Las actualizaciones en el ecosistema de la ciberseguridad están tardando más tiempo de lo debido en cruzar los océanos para llegar a la industria marítima. Medidas implantadas en otros sectores desde hace años siguen vigentes en ultramar, en barcos que son susceptibles de ser robados, hackeados e incluso hundidos. Buques que tradicionalmente permanecían aislados, ahora, con el Internet of Things y los avances de la tecnología, se mantienen online a través de conexiones VSAT, GSM/LTE y Wifi y poseen sistemas complejos de navegación electrónica.

Descubre Panda Adaptive Defense

Un estudio de Pen Test Partners ha demostrado lo sencillo que es acceder a un buque de la industria naviera. Algunos de los métodos de acceso presentados son realmente preocupantes: terminales de comunicación por satélite expuestos, interfaces de usuario accesibles mediante protocolos inseguros, credenciales predeterminadas que nunca fueron modificadas… y la lista continúa. En esta industria, un ciberataque tendría un gran impacto económico y empresarial ya que el transporte marítimo mueve mercancías a nivel mundial por valor de millones de euros.

Las comunicaciones por satélite: una amenaza en movimiento

Gracias a Shodan, un buscador de aparatos conectados al IoT, los investigadores de Pen Test descubrieron en investigaciones anteriores que las configuraciones de algunos sistemas de antenas satelitales eran fácilmente identificables a través de firmwares antiguos o conexiones sin autenticar. Para acceder a estos sistemas y finalmente hackearlos, se encontraron con credenciales predeterminadas y peligrosas como “admin/1234”.

El ECDIS: marcando una ruta para el desastre

El Sistema de Información y Visualización de la Carta Electrónica (ECDIS por sus siglas en inglés) es el sistema electrónico que permite que estos buques naveguen y que informa al capitán de cualquier peligro a la vista. Esta herramienta, que contiene información gráfica y náutica, es una alternativa a las cartas marítimas antiguas, que no ofrecen datos en tiempo real. Al testar más de 20 ECDIS distintos, los analistas descubrieron que la mayoría funcionaba con sistemas operativos muy antiguos (algunos con Windows NT, de 1993) e integraban interfaces de configuración con niveles bajos de protección.

De esta forma, los investigadores demostraron que los ciberatacantes podrían hacer que el barco colisione accediendo al ECDIS y reconfigurando las bases para modificar las dimensiones del barco. Si el barco aparece con un tamaño distinto, más largo o más ancho de lo que realmente es, los sistemas electrónicos ofrecerían información incorrecta a otras tripulaciones cercanas. También demostraron que los atacantes podrían forzar un choque falsificando la posición del buque que muestra el receptor de GPS. Puede sonar poco convincente, pero en caso de rutas de navegación especialmente congestionadas o lugares de poca visibilidad, una falsificación de este tipo podría ser catastrófica.

Incluso si las vulnerabilidades que muestran los analistas no se aprovechan al extremo, es de gran importancia saber que los agujeros de seguridad de las embarcaciones pueden provocar daños sustanciales tanto en industrias nacionales como en el entorno marítimo, incluyendo puertos, canales y muelles. Los analistas señalaron que, entrando al ECDIS, también se puede obtener acceso a los sistemas que avisan al capitán de un posible escenario de colisión. Controlando estas alarmas de choque, los atacantes podrían bloquear rutas tan importantes como el canal de la Mancha y perjudicar toda la oferta y demanda de todo un país.

Soluciones simples para sistemas complejos

Además de actualizar los sistemas y cerciorarse de que no se expone información sensible en la red, la industria debe mantener las protecciones necesarias para los dispositivos conectados a Internet como hemos visto en el caso de sistemas de comunicación por satélite. Para mantener la privacidad de las conexiones, es necesario aplicar los protocolos de Transport Layer Security (TLS) en estos aparatos, ya que el fallo de uno puede comprometer la seguridad de toda la red.

Los analistas informaron de que la mayoría de los problemas expuestos podrían ser mitigados utilizando, como primer paso, una contraseña robusta para las cuentas de administradores, modificando las claves de acceso predeterminadas. Para evitar problemas graves como sabotajes, destrucciones de barcos o mercancías, colusiones y pérdida de infraestructuras, es imprescindible contar, además, con sistemas de protección para todo el perímetro de la red incluyendo el trasporte de mercancías, para acercar el terreno de la ciberseguridad a aguas internacionales.