Cara y cruz de las prótesis biónicas

Los analistas de Kaspersky Lab, investigando la infraestructura cloud experimental para prótesis biónicas avanzadas, han identificado varios problemas de seguridad desconocidos hasta ahora y que permitirían a un tercero acceder, manipular, robar o incluso borrar datos privados, o de otro tipo, de los usuarios de estos dispositivos.

Kaspersky Lab ha compartido sus investigaciones con el fabricante Motorica, una start-up tecnológica rusa que desarrolla prótesis biónicas de extremidades superiores para ayudar a personas con discapacidad, ayudándoles así a abordar problemas de seguridad

El Internet de las cosas ya no son solo relojes inteligentes conectados o Smart homes. Hablamos de ecosistemas avanzados y complejos, cada vez más automatizados, entre los que se incluyen tecnologías de e-salud. En el futuro, estas tecnologías podrían dejar de ser simples dispositivos de soporte para convertirse en un componente principal para aquellos usuarios interesados en ampliar las capacidades del cuerpo humano a través de un proceso tecnológico. Por eso, es importante que cualquier riesgo de seguridad que puedan explotar los ciberdelincuentes se minimice gracias a la investigación y que estos riesgos de seguridad se tengan en cuenta desde el inicio del desarrollo del producto y de la infraestructura que los soporta.

Los analistas de Kaspersky Lab ICS CERT, en colaboración con Motorica, han realizado una evaluación de ciberseguridad de un software experimental para una mano protésica digital, desarrollada por la start-up rusa. La solución consiste en un sistema cloud remoto, una interfaz para la monitorización del estado de todos los dispositivos biomecánicos registrados. También proporciona a otros desarrolladores un conjunto de herramientas para el análisis de las condiciones técnicas de varios dispositivos, como sillas de ruedas inteligentes, manos y pies artificiales.

El estudio inicial identificó varios problemas de seguridad. Estos incluyen conexión http insegura, operaciones de cuenta incorrectas y validación de acceso insuficiente. Cuando está en uso, la mano protésica transmite datos al sistema cloud. Debido a las brechas de seguridad, un ciberatacante podría llegar a:

· Obtener acceso a la información disponible en la nube de todas las cuentas conectadas (incluidas credenciales de acceso y contraseñas en texto sin formato de todos los dispositivos protésicos y sus administradores).

· Manipular, agregar o eliminar dicha información.

· Agregar o eliminar usuarios regulares o con privilegios de administrador.

“Motorica es una empresa de alta tecnología, fiable y socialmente responsable, enfocada en abordar los desafíos a los que se enfrentan las personas con discapacidades físicas. Con la empresa preparándose para su expansión, queríamos ayudarles a garantizar la implementación de las medidas adecuadas de seguridad. Los resultados de nuestro análisis son un buen recordatorio de que la seguridad debe incorporarse a las nuevas tecnologías desde el principio. Esperamos que otros desarrolladores de dispositivos conectados avanzados quieran colaborar con la industria para comprender y abordar los problemas de seguridad de los dispositivos y sistemas, y tratar la seguridad de los dispositivos como una parte integral y esencial del desarrollo”, explica Vladimir Dashchenko, investigador de seguridad de Kaspersky Laboratorio ICS CERT.

“Las nuevas tecnologías nos están llevando a todo un nuevo mundo en lo que se refiere a dispositivos biónicos. Para los desarrolladores es de vital importancia colaborar con los proveedores de soluciones de ciberseguridad, haciendo que hipotéticos ataques contra el cuerpo humano sean imposibles”, afirma Ilya Chekh, CEO de Motorica.

Para mantener seguros los dispositivos, aconsejamos a las empresas:

Verificar los modelos de amenazas y las clasificaciones de vulnerabilidad para las tecnologías relevantes basadas en web e IoT, proporcionadas por expertos de la industria, como OWASP IoT Project.

Introducir prácticas seguras en el desarrollo de software basadas en un adecuado ciclo de vida. Para evaluar las prácticas de seguridad de software existentes, utilizar un enfoque sistemático, por ejemplo OWASP OpenSAMM.

Implantar un procedimiento para obtener información sobre amenazas y vulnerabilidades relevantes, garantizando una respuesta adecuada y oportuna ante cualquier incidente.

Actualizar periódicamente los sistemas operativos, las aplicaciones y el software del dispositivo, así como las soluciones de seguridad.
Implementar soluciones de ciberseguridad diseñadas para analizar el tráfico de red, detectar y prevenir ataques, en el perímetro de la red empresarial y en el de la red OT (tecnología operacional).

Utilizar una solución de protección con tecnologías de detección de anomalías de aprendizaje automático (MLAD, por sus siglas en inglés) para mostrar las desviaciones en el comportamiento de los dispositivos de IoT, la detección temprana de ataques, fallos o daños en el dispositivo.