Los servidores expuestos dejan que los piratas informáticos tomen el control de las puertas de las celdas de la prisión, los marcapasos y los oleoductos

Lucas Lundgren se sentó en su escritorio mientras observaba las puertas de las celdas de la prisión a cientos de millas de distancia abriéndose y cerrándose.

Podía ver los diversos comandos flotando en su pantalla en texto sin cifrar. “Incluso podría emitir comandos como 'todos los bloques de celdas abiertos'”, dijo en una llamada telefónica la semana pasada. Sin estar allí, no podía saber con certeza si sus acciones habrían tenido consecuencias en el mundo real.

"Probablemente solo lo sabría leyendo sobre esto en el periódico al día siguiente", dijo Lundgren, consultor de seguridad senior de IOActive, antes de su charla sobre Black Hat en Las Vegas la semana pasada.

Es porque esas puertas de celda están controladas por un protocolo de mensajería de código abierto poco conocido pero popular. conocido como MQTT, que permite que los dispositivos inteligentes y los sensores de baja potencia conectados a Internet (IoT) y los dispositivos inteligentes se comuniquen con un servidor central utilizando poco ancho de banda, lo que permite que los guardias de la prisión controlen de forma remota las cerraduras de la puerta de una celda. El protocolo se usa en todas partes, por aficionados en el hogar, pero también en sistemas industriales como medidores y sensores de equipos, vallas publicitarias electrónicas e incluso dispositivos médicos.

Pero con demasiada frecuencia, los servidores que escuchan los dispositivos y envían comandos no están protegidos con un nombre de usuario o contraseña, lo que permite que cualquier persona con una conexión a Internet mire en uno de los 87,000 servidores desprotegidos, según los escaneos de puertos de Lundgren.

“Es una situación aterradora”, dijo. "No solo podemos leer los datos, eso es suficientemente malo, sino que también podemos escribir en los datos".

Lundgren ha visto monitores cardíacos y bombas de insulina que actualizan constantemente los datos sobre el protocolo para que un médico pueda leerlos de forma remota en una página web y hacer modificaciones, dijo. "Si quisiera ser malicioso, probablemente podría cambiar la insulina o algo y ver qué pasa", dijo.

A lo largo de sus escaneos, encontró servidores de todo el mundo, que ejecutaban todo, desde domótica y sistemas de alarma, hasta plantas de energía nuclear, un acelerador de partículas e incluso un oleoducto.

Lea la historia completa aquí ...