Las gasolineras, objetivo de los hackers

El equipo de investigación de Trend Micro ha querido poner a prueba la seguridad de estos sistemas automatizados de tanques de combustible. Gracias al uso de un software personalizado, denominado GasPot, estos investigadores han indagado en cómo los hakcers pueden hacer explotar el sistema y sus objetivos preferidos.

¿Qué hacen los atacantes?

Los tipos de ataques dependen en su totalidad de la sofisticación de los sistemas de control instalados en los tanques. Los sencillos sólo pueden permitir a los atacantes monitorizar el estado del sistema, mientras que los sistemas más sofisticados permiten a los atacantes tomar el control de los tanques y manipular sus objetivos, según se desprende de la investigación.

Los posibles ataques y las motivaciones que hay tras ellos varían significativamente. Pueden ser simples actos de vandalismo (modificar la etiqueta del producto del tanque de combustible es algo muy común), o ataques mucho más maliciosos (cambiar el comportamiento de los tanques para convertirlos en riesgos para la seguridad pública).

¿Cuánto cuesta parchearlo?

Aplicar parches siempre ha sido un desafío importante cuando se trata de ataques online que afectan a los dispositivos o infraestructuras conectados a Internet. Ya se trate de automóviles, sistemas SCADA (softwares de control remoto) de millones de dólares, o de tanques de combustible, la actualización de su software plantea varias preguntas. ¿Quién debe ser el responsable de aplicar los parches?; ¿debe ser el proveedor o el usuario? ¿Qué tipo de experiencia o herramientas se necesitan? ¿Cuáles son los costes? ¿Se logra parchear todos los dispositivos vulnerables?

La información disponible en el mundo de los sistemas SCADA sugiere que las organizaciones simplemente no están preparadas para hacer frente al parcheo de los dispositivos. El informe de 2013 de la Agencia Europea de Seguridad para la Red y Seguridad de la Información (ENISA) cita dos cifras que son aceptadas dentro de la comunidad de seguridad SCADA: los parches para resolver problemas en software de control industrial, ICS, tuvieron una tasa de fracaso del 60%, y menos de la mitad de las vulnerabilidades contaban con un parche en primera instancia. En general, se estima que sólo el 10-20% de las organizaciones se preocupó por instalar los parches ICS / SCADA que sus proveedores les proporcionaban.

Según apuntan desde Trend Micro, en el mundo del software de consumo tales estadísticas serían inaceptables. Sin embargo, gracias a los múltiples desafíos a los que se enfrenta el parcheo de ICS (técnicos, operativos y financieros), esto no se considera fuera de lo común. Dicho de otro modo, estos sistemas están en situaciones donde los parches son costosos, poco prácticos, o no factibles.

La seguridad de los dispositivos, prioritaria

Según los investigadores de Trend Micro, "la seguridad simplemente no ha sido una prioridad para los fabricantes de dispositivos hasta este punto". Y esto, ¿por qué es así? El impredecible mundo online, donde cualquier cosa puede ser atacada desde cualquier lugar, no es exactamente parte de la experiencia corporativa. "Las empresas pueden no entender completamente los riesgos de hacer que sus dispositivos estén listos para Internet; los beneficios pueden ser evidentes para ellos, pero los inconvenientes no. Los fabricantes y proveedores de seguridad deben trabajar juntos para ayudar a asegurar estos dispositivos de las nuevas amenazas. La seguridad física se ha entendido por ser importante durante algún tiempo. Ya es hora de que las amenazas online lleguen a este nivel de importancia también", opinan los investigadores.