Em 21 de outubro de 2016, Dyn, uma empresa que controla uma parte significativa da infra-estrutura de DNS da Internet, observou os servidores sendo desligados um após o outro devido a um ataque DDOS maciço. As consequências foram terríveis: o acesso ao Reddit, Netflix, CNN e outros sites populares ficou suspenso por quase um dia. Um dia pode parecer não tão ruim, mas do ponto de vista comercial, é um desastre.
Vamos dar uma olhada em outro exemplo. Em 9 de janeiro de 2017, a FDA (Administração de Alimentos e Medicamentos dos Estados Unidos) precisou fazer uma declaração que faz com que o ataque DDOS acima pareça apenas um arranhão.
Em outras palavras, os hackers podem literalmente dar a alguém um ataque cardíaco – um cenário aterrorizante, que, infelizmente, está mais próximo da realidade do que nunca. Há uma coisa que ambos os incidentes têm em comum: a exploração de dispositivos IoT.
Na primeira ocasião, os servidores foram atacados por impressoras, câmeras e monitores de bebés, que foram usados como uma botnet para inundar os servidores com solicitações até travarem. Hackear um transmissor para obter acesso a um implante cardíaco é outro exemplo de invasão da Internet das Coisas.
Se o seu dispositivo estiver enviando dados de forma não cifrada, a comunicação poderá ser interceptada, modificada e infectada por malwares e vírus. Até que os dispositivos venham com apps de segurança codificados, é altamente recomendável uma VPN em um roter. Ela cifra toda a comunicação entre dispositivos IoT conectados ao router e mascara o endereço IP, tornando muito mais difícil explorar a rede para fins maliciosos.
O que é IoT?
A IoT é uma rede de dispositivos interconectados que podem partilhar dados entre si. Internet é inseparável da comunicação humana, o desenvolvimento da Internet é o desenvolvimento da comunicação global de velocidade da luz entre os seres humanos.
A Internet das Coisas, por outro lado, é definida principalmente pela comunicação entre máquinas interconectadas, que separadamente têm pouco ou nenhum objetivo de estar online (é por isso que tablets e smartphones não são considerados dispositivos de IoT).
O primeiro dispositivo de IoT remonta ao início de 1980. David Nichols, um estudante de pós-graduação no departamento de ciência da computação da Universidade Carnegie Mellon, ligou uma máquina de venda de coca-cola ao computador principal de seu departamento, que por sua vez estava conectado à ARPANET (uma versão anterior do a Internet). Dessa forma, ele consegui saber o status das bebidas (vazias / quentes a frio) remotamente em seu computador. A máquina de venda automática e o computador principal trocaram informações, e David pôde verificar o status sempre que quisesse.
IoT em 2019
Quase trinta anos se passaram desde o primeiro dispositivo de IoT, e as previsões são de que, até o ano 2020, teremos mais de 50 mil milhões dispositivos de IoT. Isso é cerca de seis vezes mais que a população mundial. Já chamada de quarta revolução industrial, coloca novos desafios em todas as frentes.
Um dos maiores problemas é a segurança do dispositivo. Nos últimos trinta anos, testemunhamos a expansão da Internet, a evolução do telefone comum em um smartphone, a virtualização de dinheiro. Novos riscos seguiram cada estágio do desenvolvimento: a comunicação online é usada para propaganda; smartphones para rastreamento; e as contas bancárias são esvaziadas sem o uso de uma arma.
Há poucas dúvidas de que conectar vários dispositivos à Internet e oferecer aos utilizadores acesso remoto torne a vida mais confortável. No entanto, conforto é um palavrão para especialistas em segurança cibernética. A segurança online e a proteção da privacidade são frequentemente trocadas por facilidade de uso, e a IoT não é uma exceção.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.