La IA canvia els ciberatacs: de les grans neveres de supermercats fins a la smart TV de casa
Primer va ser França i després, fins a 7 països europeus on el patró es va anar repetint. Neveres i congeladors de desenes de supermercats van ser atacats. Tots estaven connectats a un sistema de control remot, al qual van aconseguir entrar els ciberdelinqüents. Un cop a dins, van manipular les temperatures, i es van fer malbé quilos i quilos d'aliments.
Tots els aparells eren de la mateixa companyia, que feia temps ja havia avisat els clients que deixava d'actualitzar el software d'aquests models. De moment, això no ha passat aquí.
Roger Gaspa, secretari general de l'organització que agrupa els supermercats i la gran distribució a Catalunya, ho explica d'aquesta manera: "L'externalització del control remot és escassa i habitualment és amb sistemes propis de les empreses. Hi ha una diversificació més gran en el que són les xarxes de comunicació.
La logística, previnguda
L'atac a les neveres és només la punta de l'iceberg, segurament la més visible per als clients d'un supermercat. Però també és clau la logística. I en aquest cas, a molts supermercats i empreses es controla remotament.
El sector ja treballa per garantir-se un cert marge de seguretat, com explica Arnau Peris, director general SlimStock Ibèria: "Es pot donar el cas evidentment com qualsevol programa informàtic que pot ser saquejat, però nosaltres el que tenim son programes de contingència".
Això significa que el sistema no només incorpora en els seus càlculs el que cal reposar, retornar o comprar en el mateix dia, "sinó que també ho fem per les tres properes setmanes i en cas d'un atac, l'empresa ja sap que hauria de reposar avui, demà, o més endavant".
La IA abarateix els atacs
La seguretat s'extrema quan el perill d'un atac és evident, però queda en segon pla si l'amenaça és improbable. Ara la IA està canviant les regles del joc.
D'entrada, perquè és una eina "barata", segons argumenta Aleix Valls, fundador de WeArtificial: "La IA està fent, dues coses: una, ajudar els ciberdelinqüents a fer atacs més sofisticats, i l'altra és que ho està abaratint." Per tant, explica Valls, el potencial ciberdelinqüent pot ampliar el ventall dels seus objectius: "Quan el ciberatac és més barat passen dues coses: que puc atacar més, i que em puc plantejar d'atacar coses on abans el potencial premi o el potencial benefici d'aquell ciberatac que abans era baix, ara m'ho puc plantejar."
Hi haurà un interès per entrar a la caldera de casa teva? Fins ara la resposta era no. Per què? Per l'esforç que hi havia per intentar entrar allà i el poc premi. Amb la IA s'ha democratitzat aquest potencial atac? Sí. Hi ha interès a fer-ho? Doncs, depèn.
I això vol dir que, més enllà dels grans objectius industrials, cadenes de distribució o supermercats, poden estar en el punt de mira els aparells domèstics, quotidians, connectats a internet, com el robot aspirador, la caldera o el televisor.
"La "smart TV" és un dels més atractius, perquè s'emporten les claus d'accés a Netflix, que l'usuari utilitza com a password a tot arreu", explica Valls. I si aquesta clau dona porta d'entrada als sistemes de l'empresa on treballa l'usuari, "doncs ja poden enviar correus als teus companys perquè facin transferències o, el que correspongui, suplantant la identitat".
Anthropic i els microones domèstics
El repte en ciberseguretat és gegantí. Anthropic, una de les empreses capdavanteres, alerta que els models actuals ja comencen a reunir les capacitats necessàries perquè un virus informàtic es reprodueixi de forma autònoma i es propagui a gran escala a través de dispositius domèstics d'ús quotidià.
En un article publicat el passat octubre, Anthropic explica que, d'acord amb els seus experiments, "en uns mesos", els seus models podrien ser capaços de replicar-se en aparells de l'anomenada "internet de les coses", des de forns microones fins aparells de televisió.
L'empresa nord-americana assegurava que detectava senyals que els seus agents de codi "comencen a ser capaços de completar els passos individuals per replicar-se", fent serveis aparells domèstics, desconnectats de grans centres de dades.
La imatge d'aquell ciberdelinqüent és una persona sola en una habitació amb un portàtil, és una imatge una mica de pel·lícula, romàntica. Estem pensant en organitzacions que necessiten de recursos, per què? Perquè igual que els ciberdelinqüents han guanyat en capacitat d'atac, també les empreses estan guanyant en capacitat de protecció
La connexió vulnerable
En aquest sentit, Aleix Valls recorda que "qualsevol cosa que estigui connectada, pel fet d'estar-ho, pot ser vulnerable".
La manera d'evitar-ho escapa, en moltes ocasions, de l'usuari individual: "La forma de poder evitar aquestes vulnerabilitats sempre és que els productes connectats estiguin sempre vigilats i molt ben actualitzats. És a dir, que el fabricant o l'empresa que ens ha venut aquell servei de connectivitat tingui un servei de seguretat i que estigui vigilant i estant atent de quines noves vulnerabilitats o potencials atacs".
Quin nivell de seguretat volem a l'aspiradora connectada?
"Què hem de fer aquí? Jo penso sempre comprar productes on d'un fabricant que és robust, que ven molts productes", explica Valls, perquè ja farà el possible per evitar el dany en la seva reputació comercial per "l'entrada d'un ciberdelinqüent que pogués activar, imaginem, de cop i volta aspiradores de mig món. Per tant, segur que tenen un esforç molt important perquè això sigui segur."
Valls conclou que, "al final, és sempre un balanç entre el potencial atac i la comoditat de poder tenir una experiència connectada còmoda i àgil que permeti treure-li valor. Com més protecció poso, l'experiència es veu perjudicada; cada vegada haurem de fer els processos més feixucs, amb més dobles validacions". I pronostica que les assegurances contra ciberatacs passaran a ser també una eina per a particulars, no només grans empreses.