IoT representa oportunidade para cibercriminosos

Com a proliferação dos dispositivos inteligentes, constantemente conectados, o dia-a-dia dos utilizadores fica facilitado. No entanto, embora os utilizadores já estejam conscientes da importância de proteger os seus computadores ou dispositivos móveis, esta sensibilização ainda está muito aquém quando falamos de dispositivos para casas inteligentes – ainda que estes dispositivos IoT compatíveis com Web, sejam nada mais nada menos que pequenos computadores dentro da própria rede do utilizador.

Numa parceria com a Koramis, a Sophos desenvolveu uma infraestrutura de casa inteligente com sistema de deteção de intrusões (honeypot). A Haunted House foi desenhada para simular um apartamento, com uma superfície de 4 x 2,5 metros. Neste apartamento simulado foram instalados 13 dispositivos IoT e sistemas de controlo de diferentes fabricantes ligados e conectados à internet.

Em duas das três fases de teste, foram registadas a natureza e frequência das tentativas para aceder aos dispositivos da Haunted House. A primeira fase foi realizada com passwords seguras criadas especificamente para o teste, durante seis semanas. A segunda fase, com a mesma metodologia, durou três semanas. Nesta fase, as configurações foram predefinidas dos fabricantes – tal como habitual em dispositivos instalados em residências privadas.

Para permitir a classificação destes resultados num contexto mais amplo, uma terceira fase foi levada a cabo com objetivo de realizar verificações de Internet ativas para dispositivos IoT típicos e abertos através de motores de busca de IoT, SHODAN e Censys. Os resultados foram representados num “mapa de calor” para a região de Portugal e Espanha, e o resto do mundo.

O número de tentativas para aceder à Haunted House foi elevado, excedendo as expetativas da Sophos. Pelo menos uma tentativa de contacto com um dispositivo IoT presente na casa, foi registada durante o período de teste, oriunda de quase todos os países do mundo. Na primeira fase, que decorreu na primavera de 2017, foram registadas aproximadamente 1.500 tentativas diárias de acesso; enquanto na segunda fase, no outono de 2017, foram registadas 3.800 tentativas.

A distribuição das tentativas de acesso proveniente de países individuais difere nas duas fases de teste. Enquanto a China e os EUA ocupam os primeiros lugares do pódio, o país em terceiro lugar muda drasticamente: apesar de surgir em 3º lugar na primeira fase, o México não aparece nem no Top 10 na segunda fase. O Brasil, que se situa em 5º lugar na primeira fase, ocupa o lugar deixado pelo México na segunda fase.

No segundo período de apenas três semanas, foi possível identificar 27 tentativas diretas de acesso. É possível deste modo concluir que na fase em que as configurações standard prevaleciam, em média mais convidados indesejados visitaram a Haunted House por dia. Não foram feitas alterações nos sistemas – embora tivesse sido possível.

As verificações de internet ativas revelaram várias portas de acesso de internet para os dispositivos de IoT, com uma tendência crescente. Na região da Península Ibérica, verificou-se um aumento dos pontos de acesso de 3,3% até os 1.549 em apenas dois meses – de meados de setembro a meados de novembro. Esta taxa é ligeiramente mais alta que a média anual de crescimento - 3,1%.

Como podem então os utilizadores estar protegidos nesta nova era da IoT?

Para Michael Veit, IT Security Expert na Sophos, em primeiro lugar “o utilizador deve ter em mente que muitos dispositivos IoT são computadores de pequenas dimensões e compatíveis com Web, que podem ser controlados desde o exterior”. Deste modo, para evitarem ser vítimas de cibercrimes “dentro de casa”, é, de acordo com a Sophos, fundamental ter em mente os seguintes conselhos:

• Nunca partilhar a sua rede doméstica com ninguém
   
• Realizar pesquisas na internet para descobrir como aceder ao nível de segurança do dispositivo IoT / para casa inteligente em questão
   
• Alterar as passwords que vêm predefinidas nos dispositivos com passwords seguras logo que o dispositivo é instalado
   
• Se existem atualizações disponíveis, estas devem ser sempre ser executadas
   
• Sempre que possível, os utilizadores deverão retirar os dispositivos IoT da sua rede doméstica. Um exemplo: se o sinal de televisão for recebido principalmente por cabo ou antena, a televisão pode funcionar sem acesso à internet sem fios
   
• Na sua rede doméstica, o utilizador deverá fazer uma distinção entre dispositivos importantes e não importantes. Estes devem ser configurados em redes diferentes para assegurar que dispositivos não seguros não têm acesso à informação confidencial
   
• Áreas de rede “seladas”: o mais seguro é criar áreas de rede “seladas” para o escritório em casa, para eletrodomésticos de consumo, para sistemas de construção e segurança e para a rede dos convidados com diferentes redes sem fios. Isto é possível através de uma firewall que apenas permite a comunicação necessária para utilizar os dispositivos, evitando uma infeção de se espalhar de um dispositivo IoT para outro
   
• Utilizar tecnologia VPN segura: em vez de permitir acesso remoto da Internet ao dispositivo IoT configurando o reencaminhamento de porta não seguro no router, é mais prudente utilizar-se a tecnologia VPN em smartphones ou computadores
   
• Proteger os dispositivos com antivírus.