Ring demandado por cámaras pirateadas que exponen la privacidad de los niños

Desafortunadamente, tendemos a no pensar en las consecuencias cuando conectamos cada vez más dispositivos a Internet. El año pasado, por ejemplo, Ashley LeMay y Dylan Blakeley compraron un par de cámaras IP fabricadas por Ring y las instalaron en su casa con la intención de usarlas como monitores para bebés. Les gustó la idea de que además de vigilar a sus hijos, también pueden usar el altavoz de la cámara para hablar con sus hijos y, por un tiempo, estuvieron bastante contentos con su elección. Sin embargo, el 4 de diciembre, un cibercriminal no identificado logró piratear y tomar el control de las cámaras de Blakeley. En primer lugar, el hacker tocaba música espeluznante, y más tarde se dirigió a los niños que, las secuencias de vídeo muestra, se llenaron de temor.

Unos días más tarde, Todd Craig y Tania Amador, una pareja de Texas, se encontraron en una situación similar después de que sus dispositivos de vigilancia fueron pirateados, y hubo informes de que otros propietarios de cámaras Ring fueron golpeados por el ataque. Estos son algunos de los incidentes de ciberseguridad más espeluznantes que hemos visto últimamente y, como era de esperar, la reacción violenta contra Ring ha sido significativa.

Sin embargo, podría empeorar, porque la semana pasada, las dos parejas, junto con otros propietarios de cámaras pirateadas de Ring, anunciaron que demandarán al vendedor propiedad de Amazon. ¿Pero Ring es el único responsable del ataque?

Ring dijo que sus sistemas no fueron violados

Como era de esperar, a raíz del ataque, Ring comenzó una investigación y, en aproximadamente una semana, anunció que el asqueroso que habló con niños de 8 años a través de la cámara de seguridad de otra persona nunca logró romper los sistemas de seguridad del vendedor. La publicación del blog dice que tomó el control de la cámara tomando combinaciones de nombre de usuario y contraseña robadas de otro servicio y probándolas en las cuentas de Ring de la víctima. En otras palabras, los propietarios de cámaras Ring fueron golpeados por un ataque de relleno de credenciales.

Esta es una prueba más de lo negligentes que somos ante las posibles consecuencias de conectar una gran cantidad de dispositivos a Internet. Al reutilizar sus contraseñas en más de un servicio en línea, los propietarios de las cámaras pirateadas permitieron el ataque de relleno de credenciales e hicieron la vida de los piratas informáticos aún más fácil al no configurar la autenticación de dos factores. Unas semanas después del ataque, algunas contraseñas de Ring terminaron en un mercado web oscuro, y resultó que muchas de ellas eran terriblemente fáciles de adivinar, lo que dificulta aún más el punto.

En otras palabras, aunque tienen razón en sentirse enojados por la grave invasión de la privacidad con la que tuvieron que lidiar, los propietarios de las cámaras pirateadas también deben asumir su parte de la culpa.

No todo se debe a la reutilización de contraseñas

Puede ver que la actitud de las personas hacia su propia privacidad y seguridad está lejos de ser ideal, pero esto no es realmente una novedad. El problema existe desde hace años, y parece que las personas simplemente no están dispuestas a actuar juntos. Sin embargo, los proveedores de servicios y los proveedores de hardware tienen más de unos pocos métodos para alejar a las personas de cometer los mismos viejos errores. Pueden, por ejemplo, imponer reglas de contraseña que evitarían que las personas protejan sus cuentas con algo simple y fácil de adivinar como "12345678" y "contraseña". Sin embargo, según TechCrunch, aún puede usar estas contraseñas incluso ahora, casi dos meses después de los incidentes de piratería informática de diciembre. El proveedor también fue criticado por usar mensajes SMS como medio para contraseñas únicas de 2FA, que no es la mejor opción, especialmente cuando una cuenta comprometida puede tener implicaciones de privacidad tan serias.

Hablando de eso, hay otras precauciones que podrían haber mantenido a los propietarios de Ring un poco más seguros. Muchos servicios en línea alertan a los usuarios cuando se accede a sus cuentas desde un dispositivo desconocido, por ejemplo, y casi todos imponen un límite en el número de intentos fallidos de inicio de sesión desde una sola IP. Según la demanda, sin embargo, Ring no implementó estas medidas.

Si hay algo que podemos aprender de todo el incidente, es que tanto los proveedores como los usuarios tienen todas las herramientas para evitar ataques de relleno de credenciales simples y evitar problemas graves de privacidad. Desafortunadamente, ni Ring ni sus clientes usaron estas herramientas, y las consecuencias fueron bastante horribles.