Qué es la seguridad de dispositivos IoT

La seguridad de dispositivos IoT (Internet of Things) se refiere al conjunto de medidas para proteger contra accesos no autorizados y filtraciones de datos los electrodomésticos inteligentes, sensores, cámaras, dispositivos portátiles y otros equipos conectados a Internet.

Los dispositivos IoT tienen más desafíos de seguridad que los PC o smartphones convencionales y son objetivos ideales para los atacantes. En 2016, la botnet Mirai secuestró cientos de miles de dispositivos IoT con contraseñas predeterminadas sin cambiar y ejecutó un ataque DDoS a gran escala. El incidente mostró que dispositivos individualmente insignificantes, dejados en su configuración de fábrica y en gran número, se convierten en el material de ataques a gran escala.

Los altavoces inteligentes, cámaras de red, cerraduras inteligentes y aspiradoras robot del hogar también son dispositivos IoT, estrechamente relacionados con la privacidad del hogar inteligente.

Debilidades de seguridad de los dispositivos IoT

Credenciales predeterminadas: Muchos dispositivos IoT vienen con contraseñas comunes como "admin/admin" o "admin/password" de fábrica, y frecuentemente se usan sin cambiar. Los atacantes utilizan bases de datos de credenciales predeterminadas para intentar inicios de sesión automáticos en grandes cantidades de dispositivos.
Falta de actualizaciones de firmware: A diferencia de PC y smartphones, los dispositivos IoT frecuentemente carecen de función de actualización automática o el soporte del fabricante termina prematuramente. Incluso cuando se descubren vulnerabilidades, no se proporcionan parches de corrección, manteniendo el riesgo permanentemente. Cuando el período de soporte termina, las vulnerabilidades que quedan no se pueden evitar cambiando la configuración, por lo que sustituir el dispositivo es la opción realista.
Deficiencias de cifrado: En dispositivos IoT con capacidad de procesamiento limitada por reducción de costos, el cifrado de comunicaciones se omite o se utilizan algoritmos de cifrado débiles. Muchos dispositivos tampoco implementan cifrado de dispositivo.
Amplia superficie de ataque: Puertos innecesarios abiertos, interfaces de depuración residuales, protocolos antiguos como Telnet o FTP habilitados, etc., amplían la superficie de ataque.
Acceso físico: Los dispositivos IoT a veces se instalan en exteriores o espacios compartidos, facilitando la manipulación física o la extracción de firmware.

Medidas prácticas de seguridad IoT

Para fortalecer la seguridad de los dispositivos IoT, implemente las siguientes medidas.

Cambio inmediato de contraseñas predeterminadas: Cambiar la contraseña como primera acción al instalar el dispositivo. Si es posible, establecer una contraseña larga y compleja, usando contraseñas diferentes para cada dispositivo.
Segmentación de red: Aislar los dispositivos IoT en una red separada (VLAN o Wi-Fi de invitados) de los PC y smartphones. Así, incluso si un dispositivo IoT es comprometido, no se puede acceder a los datos confidenciales de la red principal. Los routers domésticos también pueden aprovechar la función de red de invitados. Hay que tener en cuenta que, al separar la red, el mecanismo con el que las aplicaciones del móvil buscan dispositivos dentro de la misma red (mDNS y similares) deja de llegar, de modo que el control o la transmisión de pantalla pueden dejar de funcionar. Conviene mantener el dispositivo de control en la red del IoT o configurar el router para que pase solo el tráfico necesario.
Actualización regular del firmware: Verificar las notificaciones de actualización en el sitio web o la aplicación del fabricante y aplicarlas rápidamente. Si hay función de actualización automática, activarla.
Desactivación de funciones innecesarias: Desactivar UPnP (Universal Plug and Play), acceso remoto y protocolos no utilizados. UPnP puede abrir agujeros en el firewall.
Criterios de selección al comprar: Elegir productos de fabricantes que publican el período de soporte de actualizaciones de seguridad. También han empezado a aparecer normas de producto que prohíben las contraseñas de fábrica comunes a todos los equipos y que obligan al fabricante a publicar un punto de contacto para vulnerabilidades y el período de soporte; en el Reino Unido, las reglas que entraron en vigor el 29 de abril de 2024 exigen esto (a fecha de agosto de 2026). Cuando no se publica ninguna política de soporte, es fácil terminar usando el producto sin que llegue nunca la corrección de un fallo detectado.

Gestión de seguridad IoT en empresas

En entornos empresariales, operan más dispositivos IoT que en el hogar, aumentando la complejidad de la gestión.

Gestión de activos: Identificar todos los dispositivos IoT en la red y gestionarlos en un inventario. Los "IoT en la sombra" (dispositivos que el departamento de TI no conoce) son un riesgo grave. Detectar periódicamente dispositivos desconocidos con herramientas de escaneo de red.
Aplicación de confianza cero: No confiar en el acceso desde dispositivos IoT y aplicar estrictamente autenticación de dispositivos y control de acceso. La autenticación mediante certificados de dispositivo no depende de contraseñas compartidas entre equipos, por lo que un dispositivo comprometido difícilmente se propaga en horizontal.
Monitoreo y registros: Monitorear los patrones de comunicación de los dispositivos IoT y detectar comunicaciones anómalas (envío masivo de datos, conexiones a servidores externos desconocidos). La integración con SIEM es efectiva.

En IoT industrial (IIoT), se incluyen dispositivos como sistemas de control de fábricas y equipos médicos, donde un compromiso puede causar daños físicos. Estos dispositivos deben aislarse completamente de Internet o aplicar controles de acceso estrictos.

Para obtener más información sobre este tema, consulte Seguridad de dispositivos IoT - Cómo mantener seguro tu hogar inteligente.

Conceptos erróneos comunes

Los dispositivos IoT son pequeños, así que los atacantes no los atacan: Los atacantes no apuntan a dispositivos individuales, sino que atacan grandes cantidades de dispositivos a la vez. Como la botnet Mirai, se secuestran cientos de miles de dispositivos IoT vulnerables para usarlos como plataforma de ataques DDoS o envío de spam.
Si están en la red doméstica, los dispositivos IoT están seguros: Incluso dentro del router, mientras el dispositivo IoT esté conectado a Internet, el riesgo existe. Son posibles ataques que explotan vulnerabilidades del dispositivo o ataques laterales desde otros dispositivos en la misma red (movimiento lateral).

Seguridad de dispositivos IoT