La serie de 19 vulnerabilidades expone cientos de millones de dispositivos IoT y sistemas industriales

Ante la serie de 19 vulnerabilidades zero-day o de día cero, denominadas ‘Ripple20’, y alojadas en una biblioteca de software desarrollada por la empresa Treck. Inc., la compañía de ciberseguridad vasca S21sec alerta sobre las cuatro de más alto impacto y aconseja la constante actualización de los dispositivos electrónicos para evitar efectos críticos en sectores estratégicos.

Esta serie de vulnerabilidades, dependiendo de su criticidad, se clasifican según el sistema de puntaje CVSS versión 3, el cual evalúa su posible impacto, siendo 0 la puntuación más baja y 10 la más alta. Según la lista proporcionada por la empresa de ciberseguridad israelí que las ha detectado, JSOF, ya son 21 compañías las que se han visto afectadas, tales como HP o Schneider Electric/APC, entre otras.

En este caso, cuatro de las vulnerabilidades ‘Ripple20’ se han detectado con una puntuación de entre 9 y 10, lo que, de acuerdo con el departamento de Inteligencia de S21sec, supone amenazas de alto nivel, especialmente para compañías del sector energético, logístico, de telecomunicaciones, aeroespacial y organismos gubernamentales, debido al uso malicioso que pueden hacer grupos de ciberdelincuentes.

“Estas amenazas pueden variar dependiendo del objetivo de los ciberdelincuentes, pudiendo llevar a cabo acciones de ciberespionaje industrial, distribución de ‘malware’ ejecución de código malicioso, exfiltración de información y ataques de denegación de servicio”, explica Igor Unanue, Chief Technology Officer de S21sec. “Esto podría otorgar acceso a equipos informáticos de alto valor, siendo un riesgo por la exposición de información confidencial y personal”, continúa Unanue.

El sector sanitario, el comercio minorista y la manufacturación, entre los más afectados

De acuerdo con una investigación de la empresa de seguridad de dispositivos médicos CyberMDX, la industria sanitaria ha sido la más perjudicada por estas vulnerabilidades, teniendo más de 52 mil dispositivos con posible afectación; en segundo lugar, el comercio minorista y, en tercero, el sector de la manufactura.

“Sin embargo, dichos datos de afectación pueden variar, ya que las características de las vulnerabilidades pueden experimentar cambios, así como se pueden implementar soluciones para mitigarlas”, destaca el CTO de S21sec.

La responsabilidad de ser hackeado

“La responsabilidad suele recaer en el mantenimiento de los productos o servicios que Treck, Inc., en este caso, provee a las empresas que los han contratado. Es decir, se tienen que garantizar los parches y actualizaciones pertinentes para mitigar los riesgos que puedan derivar de dichas vulnerabilidades”, asegura Unanue.

Según el departamento de Inteligencia de S21sec, más allá de mantener actualizados los productos y servicios de los equipos informáticos e implementar soluciones de seguridad a todos los niveles, es importante concienciar a los empleados en medidas de ciberseguridad, amenazas y soluciones.

“Además, es necesario fijar una estrategia de operatividad más amplia; es decir, basar las labores empresariales en el uso de diversas tecnologías o ‘software’ con el objetivo de que, si se produce un incidente, se pueda reducir la interrupción de las labores empresariales y la incertidumbre”, concluye Unanue.