Una liga de 'hackers' para blindar la 'smart city' (incluso antes de que exista)

La ciudad ha quedado a oscuras, cunde el pánico, solo se escuchan sirenas y gritos. Hay accidentes de tráfico en cada esquina, han saltado las alarmas por inundación, el metro ha colapsado, miles de personas se aglomeran en las calles desorientadas y sin saber muy bien qué ocurre. Podríamos estar hablando de una ciudad propensa a sufrir desastres naturales, pero, si así fuera, sus autoridades tendrían planes de emergencia para controlar una situación crítica. También habrían hecho simulacros para que los ciudadanos supieran actuar en el momento del caos.

Pero, ¿y si ese caos no lo hubiera provocado un terremoto ni un tsunami? ¿Y si esa situación casi apocalíptica hubiera sido provocada por un ciberataque a gran escala? Aunque pocos sean conscientes del peligro, cada vez es mayor el número de tecnologías que se implementan en nuestras ciudades, casi siempre sin un plan de emergencia asociado que permita actuar ante un ataque o en el caso de que un sistema critico fallara.

Ahora son la excepción, pero en un futuro no muy lejano las ciudades inteligentes serán la norma. Trabajar desde ya en mecanismos de seguridad es una cuestión imprescindible. Defenderlas, blindarlas y hacer que los gobiernos tengan en cuenta la faceta digital de la seguridad es el objetivo de Securing Smart Cities, una iniciativa global y sin ánimo de lucro que pretende hacer frente a los problemas que podrían enfrentar estas ciudades incluso antes de que existan.

En la alianza participan investigadores, organizaciones y compañías punteras en seguridad informática entre las que se encuentran IOActive, Kaspersky Lab, Bastille y Cloud Security Alliance. Ha sido impulsada por el 'hacker' argentino César Cerrudo, después de publicar un estudio ('An Emerging US (and World) Threat: Cities Wide Open to Cyber Attacks') en el que recopila toda una serie de problemas que pueden darse (y ya se han dado) en las ciudades que no invierten lo que deberían en ciberseguridad.

“Me di cuenta de que necesitaba hacer algo para mejorar esto”, explica Cerrudo a HojaDeRouter.com. Según el investigador, muchas de las ciudades que se preparan para convertirse en inteligentes están empezando a invertir en soluciones y en productos de seguridad, pero “no se están enfocando en las causas de los problemas ni en prevenirlos”. A su juicio, producir parches puntuales y no atacar la base del problema es un gran error. Hay que buscar soluciones reales.

Luces fuera

Varias ciudades de todo el mundo han implantado o planean implementar todo tipo de dispositivos relacionados con la energía inteligente, capaces de regular el consumo de las farolas teniendo en cuenta factores como la hora, la cantidad de luz natural o el lugar en que se encuentran. Un cibercriminal que se proponga causar daño a través de estos dispositivos podría alterar la actividad normal del alumbrado público.

Con luces interconectadas unas con otras que se pueden manejar de forma centralizada podrían dejar toda una ciudad sin energía o causar apagones en sectores determinados. “Cuando una ciudad no tiene energía es como cuando una persona se va quedando sin sangre”, afirma Cerrudo. “No puede hacer nada porque todo depende de ello”.

Según la investigación del 'hacker', muchos sistemas de alumbrado público inalámbrico – con problemas evidentes de cifrado - se están empezando a utilizar en ciudades de todo el mundo. En la misma línea, los investigadores españoles Alberto García y Javier Vázquez descubrieron en 2014 que los contadores inteligentes de una importante compañía que opera en España eran vulnerables y cualquiera con los conocimientos adecuados podría controlarlos.

Accidentes masivos

Atacar los sistemas inteligentes que controlan (o controlarán) el tráfico - semáforos, cámaras y todo tipo de pantallas señalizadoras - tampoco es un escenario de ciencia ficción. El propio Cerrudo descubrió que cerca de 200.000 dispositivos relacionados con el tráfico de ciudades como Washington DC, Nueva York, Seattle, San Francisco, Londres, Lyon o Melbourne eran vulnerables, no estaban cifrados y, por tanto, cualquier atacante podría controlarlos a su antojo.

Si esos sistemas dejaran de funcionar o comenzaran a comportarse de forma inusual, “en ciudades con mucha población y tráfico generaría el caos”, afirma el investigador. Los coches no podrían circular debidamente, y se producirían atascos o accidentes, solo con modificar un semáforo. “Un simple problema en una esquina se puede propagar a muchos kilómetros”.

Si además un ciberdelincuente logra vulnerar las cámaras de vigilancia de una ciudad, las autoridades no podrán ver qué está pasando. “Se quedarán ciegas”. Además, Cerrudo nos recuerda que muchas localidades emplean cámaras del mismo fabricante: si una se ve comprometida, lo están todas.

El caos podría desatarse no solo por un ciberataque, sino también por culpa de algún fallo en una infraestructura crítica. En 2012, un error informático en California citó a 1.200 personas a declarar en el mismo juzgado y en la misma mañana. Todos intentaron llegar a tiempo a la cita, a las ocho de la mañana, pero lo único que consiguieron fue crear un gran atasco en las carreteras principales. También en California, en 2013, un problema informático provocó el cierre del metro de San Francisco durante toda una noche, lo que afectó a 19 trenes y dejó a cerca de 1.000 pasajeros atrapados en su interior.

No son situaciones hipotéticas que puedan darse en una futura ciudad inteligente: es algo que ya ha ocurrido con programas informáticos sencillos cuando no se había implementado una correcta estrategia de seguridad.

Aplicaciones locas

La situación podría ser aún más apocalíptica si alguien decidiera atacar un gran número de diferentes tipos de sensores inalámbricos, “que son el punto clave de estas ciudades, pues son los que están enviando continuamente a los sistemas [en tiempo rea] información para que tomen decisiones”. Por ejemplo, los atacantes podrían simular terremotos, derrumbes en puentes o túneles, inundaciones y desatar un pánico generalizado en base a una falsa alarma.

Si una ciudad es propensa a sufrir inundaciones, un cibercriminal podria manipular ciertos sensores encargados de controlarlas (de avisar, prevenir y anticipar) para que envíen información falsa a los sistemas, provocando que expertos y ciudadanos piensen - aunque sea por un momento - que una parte de la ciudad se está inundando.

Ahora que hay aplicaciones para casi todo, las que se encargan de enviar advertencias podrían informar a sus usuarios sobre las medidas deben tomar, haciendo que el impacto sea aún mayor. A través de esas 'apps', en un contexto más cotidiano, se podría hacer llegar al ciudadano el bulo de que su autobús va a retrasarse varias horas, forzando que decida coger el coche para desplazarse de un lugar a otro. Cientos o miles de personas tomarían simultáneamente la misma decisión.

En tiempos de la ciudad inteligente, los atacantes no tendrían que actuar a ciegas. Pueden basarse en datos reales que las autoridades ponen a disposición de desarrolladores y ciudadanos a través de portales públicos. De esta forma, gracias al llamado 'open data', un cibercriminal puede saber exactamente cuándo va a llegar un autobús, en qué momentos el tráfico es más intenso o en qué lugares hay una aglomeración mayor de peatones. Información de acceso libre que puede ser utilizada para planear y coordinar ataques.

Además, algunas de las vulnerabilidades aparecen, según Cerrudo, por la intersección entre tecnología antigua y tecnología nueva. Lo explica con el ejemplo del Burj Khalifa, un rascacielos de Dubai que, a pesar de estar entre los más 'inteligentes' del mundo, utiliza como sistema operativo el viejo Windows XP, que ya no tiene soporte técnico de Microsoft. Su inseguridad hace difícil (casi imposible) proteger debidamente el edificio.

Lo más preocupante desde el punto de vista de los investigadores es que un incidente aislado puede descencadenar todo un efecto dominó. “Un problema pequeño en un susbistema puede tener un efecto impredecible en toda la ciudad”, dice Cerrudo. Hay tres especialmente relevantes - los que regulan el tráfico, los que se encargan de las comunicaciones y los que gestionan el suministro eléctrico - y están interconectados. Por ejemplo, si un tranvía tiene que pasar por una calle, los semáforos deberán ponerse en rojo para permitirle el acceso. Si alguien modificara esos semáforos, el convoy no pararía y podría provocar un accidente.

Si las ciudades no están invirtiendo cómo deberían en seguridad informática, de acuerdo con Cerrudo, es por falta de conocimiento. “Además, no hay un reclamo por parte de la ciudadanía, no lo ven como un problema porque aún no son comunes los ataques a sistemas de la ciudad”. Sin embargo, “el ciberterrorismo podría estar a la vuelta de la esquina”. No pretende hacer que cunda el pánico, pero el investigador señala que también los grupos extremistas reclutan a gente capacitada, con estudios universitarios, y pueden utilizar sus habilidades para conseguir sus objetivos.

“Cuando los terroristas tengan gente capacitada para lanzar ciberataques de gran impacto no dudo que lo vayan a hacer”, sentencia César. Que lo consigan o no dependerá en buena medida de lo preparadas que estén las ciudades para evitar que sus infraestructuras y sistemas informáticos sean atacados.

----------------

Las imágenes utilizadas en este artículo son propiedad, por orden de aparición, de HackNY.org, Alexandre Dulaunoy, Seattleye, Ted Kerwin, Michael Coghlan y Hannaneh710