Como proteger dispositivos IoT [smart TVs, speakers e câmeras IP]

Smart TVs, brinquedos conectados, câmeras IP, speakers (caixas de som inteligentes), lâmpadas, fechaduras digitais e outros tipos de eletrônicos conectados podem ser vítimas de um ataque que se aproveita de falhas (sem patches) ou mau gerenciamento.

Dispositivos IoT (Internet das Coisas) — conectados de maneira insegura podem permitir que as falhas sejam exploradas pelos criminosos para criar botnets e usá-las em próprio benefício. De ataques de negação de serviço à mineração de criptomoedas.

Os sensores de produtos para Smart Home — com microfones, câmeras, interface GPS  — são alvos suculentos para ataques de malware. Ao ganhar controle sobre os dispositivos, cibercriminosos podem não só atacar outros dispositivos na mesma rede, como também espionar e coletar dados confidenciais e pessoais dos seus usuários.

As possibilidades são muitas e, atualmente, há cada vez mais dispositivos IoT — e cada vez mais falhas — que podem ser explorados. O roubo de dados, porém, não diz respeito apenas às informações geradas e geridas pelos aparelhos, mas também que circulam na rede em que estão conectados. Isso expande a superfície de ataque e a maior parte dela não é coberta por defesas tradicionais como um simples antivírus.

Um caso emblemático foi um roubo de dados em um cassino: o ataque ocorreu por meio de um termostato inteligente em um aquário. Por meio dessa conexão que estava desprotegida, cibercriminosos conseguiram se infiltrar na rede e acessar o banco de dados interno, roubando informações e nomes de altos apostadores da casa.

Smart Houses são seguras?

Tony Anscombe, especialista em segurança da ESET, conduziu uma investigação na qual produtos de IoT projetados para uma casa inteligente são analisados em profundidade. Sua pesquisa confirmou que cada um dos dispositivos avaliados apresentava algum problema de privacidade com login facilitado ou automático e sem autenticação.

São eles: Amazon Echo (2 Geração), D-Link (DCH-G020 Connected Home Hub, DCH-S150 Motion Sensor, DCS-935L Camera 9 e DCS-2132L), NETAMTO Weather Station, Nokia Health (Nokia Health Body+ Scale e Nokia Health Body Cardio Scale), Sonos PLAY:1 Speaker, Wörlein – Soundmaster Internet Radio IR4000SW e TP Link Smart Plug HS110.

Usuários estão cientes

Os usuários estão cientes dos problemas de segurança em dispositivos IoT. Uma pesquisa realizada também pela ESET indica que 70% dos entrevistados consideram que esse tipo de dispositivo não é seguro. No entanto, 62% acredita que não deixariam de comprá-los por esse motivo. E não deixarão, smart homes e smart cities estarão breve no nosso caminho.

De acordo com Camilo Gutierrez, chefe do laboratório da ESET América Latina, as poucas garantias da IoT são apenas notícias sobre aumento no investimento em segurança. Regulamentos podem forçar os fabricantes a alocar mais recursos para tornar seus dispositivos mais seguros, mas não implicam em lançar revisões de tempos em tempos. “Seja qual for o método para tentar resolver este problema, a verdade é que todas as partes devem participar de sua solução. Dos fabricantes aos usuários, passando por legisladores e pesquisadores que descobrem vulnerabilidades”, explicou.

Como proteger os meus dispositivos IoT

Se você não pretende esperar sentado até que os dispositivos IoT já saiam de fábrica mais seguros ou que as fabricantes ofereçam patches para as falhas identificadas, pode tomar algumas medidas para tornar os seus eletrônicos conectados mais seguros. No caso de dispositivos que ouvem comandos (speakers), o risco está nos detalhes sobre o estilo de vida do usuário. Por eles, é possível saber que horas você dorme, acorda, liga ou desliga luzes, quantos cômodos da casa são utilizados, o perfil dos residentes e até informações de áudio, já que tudo pode ser ouvido pelo simples microfone.

Speakers inteligentes

• Deixe o microfone do assistente de voz no mudo enquanto não estiver usando;
• Delete informações armazenadas periodicamente;
• Desligue o assistente por completo quando não estiver em casa;
• Proteja a conta vinculada ao dispositivo com autenticação em dupla etapa.

Antes de comprar qualquer aparelho IoT

Antes de comprar um dispositivo de internet das coisas, é imprescindível verificar:

• Procure na internet e cheque se já foram descobertas potenciais vulnerabilidades;
• Com uma rápida busca é possível descobrir o histórico de falhas ou vazamentos;
• Caso haja correções e patch disponível, instale no seu equipamento;
• Leia a política de privacidade e entenda quais dados serão coletados;
• Observe qual empresa é responsável e o que será feito com esses dados;
• Caso não concorde, busque outros produtos e veja alternativas de outras marcas.

Ao conectar seus aparelhos de Internet das Coisas

1. Verifique com o proprietário ou administrador do local o nome da rede, principalmente em condomínios. Evite redes que não conhece ou sem senhas;
2. Evite redes com nomes como “wi-fi grátis” e “wi-fi free” ou qualquer outro nome genérico de hotspot público. Podem ser desprotegidas ou mal-intencionadas;
3. Evite conectar em redes que não pedem nenhuma autenticação, senha ou login;
4. Crie senhas fortes para a sua rede doméstica ou comercial e use aplicativos como IoT Scanner, ou que identificam quem está conectado à sua rede sem fio;
5. Operações financeiras, nem pensar. Ainda que muitos aparelhos ofereçam assistentes capazes de realizá-las, é cedo para acessar seu banco ou e-commerce; Caso o dispositivo tenha sido comprometido, você pode ter informações bancárias interceptadas e utilizadas por terceiros. Evite também preencher números de documentos ou acessar informações que, de alguma forma, sejam sigilosas;
6. Nunca baixe apps compatíveis que não venham de lojas oficiais, como a App Store ou a Google Play Store, há probabilidade destes aplicativos não terem qualquer segurança na transferência de dados, o que fica pior em redes Wi-Fi inseguras.

Lembre-se: quando você foca a proteção na rua rede Wi-Fi, você protege todos os dispositivos conectados nela. Do smartphone ao speaker e a smart TV, por exemplo.