Qué encontraron los investigadores en la tienda

La firma noruega de seguridad Mnemonic examinó aplicaciones distribuidas en la plataforma de televisores de Samsung y halló software que crea una red de proxy residencial. Cuando una de esas aplicaciones se ejecuta, un tercero puede encaminar su tráfico de internet a través de la conexión doméstica o de oficina del televisor. El hallazgo más incómodo fue dónde apareció el código: en un título de Pac-Man que la propia Samsung había promocionado en la sección Editor's Choice de sus aplicaciones recomendadas, con código de Bright Data, un proveedor de proxy con sede en Israel. Algunas de las aplicaciones implicadas declaraban instalaciones en cientos de millones de televisores.

La respuesta de Samsung es inusualmente concreta para una declaración de fabricante. La compañía afirmó que ya ha restringido los nuevos registros de aplicaciones que incorporan funciones de proxy en su plataforma de televisores, que está aplicando políticas estrictas para desarrolladores en toda la plataforma que prohíben expresamente los SDK de proxy residencial, y que trabaja para identificar y retirar todas las aplicaciones de su tienda que contengan esos componentes. Tres compromisos, cada uno verificable con el tiempo, que es más de lo que suelen ofrecer estas declaraciones.

Tampoco es la primera plataforma que actúa. LG dijo en julio que suspendería las aplicaciones capaces de convertir el televisor de un cliente en un proxy residencial, tras informaciones que apuntaban a que alrededor del 42 por ciento de las aplicaciones de su plataforma incorporaban esa funcionalidad. Esa cifra merece detenerse. Cuando dos de las mayores plataformas de televisión del mundo están afectadas a esa escala, la conclusión correcta no es que un fabricante fuera descuidado.

Por qué un televisor es el anfitrión ideal

La mecánica: un servicio de proxy residencial vende acceso a direcciones IP que parecen de consumidores corrientes, porque el tráfico procedente de una dirección doméstica supera controles que el tráfico de un centro de datos no supera. Los compradores lo usan para verificación publicitaria y extracción de precios, y también para relleno de credenciales, fraude y elusión de restricciones geográficas. El problema está en la oferta: alguien tiene que aportar las direcciones, y la vía más barata es incrustar un SDK en software gratuito que los usuarios instalan por voluntad propia.

Un televisor conectado se acerca al anfitrión perfecto para ese montaje. Está encendido o en espera casi permanentemente, de modo que está disponible las veinticuatro horas. Sus aplicaciones se actualizan según su propio calendario y su firmware se parchea poco y, pasados unos años, a menudo nada. Tiene conexión rápida y ningún usuario mirando un administrador de tareas. Sobre todo, en la organización nadie lo considera un ordenador, así que no figura en ningún inventario de activos, ningún análisis de vulnerabilidades ni ninguna lista de bajas. Está dentro de la red de confianza porque alguien de mantenimiento lo enchufó a la toma más cercana.

La versión honesta del riesgo: aquí no hay un atacante entrando. Hay un servicio explotado comercialmente que usa una pantalla que usted compró, mediante una aplicación que alguien instaló, haciendo exactamente aquello para lo que se escribió su código. Eso lo hace mucho más duradero que una intrusión, porque no hay brecha que detectar ni nada en la red que parezca anómalo. Es simplemente tráfico saliente de un dispositivo al que se le permite generar tráfico saliente.

La factura llega en forma de su dirección IP

Para un hogar esto trata sobre todo de ancho de banda y consentimiento. Para una empresa trata de atribución, y ese es un problema de otro orden. Cada petición que un extraño encamina por su conexión sale con su dirección IP pública. Esa dirección es suya en todos los sentidos prácticos: está registrada a nombre de su empresa, aparece en los registros de sus socios y es lo que ve un investigador.

Los modos de fallo son poco vistosos y caros. Su dirección acaba en una lista de bloqueo por reputación y su correo legítimo empieza a caer en la carpeta de spam por motivos que nadie logra rastrear. Un proveedor de pagos o el cortafuegos de aplicaciones web de un cliente empieza a limitar o rechazar su tráfico porque esa dirección ha sido vista haciendo relleno de credenciales. El equipo de seguridad de un socio le pide que explique una actividad que no puede explicar, porque no procede de ningún sistema que usted conozca. En el peor caso el tráfico encaminado es delictivo, la dirección lleva a su empresa y es usted quien sostiene la correspondencia.

Nada de esto llega etiquetado como problema de televisores. Llega como incidencia de entregabilidad, como bloqueo inexplicado de un WAF, como pregunta de cumplimiento en una revisión de proveedores. Las empresas suelen pasar semanas persiguiendo la causa equivocada, porque el aparato que genera el tráfico no está en ninguna lista de dispositivos que creen operar. Esa brecha de diagnóstico es el coste real, y por eso el paso de inventario que sigue importa más que la limpieza de cualquier fabricante concreto.

Qué hacer con las pantallas que ya tiene

Parta de la premisa de que la solución del fabricante no llega hasta usted. La actuación de Samsung rige nuevos envíos, política de desarrolladores y retiradas de la tienda. El televisor montado en su recepción, sus salas de reuniones, su exposición, su sala de espera o su comedor de personal ya tiene la aplicación instalada, y que la retirada le alcance depende de que el aparato se conecte y aplique el cambio. Dé por hecho que no lo ha hecho.

Tres pasos, por orden de valor: primero, anote cada pantalla conectada a internet que posea, incluidas las de salas que nadie reserva y las heredadas con un arrendamiento. Segundo, póngalas en una VLAN segregada o una red de invitados con la salida limitada a lo que realmente necesitan, que en una pantalla con una aplicación de cartelería o de streaming es una lista corta. Tercero, compruebe sus rangos de IP pública frente a las bases de datos habituales de abuso y de bloqueo, porque si el tráfico ha estado fluyendo puede que ya figure en ellas y simplemente no haya unido los dos hechos.

Después aplique la regla general que este caso ilustra. Si un dispositivo conectado ejecuta software gratuito, no muestra publicidad y no cobra suscripción, el ingreso viene de algún sitio, y las dos cosas que puede vender son sus datos y su dirección. Es una pregunta que merece hacerse en compras, antes de que la pantalla esté en la pared. Cuando el presupuesto lo permita, una pantalla sin plataforma inteligente gobernada por un reproductor gestionado que usted controla resulta más barata de asegurar y más fácil de razonar, y elimina de forma permanente toda una categoría de este problema.

Leer a continuación: Los precios de la memoria lograron lo que el Note 7 no logró  |  Samsung parte el Fold en dos formas