Ciberatacantes
intervinieron más de 100 mil cámaras de vigilancia. Un grupo de hackers dice
haber obtenido una valiosa cantidad de datos de cámaras de seguridad
recopilados por la startup de Silicon Valley Verkada Inc., logrando acceder
a las transmisiones en vivo de 150.000 cámaras de vigilancia dentro de
hospitales, compañías, departamentos de Policía, prisiones y escuelas.
Entre las compañías cuyas imágenes fueron expuestas están incluidos el fabricante de automóviles Tesla Inc. y el proveedor de software Cloudflare Inc. Además, los hackers pudieron ver videos desde el interior de clínicas de salud para mujeres, hospitales psiquiátricos y las oficinas de Verkada.
Algunas
de las cámaras, incluso en hospitales, utilizan tecnología de reconocimiento
facial para identificar y categorizar a las personas capturadas en las
imágenes. Los hackers aseguran también tener acceso al archivo completo de
video de todos los clientes de Verkada.
En un video visto por Bloomberg, una cámara de Verkada dentro del hospital
Halifax Health de Florida mostró lo que parecían ser ocho empleados del
hospital abordando a un hombre e inmovilizándolo contra una cama.
Halifax Health aparece en el sitio web público de Verkada en un estudio de caso
titulado: ‘Como un proveedor de atención médica de Florida actualizó e
implementó de forma fácil un sistema de seguridad compatible con HIPAA’.
La
filtración de datos fue llevada a cabo por un colectivo internacional de
hackers y tenía la intención de mostrar la omnipresencia de la videovigilancia y
la facilidad con la que se puede ingresar a estos sistemas, dijo Tillie Kottmann,
una de las hackers que se atribuyó el mérito de haber vulnerado el sistema de
Verkada, con sede en San Mateo, California.
Kottmann, que usa pronombres no binarios, anteriormente se había atribuido el
crédito de acceder al fabricante de chips Intel Corp. y fabricante de
automóviles Nissan Motor Co. Kottmann argumentó que sus razones para piratear
son "mucha curiosidad, luchar por la libertad de información y contra la
propiedad intelectual, una gran dosis de anticapitalismo, una pizca de anarquismo,
y también porque es demasiado divertido para no hacerlo".
"Desactivamos todas las cuentas del administrador interno para evitar cualquier acceso no autorizado", dijo un representante de Verkada en un comunicado. "Nuestro equipo de seguridad interno y la firma de seguridad externa están investigando la escala y el alcance de este potencial problema".
Una
persona con conocimiento en el asunto dijo que el director de seguridad de la
información de Verkada, un equipo interno y una empresa de seguridad externa se
encuentran investigando el incidente. La compañía está trabajando para
notificar a los clientes y establecer una línea de soporte para responder
preguntas, dijo la persona, que solicitó el anonimato por tratarse de una
investigación en curso.
Representantes de Tesla, Cloudflare y otras empresas identificadas en esta
historia no respondieron de inmediato a las solicitudes de comentarios.
Representantes de las cárceles, hospitales y escuelas mencionados en este
artículo se negaron a comentar o no respondieron de inmediato a las solicitudes
de comentarios.
En
un video al que tuvo acceso Bloomberg muestra a oficiales en una estación de
policía en Stoughton, Massachusetts, interrogando a un hombre esposado. Los
hackers aseguran haber obtenido también acceso a las cámaras de seguridad de
la escuela primaria Sandy Hook en Newtown, Connecticut, donde en 2012, un
hombre armado mató a más de 20 personas.
Las 330 cámaras de seguridad dentro de la cárcel del condado de Madison en
Huntsville, Alabama también estuvieron disponibles para los Hackers. Verkada
ofrece una función llamada "Análisis de personas", que permite a un
cliente "buscar y filtrar imágenes en función de muchos atributos
diferentes, incluidos los rasgos de género, el color de la ropa e incluso el
rostro de una persona", según una publicación del blog de Verkada.
Las imágenes vistas por Bloomberg muestran que las cámaras dentro de la cárcel,
algunas de las cuales están ocultas dentro de conductos de ventilación,
termostatos y desfibriladores, rastrean a los reclusos y al personal
penitenciario utilizando la tecnología de reconocimiento facial.
Los
hackers indicaron que pudieron acceder a transmisiones en vivo y videos
archivados, en algunos casos incluso al audio de entrevistas entre oficiales
de policía y sospechosos de delitos, todo en resolución de alta definición
conocida como 4K.
Kottmann dijo que su grupo obtuvo acceso de "administrador" a las
cámaras, lo que significa que podían usar las cámaras para ejecutar su propio
código. Ese acceso podría, en algunos casos, permitirles entrar a la red
corporativa de los clientes de Verkada, o bien, secuestrar las cámaras y
usarlas como plataforma para lanzar futuros ataques.
“Nuestro equipo de seguridad interno y la firma de seguridad externa están investigando la escala y el alcance de este potencial problema”
Obtener
este grado de acceso a la cámara no requirió un procedimiento adicional, ya que
se trataba de una función incorporada, dijo Kottmann. Los métodos de los
hackers no fueron sofisticados: obtuvieron acceso a Verkada a través de una
cuenta de "súper administrador", lo que les permitió mirar las
cámaras de todos sus clientes.
Kottmann señaló que el nombre del usuario y contraseña para una cuenta de
administrador los encontraron expuestos públicamente en internet. Después de
que Bloomberg se puso en contacto con Verkada, los hackers perdieron el
acceso a las fuentes de video y los archivos, dijo Kottmann.
Verkada, fundada en 2016, vende cámaras de seguridad a las que los clientes
pueden acceder y administrar a través de internet. En enero de 2020, recaudó
US$80 millones en fondos de capital de riesgo, valorando a la compañía en
US$1.600 millones.
Entre
los inversionistas se encontraba Sequoia Capital, una de las firmas más
antiguas de Silicon Valley. Kottmann dijo que durante la operación lograron
descargar la lista completa de miles de clientes de Verkada, así como el
balance general de la empresa, que enumera los activos y pasivos.
Como empresa de capital cerrado, Verkada no publica sus estados financieros.
Kottman dijo que los hackers incluso observaron a través de la cámara de un
empleado de Verkada que había instalado una de las cámaras dentro de su casa.
Uno de los clips guardados muestra al empleado completando un rompecabezas con
su familia. "Si usted tiene una compañía que ha comprado esta red de
cámaras y las está colocando en lugares sensibles, es posible que no tenga la
expectativa de que, además de ser vigilado por su equipo de seguridad, haya
algún administrador en la empresa de cámaras que también este observando
", dijo Eva Galperin, directora de ciberseguridad de la Electronic
Frontier Foundation (EFF, por sus siglas en ingles), a quien Bloomberg informó
sobre la infiltración.
Un grupo de hackers dice
haber obtenido una valiosa cantidad de datos de cámaras de seguridad
recopilados por la startup de Silicon Valley Verkada Inc., logrando acceder
a las transmisiones en vivo de 150.000 cámaras de vigilancia dentro de
hospitales, compañías, departamentos de Policía, prisiones y escuelas.
Entre las compañías cuyas imágenes fueron expuestas están incluidos el
fabricante de automóviles Tesla Inc. y el proveedor de software Cloudflare Inc.
Además, los hackers pudieron ver videos desde el interior de clínicas de salud
para mujeres, hospitales psiquiátricos y las oficinas de Verkada.
Algunas de las cámaras, incluso en hospitales, utilizan tecnología de reconocimiento facial para identificar y categorizar a las personas capturadas en las imágenes. Los hackers aseguran también tener acceso al archivo completo de video de todos los clientes de Verkada.
En un video visto por Bloomberg, una cámara de Verkada dentro del hospital Halifax Health de Florida mostró lo que parecían ser ocho empleados del hospital abordando a un hombre e inmovilizándolo contra una cama.
Halifax Health aparece en el sitio web público de Verkada en un estudio de caso titulado: ‘Como un proveedor de atención médica de Florida actualizó e implementó de forma fácil un sistema de seguridad compatible con HIPAA’.
La filtración de datos fue llevada a cabo por un colectivo internacional de hackers y tenía la intención de mostrar la omnipresencia de la videovigilancia y la facilidad con la que se puede ingresar a estos sistemas, dijo Tillie Kottmann, una de las hackers que se atribuyó el mérito de haber vulnerado el sistema de Verkada, con sede en San Mateo, California.
Kottmann, que usa pronombres no binarios, anteriormente se había atribuido el
crédito de acceder al fabricante de chips Intel Corp. y fabricante de
automóviles Nissan Motor Co. Kottmann argumentó que sus razones para piratear
son "mucha curiosidad, luchar por la libertad de información y contra la
propiedad intelectual, una gran dosis de anticapitalismo, una pizca de
anarquismo, y también porque es demasiado divertido para no hacerlo".
"Desactivamos todas las cuentas del administrador interno para evitar
cualquier acceso no autorizado", dijo un representante de Verkada en
un comunicado. "Nuestro equipo de seguridad interno y la firma de
seguridad externa están investigando la escala y el alcance de este potencial
problema".
La filtración de datos fue llevada a cabo por un colectivo internacional de hackers y tenía la intención de mostrar la omnipresencia de la videovigilancia.
Una persona con conocimiento en el asunto dijo que el director de seguridad de la información de Verkada, un equipo interno y una empresa de seguridad externa se encuentran investigando el incidente. La compañía está trabajando para notificar a los clientes y establecer una línea de soporte para responder preguntas, dijo la persona, que solicitó el anonimato por tratarse de una investigación en curso.
Representantes de Tesla, Cloudflare y otras empresas identificadas en esta
historia no respondieron de inmediato a las solicitudes de comentarios.
Representantes de las cárceles, hospitales y escuelas mencionados en este
artículo se negaron a comentar o no respondieron de inmediato a las solicitudes
de comentarios.
En un video al que tuvo acceso Bloomberg muestra a oficiales en una estación de policía en Stoughton, Massachusetts, interrogando a un hombre esposado. Los hackers aseguran haber obtenido también acceso a las cámaras de seguridad de la escuela primaria Sandy Hook en Newtown, Connecticut, donde en 2012, un hombre armado mató a más de 20 personas.
Las 330 cámaras de seguridad dentro de la cárcel del condado de Madison en Huntsville, Alabama también estuvieron disponibles para los Hackers. Verkada ofrece una función llamada "Análisis de personas", que permite a un cliente "buscar y filtrar imágenes en función de muchos atributos diferentes, incluidos los rasgos de género, el color de la ropa e incluso el rostro de una persona", según una publicación del blog de Verkada.
Las imágenes vistas por Bloomberg muestran que las cámaras dentro de la cárcel, algunas de las cuales están ocultas dentro de conductos de ventilación, termostatos y desfibriladores, rastrean a los reclusos y al personal penitenciario utilizando la tecnología de reconocimiento facial.
Los hackers indicaron que pudieron acceder a transmisiones en vivo y videos archivados, en algunos casos incluso al audio de entrevistas entre oficiales de policía y sospechosos de delitos, todo en resolución de alta definición conocida como 4K.
Kottmann dijo que su grupo obtuvo acceso de "administrador" a las cámaras, lo que significa que podían usar las cámaras para ejecutar su propio código. Ese acceso podría, en algunos casos, permitirles entrar a la red corporativa de los clientes de Verkada, o bien, secuestrar las cámaras y usarlas como plataforma para lanzar futuros ataques.
Nuestro equipo de seguridad interno y la firma de seguridad externa están investigando la escala y el alcance de este potencial problema
Obtener
este grado de acceso a la cámara no requirió un procedimiento adicional, ya que
se trataba de una función incorporada, dijo Kottmann. Los métodos de los
hackers no fueron sofisticados: obtuvieron acceso a Verkada a través de una
cuenta de "súper administrador", lo que les permitió mirar las
cámaras de todos sus clientes.
Kottmann señaló que el nombre del usuario y contraseña para una cuenta de
administrador los encontraron expuestos públicamente en internet. Después de
que Bloomberg se puso en contacto con Verkada, los hackers perdieron el
acceso a las fuentes de video y los archivos, dijo Kottmann.
Verkada, fundada en 2016, vende cámaras de seguridad a las que los clientes
pueden acceder y administrar a través de internet. En enero de 2020, recaudó
US$80 millones en fondos de capital de riesgo, valorando a la compañía en
US$1.600 millones.
Entre los inversionistas se encontraba Sequoia Capital, una de las firmas más
antiguas de Silicon Valley. Kottmann dijo que durante la operación lograron
descargar la lista completa de miles de clientes de Verkada, así como el
balance general de la empresa, que enumera los activos y pasivos.
Como empresa de capital cerrado, Verkada no publica sus estados financieros.
Kottman dijo que los hackers incluso observaron a través de la cámara de un
empleado de Verkada que había instalado una de las cámaras dentro de su casa.
Uno de los clips guardados muestra al empleado completando un rompecabezas con
su familia. "Si usted tiene una compañía que ha comprado esta red de
cámaras y las está colocando en lugares sensibles, es posible que no tenga la
expectativa de que, además de ser vigilado por su equipo de seguridad, haya
algún administrador en la empresa de cámaras que también este observando
", dijo Eva Galperin, directora de ciberseguridad de la Electronic Frontier
Foundation (EFF, por sus siglas en ingles), a quien Bloomberg informó sobre la
infiltración.
Las cámaras de seguridad y la tecnología de reconocimiento facial se
utilizan a menudo dentro de oficinas corporativas y fabricas para proteger la
información patentada y protegerse contra una amenaza interna, dijo
Galperin de la EFF.
"Hay muchas razones legitimas para tener vigilancia dentro de una
compañía, agregó Galperin. "La parte más importante es tener el
consentimiento informado de sus empleados. Por lo general, esto se hace dentro
del manual del empleado, que casi nadie lee".
Fuente: El
Tiempo - Tecnosfera
No hay comentarios:
Publicar un comentario