El número de drones registrados en Brasil aumentó un 51% de 2018 a 2019, saltando de 18.389 a 27.665 en ese período. Los datos proceden de la Agencia Nacional de Aviación Civil (Anac). El mercado brasileño de vehículos aéreos no tripulados ha crecido una media del 30% al año. Hay más de 720 empresas involucradas en la cadena de producción de este mercado, según una encuesta de Droneshow, feria brasileña de referencia del sector.

En todo el mundo, el crecimiento también es exponencial. Los analistas de Gartner han pronosticado que el aumento de la productividad que aportan los drones impulsará la demanda corporativa de esta tecnología. Con ello, la base de 324.000 dispositivos registrados en 2019 pasará a más de nueve millones en todo el mundo en 2028.

Pero, ¿son los drones una amenaza para la ciberseguridad?

Las empresas adoptan estos dispositivos para ayudar en la agricultura, transportar bolsas de sangre para salvar vidas, apagar incendios e incluso repartir pizza. Pero hay una advertencia que no puede ignorarse. Los drones pueden espiar las redes, capturar datos y bloquear las comunicaciones. Y las organizaciones deben tener un plan para gestionar estos y otros riesgos.

Puede parecer inverosímil que estos pequeños vehículos aéreos supongan tal riesgo. Pero lo cierto es que un dron puede utilizarse en casi cualquier situación. Si alguien quiere hacer una foto, sólo tiene que instalar una cámara en el dron. Si quiere escuchar la conversación de alguien, basta con ponerle un dispositivo de escucha. ¿Falsificar una red WiFi? También es posible. Porque a un dron se le puede instalar casi cualquier tipo de tecnología.

Además, su capacidad para penetrar las defensas terrestres tradicionales y alejar al operador del lugar del ataque lo convierten en un arma en manos de un agente malicioso. Las vallas de alambre de espino y los sistemas de detección de intrusos en el perímetro, como los sensores de infrarrojos, o incluso el análisis de vídeo CCTV, tienen una probabilidad casi nula de detectar un pequeño dron.

Las medidas de seguridad tradicionales protegen contra los intrusos que llegan por agua, por tierra, pero en la mayoría de los entornos comerciales hay poca seguridad contra las amenazas aéreas.

Muchos modelos son casi invisibles desde unos cientos de metros de altura y no se oyen. Por eso, los drones pueden vigilar muy de cerca sin ser detectados. Y combinando un hardware sencillo con un software de pruebas de penetración, un dron puede acceder a dispositivos inalámbricos desprotegidos dentro de los confines de una instalación física segura. Un solo punto vulnerable, como un WAP con un firmware obsoleto, o una impresora con Wi-Fi cuyas funciones se hayan dejado en los valores predeterminados de fábrica, ya son suficientes para proporcionar el punto de partida de un ataque mayor.

Drones, hackers y espionaje

Una revisión de la seguridad de los drones publicada este año identificó múltiples amenazas y vulnerabilidades en los drones. Entre ellas figuran la suplantación del GPS, la infección por malware, la interferencia de datos, la interceptación y la manipulación maliciosa. Por ejemplo, los enlaces que transmiten vídeo y otros datos hacia y desde ciertos tipos de drones no están cifrados, lo que hace que la información sea vulnerable a la captura, modificación e inyección de código malicioso. Muchos drones tienen graves defectos de diseño, y la mayoría están diseñados sin protección de seguridad inalámbrica.

En un incidente ocurrido en diciembre de 2011, el gobierno de Irán afirmó haber bloqueado con éxito los enlaces de comunicaciones de un dron espía estadounidense y reconfigurado sus coordenadas GPS para obligarlo a aterrizar en Irán. Unos años antes, ingenieros del país afirmaron haber sido capaces de interceptar y descargar transmisiones de vídeo en directo de drones estadounidenses.

Aunque algunos han cuestionado la validez de las afirmaciones, la advertencia sigue en pie. Ya en 2013, un investigador de seguridad demostró cómo un adversario podía configurar un dron para encontrar otros en el aire dentro del alcance Wi-Fi, piratear la red inalámbrica, desconectar al propietario original y hacerse con el control del aparato.

En Brasil se han producido numerosos incidentes, como atracos a bancos, en los que el dron ha trazado la ruta utilizada por los agentes de policía, y casos en los que, antes de un robo en una vivienda o un secuestro, los delincuentes han utilizado drones para estudiar la rutina de seguridad de la casa.

Las organizaciones deben protegerse

En general, los drones se construyen sin el concepto de seguridad. Paralelamente, faltan leyes y aplicación de las mismas. Por lo tanto, a la hora de cartografiar el riesgo cibernético, las empresas no pueden ignorar estas amenazas. Si adoptan el uso directo de drones en algún proceso, es esencial evaluar la probabilidad de ataques, realizar un análisis cuidadoso de los datos almacenados por el dispositivo y preparar un plan de respuesta a incidentes para minimizar los posibles impactos si se filtra cierta información.

Una forma de minimizar el riesgo de robo de datos es asegurarse de que el dron utilizado por la empresa nunca se conecta a Wi-Fi u otra red mientras está operativo. Una vez en tierra, aplicar pautas específicas para extraer la información, preferiblemente sin conectar el dron a ninguna red, sino a partir de una conexión directa desde la propia unidad. También es importante no olvidar vaciarlo antes de volver a conectarlo a una red.

En resumen, los datos de un dron son como los de cualquier sistema informático. Y del mismo modo, hay que protegerlos.

Por Thiago Gonçalves