Los hackers de Limited Results lograron obtener contraseñas WiFi al extraer los datos de bombillas inteligentes: no incorporaban ningún sistema de cifrado.
La internet de las cosas llegó para simplificar muchas de las tareas que ocurren en el hogar, y es una tendencia que seguirá creciendo. Sin embargo, al igual que muchos dispositivos electrónicos, también están expuestos a ser vulnerados. En Limited Results han logrado hackear bombillas inteligentes para obtener la contraseña de la red WiFi.
Los hackers informaron que las bombilla afectada pertenece a LIFX, una compañía australiana de iluminación inteligente. Recientemente confirmaron que el fallo de seguridad ya ha sido resuelto por medio de una actualización de firmware.
Cuando adquieres una bombilla es necesario conectarla con otro dispositivo para proporcionarle los datos de acceso a internet. A partir de este punto el foco hará conexión directa con la red. El problema no estaba en los teléfonos ni en la transferencia de información, sino en la deficiente seguridad que existía para guardar el password.
El SSID (nombre de la red) y la clave de cifrado estaban almacenadas en texto simple en la memoria de la bombilla. Solo era necesario transferir esa información a un ordenador y usar un editor hexadecimal para obtener los datos deseados. La práctica no solo dejaba expuesta la contraseña, también los identificadores de las plataformas en la nube donde se conectan.
Lo anterior podía permitir que un atacante tomara control de la bombilla de forma remota, por lo que el riesgo de seguridad era importante. LIFX se puso en contacto con Motherboard para explicar por qué no tomaron medidas previas: "Durante la fase de desarrollo, nuestro equipo comprendió que la función de almacenamiento encriptado podría no haber estado lista para el uso a gran escala".
Concluyen que no realizaron una supervisión adecuada para garantizar que se implementó una solución, misma que ahora ofrecen por medio de una actualización de software. El firmware de los focos inteligentes ya puede cifrar cualquier dato sensible, informó Hipertextual.