Manipular los semáforos de tu ciudad está a un solo 'click'

Es el buscador más temido de la red. Por algo le llaman el Google de los ‘hackers’. Shodan no busca páginas web convencionales. Va mucho más allá. Indaga en los canales ocultos de internet y en sus infraestructuras, entre las que podemos encontrar todo tipo de ‘routers’, dispositivos de control remoto, cámaras web, impresoras ‘online’ y, en general, todo tipo de aparatos conectados y sistemas que mantienen operativa la red global. Shodan está al alcance de la mano de cualquier internauta y su uso malintencionado podría causar estragos. Algunos piratas informáticos ya han intentado controlar el tráfico de una ciudad a través de las puertas abiertas que descubre el buscador.
Los expertos en ‘ciberseguridad’ comienzan a alarmarse ante los resultados de búsqueda de Shodan, que además de ser muy fácil de usar -no tanto introducirse en los sistemas que encuentra, por suerte- está poniendo en evidencia los controles de seguridad de multitud de redes que deberían estar blindadas. Con una simple búsqueda, se puede acceder a miles de cámaras de seguridad, redes de semáforos de nuestras ciudades o sistemas de control remoto instalados en los hogares.
Con los conocimientos suficientes, un pirata podría jugar con el tráfico de una gran capital, subir la calefacción de tu casa o volver loco al guardia de seguridad de un edificio. Como en las películas de acción.
“Un fallo de seguridad masiva”
Las posibilidades de rastreo de este buscador heterodoxo no sólo entran dentro del campo de la simple anécdota. Además de encontrar, por ejemplo, un refrigerador para el vino de un hotel o incluso un crematorio, los investigadores han hallado a través de Shodan dispositivos que, de ser manipulados, podrían poner en peligro vidas humanas. Entre ellos, sistemas de control de plantas nucleares, estaciones de gas e incluso un acelerador de partículas.

Por ejemplo, con una simple búsqueda con las palabras clave “default password” (contraseña por defecto) es posible acceder a multitud de impresoras ‘online’, servidores y sistemas de control remoto que utilizan el clásico “admin” como nombre de usuario y la típica contraseña “1234”. Para conectarse a estos dispositivos bastaría, en muchos casos, con un simple navegador.
Control de puertas de garaje y centrales hidroeléctricas
Calentadores de agua, puertas de garaje, un centro de lavado de coches, una central hidroeléctrica en Francia e incluso el sistema de refrigeración de una pista de hockey en Dinamarca que podría ser descongelada con un simple ‘click’ de ratón. La lista de dispositivos ‘sensibles’ conectados a la red y que no cuentan con sistemas de seguridad adecuados es infinita. Uno de los casos más llamativos es, sin duda, el ejemplo de un sistema de control de tráfico en una ciudad cuyo nombre no ha trascendido, pero que cualquier ‘hacker’ podría manipular. Y ya lo han intentado.
La buena noticia es que las búsquedas en este polémico y atípico buscador están controladas por sus creadores, que han enfocado el producto precisamente hacia los profesionales de la seguridad. Los resultados de cualquier rastreo están limitados a un número de 10, llegando a 50 para un usuario ‘premium’. Además, los administradores de la web piden a los usuarios del sistema información concreta sobre sus búsquedas, por lo que cualquier pirata tendría que dar explicaciones o, al menos, mentir.
Según el director de seguridad de la firma Rapid7, HD Moore, Shodan pone de manifiesto que existe “un fallo de seguridad masiva”. “Se puede acceder a casi la mitad de la internet con una contraseña por defecto”, asegura el especialista en ‘ciberseguridad’.
De todas formas, los ‘hackers’ cuentan con recursos suficientes como para burlar estos controles, y ya han intentado distintos ataques -aunque sin éxito- en los que el objetivo era hacerse con el control del tráfico de una metrópoli e incluso atentar contra un edificio determinado.
[Via ElConfidencial]