Governo japonês vai hackear dispositivos IoT de seus cidadãos para “torná-los seguros”

O governo japonês aprovou uma emenda de lei na sexta-feira que permitirá que funcionários do governo invadam dispositivos de Internet das pessoas como parte de uma pesquisa sem precedentes sobre dispositivos IoT inseguros.

A pesquisa será realizada por funcionários do Instituto Nacional de Tecnologia da Informação e Comunicações (NTIC) sob a supervisão do Ministério de Assuntos Internos e Comunicações.

Os funcionários da NICT poderão usar senhas e dicionários de senhas padrão para tentar fazer logon em dispositivos de IoT dos consumidores japoneses.

O plano é compilar uma lista de dispositivos inseguros que usem senhas padrão e fáceis de adivinhar e passá-la para as autoridades e os provedores de serviços de Internet relevantes, para que possam tomar medidas para alertar os consumidores e proteger os dispositivos.

A pesquisa está agendada para começar no próximo mês, quando autoridades planejam testar a segurança de senha de mais de 200 milhões de dispositivos IoT, começando com roteadores e câmeras web. Dispositivos nas casas das pessoas e em redes corporativas serão testados da mesma forma.

De acordo com um relatório do Ministério de Assuntos Internos e Comunicações , os ataques direcionados a dispositivos de IoT foram responsáveis ​​por dois terços de todos os ataques cibernéticos em 2016.

O governo japonês embarcou neste plano em preparação para os Jogos Olímpicos de Tóquio 2020. O governo tem medo de que hackers abusem dos dispositivos da IoT para lançar ataques contra a infraestrutura de TI dos Jogos.

Seu medo é justificado. Hackers de Estado-nação russos implantaram o malware Olympic Destroyer antes da cerimônia de abertura dos Jogos Olímpicos de Inverno de Pyeongchang, realizada na Coreia do Sul no início de 2018, como pagamento após o Comitê Olímpico Internacional proibir centenas de atletas russos de competir.

Os hackers russos também construíram uma botnet de roteadores domésticos e dispositivos IoT – chamado VPNFilter – que o serviço de inteligência ucraniano disse estar planejando usar para impedir a transmissão da final da Liga dos Campeões de 2018, que seria realizada em Kiev. , Ucrânia naquele ano.

A decisão do governo japonês de acessar os dispositivos de IoT dos usuários provocou indignação no Japão. Muitos argumentaram que essa é uma etapa desnecessária, pois os mesmos resultados poderiam ser alcançados enviando apenas um alerta de segurança para todos os usuários, já que não há garantia de que os usuários que estavam usando senhas padrão ou fáceis de adivinhar mudariam suas senhas. depois de ser notificado em particular.

No entanto, o plano do governo tem seus méritos técnicos. Muitos dos bots de rotinas e IoT de hoje estão sendo criados por hackers que assumem dispositivos com senhas padrão ou fáceis de adivinhar.

Os hackers também podem construir botnets com a ajuda de explorações e vulnerabilidades no firmware do roteador, mas a maneira mais fácil de montar uma botnet é coletando aquelas que os usuários não conseguiram proteger com senhas personalizadas.

Proteger esses dispositivos geralmente é difícil, pois alguns expõem as portas Telnet ou SSH on-line sem o conhecimento dos usuários e para os quais poucos usuários sabem como alterar as senhas. Além disso, outros dispositivos também vêm com contas secretas de backdoor que, em alguns casos, não podem ser removidas sem uma atualização de firmware.

Estaremos monitorando essa pesquisa nos próximos meses e planejando relatar seu sucesso ou fracasso.