

Cómo mejorar la seguridad de la aplicación

Carder dijo que las fallas de seguridad en la aplicación MY2022 le hacen cuestionar cuánto invirtió el comité olímpico en la seguridad de la propia aplicación.

Este tipo de revisión de seguridad es importante para cualquier aplicación que recoja información personal, como aplicaciones de rastreo de COVID-19 y aplicaciones de votación.

"Muchas empresas, incluso si tienen un enfoque de seguridad en la aplicación durante el desarrollo, el equipo de seguridad no ve la aplicación hasta el final del proceso de desarrollo del producto", dijo. "Si tienes que elegir entre hacer que la aplicación sea segura o lanzarla a tiempo, las empresas siempre elegirán lanzar una función a tiempo".

Carder dijo que ha reorganizado las operaciones de software en su empresa para eliminar la necesidad de elegir entre seguridad y entrega oportuna.

"Creamos mucha automatización e integraciones entre herramientas de prueba y repositorios donde los desarrolladores depositan código", dijo. "Cuando un desarrollador registra codigo, se verifica directamente por seguridad".

¡Defiéndete! Protege tu seguridad en línea contra amenazas críticas

Este enfoque reduce las posibilidades de trabajos de remedio al final del proceso de desarrollo, dijo Carder.

Existen varios pasos que las empresas y los gobiernos pueden tomar para establecer estándares de ciberseguridad más altos, que incluyen:

1. Establecer regulaciones gubernamentales más sólidas.
2. Establecer estándares más altos por parte de los clientes para aumentar la seguridad en el software.
3. Un código de conducta global que establezca consecuencias para los hackers.

Carder sugirió que los clientes incluyan revisiones de seguridad como parte del proceso de diligencia debida al negociar un contrato para mejorar la ciberseguridad en general y reducir los riesgos de seguridad de terceros.

"Si una empresa no está obteniendo el negocio que solía obtener, tomará nota, como renunciar a $50 millones en negocios debido a no resolver un problema de $2 millones", dijo.

Ataques cronometrados a infraestructuras críticas

Esta mayor diligencia debida se extiende también a las instalaciones de IoT, en particular aquellas que se conectan a sistemas de transporte, instalaciones públicas y servicios públicos. En 2018, el equipo de TI de los Juegos Olímpicos trabajó toda la noche para reparar el daño del ciberataque. El impacto llegó también a la comunidad, incluidos un proveedor de servicios de TI en Francia y dos estaciones de esquí.

Grant Geyer, CISO y director de producto de Claroty, dijo que no hay escasez de infraestructuras críticas relacionadas con los Juegos Olímpicos que crean un objetivo enorme para los actores malintencionados. Claroty es una empresa de ciberseguridad especializada en seguridad de IoT para entornos industriales, de atención médica y empresariales.

Protege tus contraseñas con PAM: Tu aliado para la seguridad

El objetivo puede ser poner a los tomadores de decisiones en una situación desafiante y de alta presión, dijo Geyer, lo que puede dar lugar a decisiones impulsadas por la emoción.

Geyer dijo que la superficie de ataque aumenta con cada nuevo elemento de infraestructura que se conecta a Internet. La evaluación de riesgos de IoT de Claroty para la segunda mitad de 2020 identificó riesgos crecientes en sistemas de fabricación críticos, plantas de tratamiento de agua y residuos y en instalaciones públicas, como hoteles.

"Muchos de estos sistemas tienen una variedad de sistemas de respaldo y controles de resiliencia, sin embargo, cuanto más planificación de ciberseguridad tenga en cuenta los ciberataques que afectan a los sistemas físicos, mejor preparados estarán", dijo.

Geyer dijo que cualquier ciudad inteligente tiene un área de superficie de ataque muy amplia, independientemente de las políticas nacionales del país anfitrión.

"Independientemente de cuán restrictiva sea la política de acceso a Internet, ese es un vasto panorama de ataque", dijo.

Según Geyer, los líderes de la industria manufacturera enfrentan tres vientos en contra diferentes cuando se trata de mejorar la ciberseguridad:

Cómo configurar un servidor VPN para hacer conexiones a través de firewalls

1. Culturalmente: "En entornos con activos intensivos, hay aversión al cambio y a veces a corregir las vulnerabilidades".
2. Plazos de depreciación largos: "No es inusual entrar en una fábrica y ver Windows XP o Windows 7".
3. Prioridades competitivas: "En entornos de producción, las personas deben centrarse en el proceso y la seguridad, por lo que lo cibernético es una tarea secundaria o terciaria para un operador".

Además, debido a que la seguridad es la máxima prioridad en hospitales y plantas de energía, las actualizaciones y cambios se realizan solo durante ventanas de tiempo específicas, que pueden ocurrir a intervalos de tres meses, dijo.

El equipo de TI que gestionó la infraestructura de los Juegos Olímpicos 2018 comenzó a planificar y prepararse en 2015, que es el tipo de tiempo de anticipación que Geyer recomienda para preparativos de ciberseguridad.

Las organizaciones deben tomar estos pasos para prepararse para ciberataques durante grandes eventos como los Juegos Olímpicos:

1. Asegurar que los activos críticos estén segmentados de otros elementos de la red para reducir la superficie de ataque.
2. Realizar ejercicios y simulacros para entender cómo responder y recuperarse de un ataque.
3. Establecer líneas de comunicación para facilitar que todas las entidades afectadas por un ataque compartan información entre países y organizaciones.

"Dado que el terreno se mueve bajo nuestros pies, eso aumenta la necesidad de conocimientos situacionales a medida que nos acercamos a la recta final antes de un evento", dijo.

¡Alerta! Un nuevo gusano de Linux está propagándose

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Ciberseguridad: desafíos olímpicos que amenazan desde nuestros móviles personales hasta el suministro de agua pública , tenemos lo ultimo en tecnología 2023.