Secuestros 2.0: Los robots ahora pedirán rescates pagados con bitcoins

CIUDAD DE MÉXICO.- Un robot humanoide te recibe al entrar a una tienda. Te pide escanear tu rostro para saber si eres un cliente frecuente y ofrecerte alguna promoción o descuento. Mientras acercas tu rostro al de la máquina para el uso del biométrico, sus ojos cambian de color, su voz es otra, y ahora te contesta que, si no le das bitcoins, mandará tus datos a un delincuente cibernético.

Al llegar el gerente del lugar, el humanoide hace la misma solicitud, y amenaza con mandar toda su información recopilada al secuestrador, mientras en su pantalla comienza a mostrar imágenes pornográficas, para luego decir al gerente y ti que quiten esa cara de estúpidos.

No hay nada que hacer, no se puede apagar el equipo.

Así es como Lucas Apa y César Cerrudo, dos investigadores de Seguridad de la empresa IOActive, demuestran lo factible que es vulnerar la seguridad de estas máquinas, inyectarles ransomware, y controlarlos a distancia.

Esta demostración se realizó a través de un video que IOActive proporcionó, junto a su investigación denominada Hacking Robots Before Skynet (Hackeando robots antes que Skynet), donde se asegura que varios especialistas, hackers y empresas han encontrado defectos en los humanoides, principalmente de SoftBank, para espiar a través de su micrófono y cámara, filtrar datos o manipular al humanoide a causar daños físicos graves.

Los resultados se presentaron en conferencias de seguridad líderes en el mundo a finales de 2017, y debido a ello se eligió a esta demostración como uno de los hacks más geniales de 2017, así como una de las historias más importantes en temas de tecnología el año pasado.

Este ransomware ha sido desarrollado para el robot NAO, pero los investigadores aseguran que también pueden adaptarlo para Pepper, afectando así a dos de los robots más populares de la japonesa Softbank Robotics.

Para los investigadores, lo especialmente preocupante es el caso de Pepper, pues es un modelo que ya está siendo probado en estaciones de tren y tiendas para asistir a los usuarios, y se calcula que ya hay diez mil unidades siendo utilizadas a escala mundial

ALERTAS MUNDIALES

Para Apa y Cerrudo, la importancia de su investigación es demostrar que el firmware de los robots humanoides contiene suficientes vulnerabilidades como para poder hacer todo esto, y que si los investigadores han podido desarrollar este tipo de ataque también podrían hacerlo otras personas con peores intenciones. Por tanto, ahora le toca a la empresa japonesa utilizar esta investigación para proteger sus máquinas.

A diferencia de los ransomware convencionales para computadoras y equipos móviles, el desarrollado por los investigadores para los robots de Softbank es relativamente más sencillo, ya que los atacantes no tienen que molestarse en cifrar ningún contenido. En vez de eso, es suficiente con alcanzar al robot y hacer que deje de trabajar, exigiéndole al empresario que pague si quiere seguir utilizando el humanoide.

Pero Apa y Cerrudo han podido ir más allá, haciendo que el ransomware muestre todo tipo de imágenes o textos en la pantalla del robot. De esta manera, se podría hacer que el humanoide de una tienda empiece a mostrar imágenes obscenas a cualquier cliente, a no ser que el dueño decida pagar el rescate.

A los efectos del propio ataque, hay que añadirle que, según los investigadores, los empresarios tendrían más dificultades a la hora de combatir el ataque.

No sólo es caro pagar unos diez mil dólares por unidad, sino que para hacer un reseteo tienen que enviar los robots al fabricante quedándose sin ellos durante semanas. Por eso muchos prefieren pagar el rescate”.

Apa y Cerrudo aseguran que el año pasado encontraron más de 50 vulnerabilidades en humanoides producidos por varios proveedores de esta tecnología, lo cual es alarmante.

En el estudio, los investigadores también hablan de los problemas que este tipo de ataques pueden suponer de cara al futuro en otro tipo de robots, como por ejemplo los sexuales, donde los atacantes podrían amenazar con revelar datos íntimos de sus víctimas.

En estos casos, la vergüenza o el pudor también podrían hacer que los usuarios prueben suerte con pagar los rescates, en vez de llamar al servicio técnico.

Lo que hay que tener claro es que lo recomendable en todos los casos es no pagar nunca ningún rescate de ransomware, ya que nadie te garantizará que el atacante vaya a devolverte el control de tu robot”, agregan.

*livm