Los tecnócratas que están construyendo el Internet de las cosas no pueden proteger sus creaciones contra los piratas informáticos. Si los motores de aire acondicionado en una sola ciudad grande se pusieran en marcha al mismo tiempo, se rompería la red eléctrica para un área de varios estados. ⁃ TN Editor
Cuando la industria de la ciberseguridad advierte sobre la pesadilla de los piratas informáticos que provocan apagones, el escenario que describen normalmente implica un equipo de élite de piratas informáticos. irrumpir en el santuario interior de una compañía de energía para comenzar a encender los interruptores. Pero un grupo de investigadores ha imaginado cómo se podría derribar una red eléctrica completa pirateando una clase de objetivos menos centralizados y protegidos: aires acondicionados domésticos y calentadores de agua. Muchos de ellos.
En la conferencia de Usenix Security esta semana, un grupo de investigadores de seguridad de la Universidad de Princeton presentará un estudio que considera una pregunta poco examinada en seguridad cibernética de la red eléctrica: ¿Qué pasaría si los piratas informáticos atacaran no el lado de la oferta de la red eléctrica, sino el lado de la demanda? En una serie de simulaciones, los investigadores imaginaron lo que podría pasar si los hackers controlaran un botnet compuesto por miles de dispositivos de Internet de consumo pirateados silenciosamente, en particular los que consumen mucha energía, como aires acondicionados, calentadores de agua y calentadores espaciales. Luego ejecutaron una serie de simulaciones de software para ver cuántos de esos dispositivos necesitaría un atacante para secuestrar simultáneamente para interrumpir la estabilidad de la red eléctrica.
Sus respuestas apuntan a un escenario inquietante, si no bastante práctico: en una red eléctrica lo suficientemente grande como para servir a un área de 38 millones de personas, una población más o menos igual a Canadá o California, los investigadores estiman que solo un aumento del uno por ciento en la demanda podría bastará para derribar la mayoría de la cuadrícula. Ese aumento de la demanda podría ser creado por una red de bots tan pequeña como unas pocas decenas de miles de calentadores de agua eléctricos pirateados o un par de cientos de miles de aires acondicionados.
“Las redes eléctricas son estables siempre que el suministro sea igual a la demanda”, dice Saleh Soltan, investigador del Departamento de Ingeniería Eléctrica de Princeton, quien dirigió el estudio. "Si tiene una botnet muy grande de dispositivos IoT, realmente puede manipular la demanda, cambiándola abruptamente, en cualquier momento que desee".
El resultado de ese desequilibrio inducido por botnet, dice Soltan, podría ser un apagón en cascada. Cuando la demanda en una parte de la red aumenta rápidamente, puede sobrecargar la corriente en ciertas líneas eléctricas, dañándolas o más probablemente disparando dispositivos llamados relés de protección, que apagan la energía cuando detectan condiciones peligrosas. Apagar esas líneas pone más carga en las restantes, lo que puede conducir a una reacción en cadena.
“Menos líneas necesitan transportar los mismos flujos y se sobrecargan, por lo que la siguiente se desconectará y la siguiente”, dice Soltan. "En el peor de los casos, la mayoría o todos están desconectados y tienes un apagón en la mayor parte de tu red".
Los ingenieros de servicios de energía, por supuesto, pronostican expertamente las fluctuaciones en la demanda eléctrica a diario. Planean todo, desde olas de calor que previsiblemente causen picos en el uso del aire acondicionado hasta el final de los episodios de la telenovela británica cuando cientos de miles de espectadores encienden sus teteras. Pero el estudio de los investigadores de Princeton sugiere que los piratas informáticos podrían hacer que esos picos de demanda no solo sean impredecibles, sino también maliciosamente sincronizados.
Los investigadores en realidad no señalan ninguna vulnerabilidad en dispositivos domésticos específicos, ni sugieren cómo exactamente podrían ser pirateados. En su lugar, parten de la premisa de que un hacker podría comprometer y controlar silenciosamente una gran cantidad de esos dispositivos. Podría decirse que esa es una suposición realista, dadas las innumerables vulnerabilidades que otros investigadores de seguridad y piratas informáticos han encontrado en Internet de las cosas. Una charla en la Cumbre de Analistas de Kaspersky en 2016 describió fallas de seguridad en acondicionadores de aire eso podría usarse para lograr el tipo de perturbación de la red que describen los investigadores de Princeton. Y los hackers maliciosos del mundo real han comprometido todo, desde refrigeradores a peceras.
Teniendo en cuenta esa suposición, los investigadores realizaron simulaciones en el software de red eléctrica MATPOWER y Power World para determinar qué tipo de botnet podría interrumpir el tamaño de la red. Ejecutaron la mayoría de sus simulaciones en modelos de la red eléctrica polaca de 2004 y 2008, un sistema eléctrico raro del tamaño de un país cuya arquitectura se describe en registros disponibles públicamente. Descubrieron que podían causar un apagón en cascada del 86 por ciento de las líneas eléctricas en el modelo de red 2008 Polonia con solo un aumento del uno por ciento en la demanda. Eso requeriría el equivalente de los aires acondicionados pirateados 210,000 o los calentadores de agua eléctricos 42,000.
Construir una botnet del mismo tamaño a partir de más dispositivos de IoT que consumen mucha energía probablemente sea imposible hoy en día, dice Ben Miller, ex ingeniero de ciberseguridad de la empresa eléctrica Constellation Energy y ahora director del centro de operaciones de amenazas de la firma de seguridad industrial Dragos. Simplemente no hay suficientes dispositivos inteligentes de alta potencia en los hogares, dice, especialmente porque toda la botnet tendría que estar dentro del área geográfica de la red eléctrica objetivo, no distribuida por todo el mundo como la botnet Mirai.
wpDiscuz