¿Este dispositivo fue diseñado siquiera para su uso en Internet?

Detrás de la pulida fachada de muchos edificios modernos se esconden sistemas obsoletos con vulnerabilidades esperando a ser encontradas.

12 de diciembre de 2025
•
,
3 minutos de lectura

“Una ciudad de los mil días cero» es el título parcial de una charla en Black Hat Europe 2025. Estoy seguro de que entenderás por qué estas pocas palabras despertaron mi interés lo suficiente como para dedicar tiempo a la presentación; especialmente considerando que ya di una charla sobre el tema en 2019. Riesgo en evolución de los edificios inteligentes en Segurinfo en Argentina.

La charla en Black Hat, impartida por Gjoko Krstic de Zero Science Lab, se centró en un proveedor de sistemas de gestión de edificios y en cómo la evolución de uno de sus productos a través de varias adquisiciones lo llevó a convertirse en un software increíblemente vulnerable. En resumen, la charla destacó que hay más de 1.000 edificios en todo el mundo que utilizan el sistema de gestión de edificios (BMS) del proveedor, que se ejecuta en una plataforma de software con una larga lista de vulnerabilidades. Para empeorar las cosas, el software está alojado en direcciones IP de acceso público; Por tanto, es accesible a través de Internet.

En un ejemplo, Gjoko explicó que la causa de una vulnerabilidad se debía a una base de código de firmware de hace 18 años. Debido a múltiples adquisiciones corporativas y a la falta de revisión y diligencia debida durante el proceso de fusión y adquisición con respecto a los aspectos de seguridad del software, las vulnerabilidades parecen haber sido ignoradas en gran medida hasta hace poco.

La divulgación coordinada dio lugar a numerosas correcciones, pero el proceso dio lugar a que se solucionara un problema mientras la causa raíz permanecía intacta, lo que luego expuso vulnerabilidades adicionales. El mensaje aquí es claro: no se limite a aplicar una curita ignorando la causa subyacente. Es importante que las organizaciones realicen auditorías completas del código y publiquen un parche después de un informe de vulnerabilidad para garantizar que se identifique y aborde la causa raíz.

Mientras que el papel blanco La presentación adjunta contiene varios mensajes para desarrolladores de software de sistemas de infraestructura crítica. Uno de ellos, en mi opinión, debe destacarse. En 2017, mi Colegas de ESET publicaron detalles uno de los primeros programas maliciosos conocidos dirigidos a sistemas de control industrial (ICS) y el primero en apuntar específicamente a redes eléctricas. Recuerdo claramente un comentario de la investigación: el protocolo utilizado por el dispositivo ICS en cuestión nunca fue diseñado para conectarse a Internet.

La presentación de Gjoko generó preocupaciones similares: el sistema de gestión de edificios no está diseñado para ser accesible públicamente en Internet y el proveedor recomienda protegerlo detrás de una red privada virtual (VPN).

estoy pidiendo problemas

Si bien las vulnerabilidades del software son, por supuesto, un problema y aplaudo las investigaciones detalladas, hay un problema más amplio: algunos sistemas que están disponibles a través de direcciones IP públicas deberían en realidad estar protegidos por capas adicionales de seguridad, como una VPN.

Un ejemplo de esto son los sistemas de gestión de edificios. La cuestión aquí podría ser la propiedad del edificio más que el control del inquilino: el propietario puede no tener el conocimiento, los recursos o el enfoque de seguridad reacio al riesgo que tiene el inquilino; Al mismo tiempo, es posible que el inquilino no sea consciente del importante riesgo que supone para su empresa la falta de seguridad relacionada con la tecnología de la construcción.

El riesgo potencial es significativo. Por ejemplo, un actor malintencionado que pueda controlar y regular la calefacción en una sala de servidores podría causar interrupciones operativas o, al usar los controles de incendio para desbloquear todas las puertas, permitir la entrada de personas no autorizadas al edificio (esto suena un poco a Misión: Imposible, pero es muy plausible). Todas las organizaciones deben garantizar que los servicios que forman la estructura de sus edificios estén protegidos al mismo nivel que sus propios sistemas corporativos, sean parcheados periódicamente y auditados con una cadencia similar a sus auditorías de ciberseguridad.

Hay otros tipos de sistemas que siguen siendo de acceso público a pesar de razones de peso para que estén detrás de una capa de seguridad diferente. Un ejemplo es Protocolo de escritorio remoto Aún se puede acceder a los servidores (RDP), algunos sin autenticación multifactor, a través de direcciones IP públicas.

En general, si omitir o comprometer una pantalla de inicio de sesión da como resultado un acceso directo a una aplicación o red corporativa, la seguridad debe mejorarse con una VPN o tecnología similar. En algún momento, un ciberdelincuente encuentra una vulnerabilidad, manipula sus credenciales de inicio de sesión o obtiene acceso por fuerza bruta al sistema. Es sólo cuestión de tiempo y se puede evitar fácilmente.