El ciberespionaje, a la cabeza de los ciberdelitos, ha aumentado drásticamente en los últimos años y se multiplicará durante los próximos años. La consultora PwC, en su estudio “Economic impact of trade secrets thefts”, estima que a causa del espionaje industrial, las compañías de todo el mundo pierden cada año hasta 3 billones de euros, el equivalente del 5% del PIB mundial.
Las organizaciones se exponen a diario al ciberespionaje sin ser conscientes de que sus comunicaciones por videoconferencia son muy vulnerables y fácilmente hackeables. Como ejemplo podemos citar el hackeo del sistema de vídeoconferencia (Skype) de la sede de la ONU en Nueva York por parte de la Agencia nacional de seguridad de los EEUU (NSA). Los expertos de la NSA también hackearon los sistemas de videoconferencia de la Agencia Internacional de la Energía Atómica con sede en Viena, los del consulado de la Unión Europea en Nueva York y los de 80 embajadas y consulados de todo el mundo, incluidas las de países aliados, en un proyecto llamado “programa especial de recopilación”.
Centrándonos en el último año, un informe de Watchguard ha revelado que los ataques a CISCO Webex se incrementaron en +7000% durante el último cuatrimestre del 2018. Apple tuvo que desactivar durante unos días la funcionalidad de videollamadas grupales de Facetime. Por otro lado 3 IOT botnets han atacado los sistemas de Poly. Apple tuvo que lanzar una actualización de su software para ordenadores Mac para solucionar la vulnerabilidad en videollamadas de Zoom, que exponía los micros y cámaras de los usuarios de Zoom. Además recientemente ciberdelincuentes han podido espiar videoconferencias de Cisco Webex y Zoom que no estaban protegidas con contraseña. Y como estos muchos otros casos.
En realidad estos ejemplos son sólo la punta del iceberg pues la gran mayoría de ataques a sistemas de videoconferencia no salen a la luz, muchas veces porque las empresas no se enteran de que están siendo espiadas y otras porque no quieren que se sepa que no se han sabido proteger.
La vulnerabilidad de los sistemas de videoconferencia tradicionales H.323/SIP
La falta de cifrado de cliente a cliente en entornos multipunto, apertura de puertos, backdoors, inyección de falsos certificados, acceso a las videoconferencias poco seguro, desactualización del software, etc, son algunas de las vulnerabilidades que aprovechan los ciberdelincuentes para acceder a una videdonferencia.
Los sistemas de videoconferencia tradicionales son un objetivo habitual de ataques informáticos a través de los protocolos SIP/H.323 que requieren la apertura de puertos de red, no sólo en el propio sistema, sino también en su infraestructura de red. Este es un riego importante, ya que cada puerto abierto es un posible punto de acceso.
Además los flujos de audio, vídeo y datos se mezclan y descifran al pasar por el servidor (MCU o unidad de control multipunto) antes de enviarlos de vuelta a los participantes. Un cifrado real de extremo a extremo (de cliente a cliente) además del cifrado de cliente a servidor es crucial para poder prevenir el ciberespionaje.
Muchas aplicaciones de software de robots utilizan los protocolos SIP/H.323 para identificar y atacar sistemas que utilizan estos protocolos. Este riesgo aumenta aún más cuando un dispositivo está en modo de respuesta automática.
En el contexto de una reunión externa, los flujos de comunicación atravesarán muchos equipos (router, proxy…) que no pueden ser controlados. Si la cadena de certificación no se verifica adecuadamente, los flujos pueden descifrarse inyectando un falso certificado raíz o intermedio. La mayoría de los terminales H.323/SIP no realizan esta comprobación.
Si los invitados a la videoconferencia no tienen que autenticarse con usuario y contraseña cifrada e irreversible, puede que aparezca algún “invitado sorpresa”, lo que es habitual en los software en los que se accede únicamente a través de un enlace compartido además de forma pública.
También es importante que el software esté firmado de forma digital para garantizar su autenticidad y sobre todo que sea “secure by design”. Es muy importante que la seguridad se tenga en cuenta desde el diseño y en todas las capas del desarrollo.
Muchas soluciones de videoconferencia no se actualizan automáticamente, así pues si el usuario no dispone de los últimos parches de seguridad, los ciberdelincuentes pueden aprovecharse de ello.
Por otro lado, es importante que cada reunión online se ejecute en un proceso separado en el servidor (para garantizar la estanqueidad de datos de una reunión a otra) y que el proceso asociado a la reunión desaparezca con todos sus datos cuando termine la misma, cosa que tampoco suele ocurrir con las soluciones de videoconferencia tradicionales, donde documentos confidenciales se quedan guardados en el servidor y se puede acceder a ellos desde otra reunión.
Otro tema importante es que algunos países tienen leyes que obligan a los fabricantes de tecnología a estar dotados de backdoors o puertas traseras, o sea, capacidades de escucha para luchar contra el terrorismo. El problema es que cualquier ciberdelincuente podría también aprovechar una puerta trasera para acceder a la videconferencia.
Para terminar, es interesante ver si la solución de videoconferencia está alojada en el servidor interno del cliente o en la nube, pues la polémica Cloud Act o ley de la nube vulnera las garantías del RGPD, ya que obliga a toda empresa de tecnología americana a ceder al gobierno de los EEUU los datos que sus clientes tengan alojados en el servidor en la nube, independientemente de donde se encuentre el mismo. Teniendo en cuenta que más del 90% de soluciones de videoconferencia son americanas y ofrecen sus servicios en la nube, esta ley plantea cierto temor cuando pensamos en la privacidad de nuestros datos.
¿Qué podemos hacer para evitar ser espiados?
Muchas empresas lo que hacen es limitar el uso de la videconferencia a una VPN, sin poder comunicarse libremente con clientes, proveedores o cualquiera que no tenga acceso a esta red privada. Pero esta solución no es la ideal, pues en la era de la movilidad, el usuario debería poder comunicarse de forma segura con quien quiera y desde donde quiera, incluso fuera del perímetro de seguridad de la empresa.
Por ello, para preservar la confidencialidad de las videoconferencias, es importante utilizar una solución segura desde el diseño, que ofrezca un cifrado real en contexto mutipunto, que no esté basada en protocolos H.323/SIP, 100% europea que no esté sometida a leyes gubernamentales que le exijan estar dotada de capacidades de escucha, y a ser posible que haya obtenido una calificación/certificación de un organismo oficial que avale su seguridad como por ejemplo el CCN en España o la ANSSI en Francia.
Tixeo, empresa europea líder en videconferencia segura multipunto, ha tenido en cuenta todos estos elementos y a día de hoy se posiciona como la solución de videoconferencia más segura del mercado, ofreciendo a su vez una alta calidad, interoperabilidad, sencillez de uso y funciones avanzadas de videocolaboración. Además es la primera empresa de videoconferencia que ha recibido el aval de la ANSSI (Agencia nacional de seguridad de los sistemas de información en Francia).
Tixeo participa como expositor estos días en las jornadas 13 ENISE organizadas por el INCIBE en León y mañana, Maribel Poyato, Country Manager para Iberia y Latam, dará una ponencia en el Speaker Corner 3 a las 12h donde tratará de sensibilizar a la audiencia sobre la importancia de usar un software de videoconferencia y videocolaboración que haya tenido en cuenta la seguridad desde su diseño y en todas las capas de su desarrollo. Además hará una demo de las funciones avanzadas de videocolabaoración del software Tixeo, una herramienta cada vez más usada para el trabajo en remoto de equipos deslocalizados, que acaba con la soledad y aislamiento de los teletrabajadores y a su vez garantiza la confidencialidad de las comunicaciones (audio, vídeo y datos) que se intercambian.
