INCIBE-CERT hace balance de los ataques a los sistemas industriales de 2018
- Seguridad
En 2018 INCIBE-CERT lanzó un total de 228 avisos sobre vulnerabilidades que afectaron a los sistemas de control industrial, cifra que representa un aumento del 28% con respecto al año anterior. La mayoría de ellas tenían como principal motivación el robo de información.
A lo largo de 2018, INCIBE-CERT ha seguido emitiendo avisos ciberseguridad sobre las vulnerabilidades que afectan a los sistemas de control industrial. Agosto ha sido el mes con más advertencias, 28, seguido de abril (26) y octubre y diciembre, ambos con 24. En las posiciones medias se encuentran abril (21), mayo (19) y marzo (16), mientras que los meses con menos vulnerabilidades fueron enero (14), junio (13), julio (15), septiembre y noviembre, meses en los que se emitieron 14 avisos en cada uno.
El número de vulnerabilidades ha sido mayor si se compara con los 199 avisos de 2017. Las amenazas han sido variopintas, desde la que afectaron a dispositivos del mundo IIoT a otros más tradicionales del mundo industrial. Además, se han publicado avisos relacionados con aplicaciones (de escritorio, web, app para móviles, etc.), elementos de comunicación de este entorno y otros temas.
Por grado de severidad, el 33% de los avisos correspondieron a vulnerabilidades críticas; el 43% fueron de nivel alto; el 22% de nivel medio y el 2% restante de nivel bajo.
Hubo una serie de vulnerabilidades más frecuentes, con un claro predominio de las relacionadas con la obtención de información sensible se mantienen en la primera. Los datos del organismo ponen también de relieve un buen número de avisos producidos por vulnerabilidades que tenían que ver con el uso de hash de contraseña generado con esfuerzo computacional insuficiente y las peticiones directas a recursos web. Este incremento advierte de las vulnerabilidades heredadas del mundo IT a nivel web y de la necesidad de cambiar a algoritmos más robustos para almacenar hashes pertenecientes a contraseñas”, añade.
También ha habido los diferentes problemas a nivel de seguridad relacionados con comunicaciones poco seguras y de revelación de información que permitirá a posibles atacantes elaborar ataques más avanzados.
Al igual que en años anteriores, muchos de los avisos publicados tuvieron que ver con vulnerabilidades explotables de forma remota.
El listado de fabricantes más relacionados con los avisos cambia ligeramente con respecto del año anterior pero, en líneas generales y como puede resultar lógico, los grandes referentes en productos de Sistemas de Control Industrial siguen siendo los más expuestos y, por tanto, sobre los que más avisos se publican.
Según los datos de INCIBE-CERT, los dos primeros puestos se mantienen sin variaciones con respecto a 2017, y lo ocuparon Schneider Electric (22) y Siemens (20). Las siguientes posiciones fueron por número de avisos para ABB (14), Philips (11), Delta Electronics (10), Moxa (9), Rockwell (8) y GE (5). Con cinco avisos cada uno figuran en la lista Yokogawa, Medtronic, Advantech, Eaton, y con cuatro WECON y Omron. En la categoría Otros se integran los 75 avisos restantes.
En este punto, matiza INCIBE-CERT que “cuando se publican más avisos de un fabricante concreto no es sinónimo de que ese fabricante tenga graves problemas de seguridad o que no se tome la misma como algo importante para su negocio. Este dato puede basarse en los esfuerzos realizados en validar la seguridad de sus equipos, en disponer de muchos diferentes o en la venta de muchos de ellos”.
