No hay una ni dos, sino muchas formas de engañar a los dispositivos de control de acceso, especialmente a los de reconocimiento facial. Lo advierte Trend Micro Incorporated, compañía precisamente especializada en soluciones de ciberseguridad. Su estudio al respecto vino alentado por la crisis sanitaria de los últimos meses. ¿Cómo puede una empresa reducir la exposición de sus empleados al virus, procurando el requerido distanciamiento social y además sin poner en riesgo los datos para tal control?
Para darrespuesta a los primero se está extendiendo la instalación de control de accesomanos libres en las entradas de las empresas para reducir el contacto de losempleados con las superficies contaminadas. Sin embargo, la gestión tecnológicade los accesos necesita implementar potentes herramientas para gestionar laautenticación de una forma rápida y eficiente, por lo que muchas empresas estánrecurriendo a dispositivos informáticos de última generación. Hasta aquí ningúnproblema, sino al contrario. No obstante, esto implica generar más datos ytenerlos más cerca, algo que ha hecho abrir los ojos de los ciberdelincuentes yponer estos sistemas de entrada en su punto de mira.
Estos nuevos dispositivos se basan en edge computing que, por su mayor potencia, puede albergar más cantidad de información
“Eltérmino edge computing es relativamente nuevo, simplemente significa que losrecursos de mayor potencia están más cerca de los dispositivos en el"borde" (“edge”) de la red (como las cámaras IP que toman imágenes parael control de acceso) para reducir el retraso y aumentar la eficiencia. Estocontrasta con un sistema de Internet de Cosas (IoT) orientado a la nube en el que muchosdispositivos de baja potencia en el borde de la red recogen datos y los envíana una solución cloud que procesa los datos y da órdenes. Los dispositivos deedge computing ya se utilizan en muchas y diferentes industrias: los camionesestán equipados con dispositivos que monitorizan y mantienen la temperatura yel ambiente; los sistemas de automatización de fábricas están comenzando autilizar dispositivos de alta potencia; incluso los ascensores modernos hanadoptado soluciones edge computing de vanguardia” explicandesde Trend Micro.
Es decir,con ello se acanó la recolección de información sin más. Los dispositivosinteligentes anteriores tenían un funcionamiento pasivo y ahora, se procesanlos datos mucho mas cerca y por tanto su disponibilidad puede ser inmediata,casi en tiempo real. De ahí que sea un pastel muy goloso que en la tecnológicarecomiendan cuidar bien.
Losterminales edge que utilizan el reconocimiento facial o pequeños dispositivoscomo las tarjetas RFID sirven por tanto, como primera línea de defensa paramantener a los intrusos fuera de las oficinas, pero pueden ser objeto de lossiguientes ciberataques:
Utilización de imágenes estáticas. Si un atacante conoce elnombre de un empleado de la compañía objetivo, puede ser capaz de encontrarimágenes claras de su cara online.Hay algunos dispositivos de control de accesoque son susceptibles a las imágenes estáticas, como una imagen en un teléfono.Esta es una debilidad crítica debido a la disponibilidad de imágenes personalesen las redes sociales.
Uso de información del producto en el dispositivo. Muchosterminales tienen información importante impresa directamente en ellos, porejemplo, números de serie o designaciones del fabricante. Los hackers puedenutilizarla para tener un fácil acceso, lo que posiblemente les permita robar lacontraseña y manipular el control de la puerta.
Puertos expuestos. Si un puerto USB queda expuesto a un hacker,podría acceder a los controles de la puerta. Los dispositivos de control deacceso suelen ser tabletas que tienen puertos para la transferencia deinformación o energía. Muchos tienen estuches sólidos que protegen las tabletasde la manipulación, pero hay algunos que dejan los puertos expuestos. Tambiénpodrían obtener un acceso más profundo al dispositivo y descargar datos comoimágenes y nombres de usuario, o añadir un nuevo usuario al dispositivo y darleacceso a las instalaciones de la compañía.
Escuchar las comunicaciones. La mayoría de los controles de acceso estánvinculados y gestionados a través de un servidor y un software personalizadodel fabricante. La comunicación entre el dispositivo y el servidor seintercepta y manipula fácilmente si no está cifrada o protegida, lo que permitea un agente de amenazas recoger datos como imágenes y detalles del usuario.Además, un hacker puede hacerse pasar por el servidor y forzar las actualizacionesde los dispositivos, y añadir nuevos usuarios o instalar nuevos administradoresen él.
Losdispositivos de control de acceso desempeñan un papel importante en laseguridad de las empresas, y un ataque exitoso puede tener gravesconsecuencias. Para ayudar a las empresas a mitigar estos ataques estas son lasrecomendaciones de Trend Micro sobre cómo asegurar estas máquinas:
- Compruebe si los puertos están expuestos y asegúrese de que lacomunicación es segura. La ciberseguridad tiene que ser lo más importante alelegir un dispositivo de control de acceso.
- Dado que muchos de estos dispositivos despliegan hardware y softwareampliamente utilizados, se debe estar al tanto de las vulnerabilidades queafectan a sus dispositivos. Instale siempre las últimas actualizaciones deseguridad tan pronto como estén disponibles.
- Los dispositivos de control de acceso se suelen colocar en zonaspúblicas. Es importante asegurar físicamente el dispositivo para garantizar quenadie pueda acceder a ningún puerto o ver la información sensible impresa en eldispositivo.
Las empresas también pueden instalar en losdispositivos de monitorización y protección del endpoint para protegerlos delas vulnerabilidades y los ciberataques. Los productos de inspección profundade paquetes, como Trend Micro Deep Discovery Inspector, pueden ayudar a evitarque un atacante intente hacerse pasar por el dispositivo o servidor edge.Asimismo, permiten identificar y prevenir el tráfico de red no autorizado desdeendpoints desconocidos. Soluciones que se sofistican según el delincuentetambién agudiza su ingenio. Todo para que nadie ‘entre y salga’ como Pedro porsu casa.