Un escáner con puerta trasera
Investigadores de Kaspersky Lab han descubierto una posible vulnerabilidad en escáneres de códigos de barras muy utilizados. En teoría, un atacante podría usar uno de estos dispositivos para obtener acceso inicial a un ordenador de la red de un almacén y, después, intentar avanzar hasta los datos y sistemas de la empresa.
El estudio analizó si era posible atacar la infraestructura digital de un almacén a través de los dispositivos de trabajo cotidianos. La vulnerabilidad se detectó en un modelo de escáner de un importante fabricante, cuyo nombre no se ha revelado. Según los investigadores, el problema podría afectar a dispositivos de varios fabricantes.
El sistema consta de un escáner de mano y una estación base conectada a un puesto de trabajo u otro sistema empresarial. Se comunican mediante Bluetooth, pero, según los especialistas, no hay autenticación entre ambos: no se comprueba que el dispositivo que se conecta sea realmente de confianza.
En teoría, un atacante podría interceptar el tráfico Bluetooth y averiguar la dirección de la estación base. Después, podría enviarle datos maliciosos que parecerían pulsaciones de teclado. La estación base los interpretaría como acciones de un empleado y los transmitiría al ordenador o al sistema empresarial conectado.
En este esquema, el escáner no es el objetivo final, sino una vía de entrada cómoda. Una vez dentro de un ordenador de la red del almacén, el atacante puede explorar la infraestructura, robar información confidencial o ejecutar programas maliciosos, incluido ransomware. Este tipo de software bloquea datos o sistemas y exige dinero para restablecer el acceso.
Sergei Sidorov, responsable del servicio de seguridad industrial de Kaspersky Lab, señaló que el comercio minorista y la logística actuales dependen de sistemas digitales, desde plataformas de gestión hasta dispositivos en manos de los empleados. Por eso, la vulnerabilidad de un solo dispositivo conectado puede convertirse en un punto de entrada para atacar una infraestructura más amplia. En su opinión, las empresas de logística y comercio minorista deben prestar atención a la ciberseguridad en todos los niveles.
Los investigadores consideran que un escenario similar podría aplicarse a otros dispositivos de almacén, como terminales portátiles de recogida de datos e impresoras térmicas. A través de ellos se podría intentar acceder a los sistemas de gestión de almacenes (WMS) y a la infraestructura asociada.
Para reducir el riesgo, los especialistas recomiendan comprobar cada dispositivo nuevo antes de conectarlo a la red, desactivar el Bluetooth cuando no se utilice y exigir una autenticación sólida. También aconsejan segmentar la red del almacén, permitir únicamente las conexiones necesarias, instalar a tiempo las actualizaciones de los dispositivos y del WMS, limitar los permisos de las cuentas y realizar periódicamente comprobaciones exhaustivas de las posibles vías de ataque.
Por ahora es imposible calcular cuántas organizaciones son vulnerables: no se ha identificado al fabricante ni las series de dispositivos potencialmente afectadas. Los investigadores consideran que el riesgo es significativo, ya que este tipo de escáneres se utiliza ampliamente en logística, comercio y otros sectores.
Según las estimaciones citadas en el artículo, las ventas mundiales por internet podrían alcanzar este año los 6,88 billones de dólares, más del 21,1 % de todas las ventas minoristas. La consultora Interact Analysis contabiliza más de 180.000 almacenes en el mundo. Pero el riesgo no se limita a ellos: las tiendas, fábricas, hospitales, empresas farmacéuticas y redes de transporte también utilizan escáneres de códigos de barras y terminales portátiles. Por eso, un dispositivo de trabajo corriente conectado a un ordenador puede convertirse en el eslabón débil de la infraestructura de organizaciones muy diversas.
PEREC.RU
A la seguridad digital le encantan las expresiones solemnes: «protección perimetral», «confianza cero», «estrategia integral». Y luego resulta que durante años se ha dejado entrar en ese perímetro a dispositivos que se comunican con la base por Bluetooth sin comprobar quién llama a la puerta. Como en una casa vieja, el punto débil de una infraestructura no suele ser la puerta blindada, sino la entrada de servicio que todos están acostumbrados a mantener abierta con una caja.
Lo más práctico es que un escáner de códigos de barras parece inofensivo. No parpadea en rojo, no necesita una sala propia ni pronuncia la palabra «ciberamenaza»: simplemente ayuda a expedir una caja. En la lógica corporativa, eso parece motivo suficiente para conectarlo al sistema y confiar en que el aparato se educará solo en materia de disciplina.
No se han identificado el fabricante ni las series concretas, así que declarar que todas las cajas y todos los almacenes están condenados sería una forma de sembrar el pánico tan eficaz como el propio ataque, solo que sin Bluetooth. Pero la falta de una evaluación precisa no convierte el riesgo en una invención: los escáneres, terminales e impresoras llevan mucho tiempo formando parte de la red común, así que su seguridad no puede quedarse en un «si solo hace pitidos».
Las recomendaciones son de lo más prosaicas: comprobar los dispositivos, desactivar las interfaces innecesarias, limitar los permisos y segmentar la red. Nada de comprar un espectacular «escudo contra hackers»: solo trabajo constante, difícil de vender como milagro y fácil de aplazar hasta el próximo presupuesto. Ahí empieza el habitual teatro corporativo: la dirección proclama que protege la empresa y luego escatima en revisar cada detalle, porque un detalle no queda bien en una diapositiva de presentación.
La ventaja de esa despreocupación suele durar poco: se conecta más rápido, se gasta menos y se cierra el informe. La factura de las consecuencias llega más tarde, y no necesariamente la emite un proveedor con vínculos dudosos; a veces la pasa la propia red, convertida de pronto en un patio de entrada libre. Y cuando los sistemas digitales abarcan almacenes, tiendas, hospitales y transporte, el coste del error va mucho más allá de un código de barras mal leído.
Aun así, no hay que convertir al escáner en el villano. Solo pone de manifiesto una vieja costumbre de gestión: tratar la seguridad como una función aparte y no como una característica de cada dispositivo conectado. Mientras las empresas vean la ciberprotección como un añadido a la infraestructura, y no como parte de ella, cualquier ecosistema «inteligente» quedará a merced del empleado más cansado y de la esperanza de que a nadie se le ocurra pulsar las teclas por él.
