Pesquisa revela que 70% dos usuários consideram que dispositivos IoT não são seguros

Recentemente noticiamos que, de acordo com uma pesquisa da Kaspersky, o número de malwares para IoT aumentou três vezes no primeiro semestre de 2018. A principal característica dos dispositivos classificados como IoT é oferecer conectividade para aparelhos que no passado jamais sairiam do mundo offline. Porém, se por um lado a conectividade facilita a integração, num ecossistema entre tantos outros dispositivos em uma casa conectada, por exemplo, a confiança em torno da segurança é sempre um tem polêmico.

De acordo com uma outra companhia de segurança, a ESET, os usuários estão cientes dos problemas de segurança que afetam os dispositivos IoT. 70% dos entrevistados pela ESET  consideram que esse tipo de dispositivo não é seguro, principalmente em termos de privacidade; que é onde está a principal preocupação. No entanto, 62% acredita que não deixariam de comprar esse tipo de tecnologia por esse motivo.

O leque de dispositivos classificados como IoT e que podem estar vulneráveis é gigantesca, os mais comuns são Smart TVs, brinquedos conectados, câmeras IP, dispositivos de gravação. Os atacantes acabam se beneficiando de vulnerabilidades existentes sem patches ou uma má política de gerenciamento. No início deste ano, Tony Anscombe, especialista em segurança da ESET, conduziu uma investigação (que levou ao desenvolvimento de um whitepaper) no qual 12 produtos de IoT projetados para a criação de uma casa inteligente são analisados em profundidade. Sua análise confirmou que cada um dos dispositivos avaliados apresentava algum problema de privacidade.

“Como os ataques de IoT começaram a se tornar cada vez mais comuns, questões sobre sua segurança começaram a se concentrar em quando o próximo ataque aconteceria e quantos em quantos dispositivos seriam, ao invés de quais medidas de segurança seriam implementadas para evitá-los”, diz Camilo Gutierrez, chefe do Laboratório de Pesquisa da ESET América Latina. As poucas garantias da IoT são apenas notícias sobre um aumento no investimento em soluções de segurança, conforme revelado pela Juniper em um estudo recente, que mostra que os gastos com proteção para a Internet das Coisas crescerão em 300% entre 2018 e 2023.

A relação entre a insegurança dos dispositivos envolve tanto o fabricante, que desenvolve um produto altamente frágil e o usuário que não se atenta a aplicar o mínimo, como trocar a senha padrão de fábrica. A Kaspersky diz que 93% dos ataques aos dispositivos de IoT no primeiro semestre de 2018 foram por força bruta, ou seja, tentativas repetitivas com várias combinações de senhas. Esse método é o mais utilizado por várias questões, uma delas é o descompromisso dos usuários com uma medida tão básica mas essencial.

Dispositivos conectados de maneira insegura representam um problema sério, porque as vulnerabilidades existentes podem ser facilmente exploradas pelos criminosos para criar botnets e usá-las para seu próprio benefício. Desde ataques de negação de serviço, como os realizados com o botnet Mirai, à mineração de criptomoedas, as possibilidades para os invasores são muitas e, atualmente, há cada vez mais dispositivos com falhas que podem ser exploradas como resultado de um ataque. Alguns meses atrás, um caso de roubo de dados em um cassino ficou conhecido. O ataque ocorreu por meio de um termostato inteligente em um aquário, por meio do qual cibercriminosos conseguiram se infiltrar na rede e acessar o banco de dados do cassino, roubando informações como nomes de altos apostadores e, em seguida, extrair os dados da rede para finalmente enviá-los para a nuvem, explica a ESET.

O chefe de laboratório de pesquisa da ESET diz que regulamentos podem forçar  forçar os fabricantes a alocar mais recursos para tornar seus dispositivos mais seguros, ao invés de concentrar investimentos em lançar revisões de tempos em tempo.

“Esse caminho é muito mais longo e mais caro, já que não se trata apenas de determinar quais medidas mínimas devem ser aplicadas em um mundo em constante mudança como é o da segurança da informação, mas também de que ele deve ser adaptado à legislação de cada país. Seja qual for o método selecionado para tentar resolver este problema, a verdade é que todas as partes devem participar de sua solução. Dos fabricantes aos usuários, passando pelos legisladores e pelos pesquisadores que descobrem as vulnerabilidades. Além disso, os processos de revisão devem ser constantes para estarem atualizados em relação às ameaças e ataques existentes”, conclui Gutierrez.