4 formas de piratear el reconocimiento facial en empresas y m¨®viles

La Autenticaci¨®n Biom¨¦trica o Biometr¨ªa Inform¨¢tica es la aplicaci¨®n de t¨¦cnicas matem¨¢ticas y estad¨ªsticas sobre los rasgos f¨ªsicos o de conducta de un individuo para su verificaci¨®n de la identidad. Esto es lo que est¨¢ detr¨¢s de los llamados sensores biom¨¦tricos que conforman los sistemas de seguridad actuales en dispositivos como smartphones, tablets u ordenadores. En el mundo de la telefon¨ªa m¨®vil, desde que Apple lo empez¨® a implementar en sus iPhone, el lector de huellas se ha convertido en el sistema biom¨¦trico de seguridad m¨¢s utilizado.

Sistemas biom¨¦tricos de seguridad personalizada

De hecho la tecnolog¨ªa ha propiciado m¨¢s, como el esc¨¢ner facial o el lector de iris, todos ellos dise?ados para usar elementos tan personales como la huella de identidad, los rasgos del rostro o el iris del ojo del usuario. Y todos ellos requieren de un paso activo como poner el dedo en una zona o apuntarse con el sensor a la cara o al ojo. Pero incluso en los m¨¢s avanzados se ha demostrado que el bloqueo por huella, iris u rostro pueden ser superados -ya os contamos c¨®mo se puede usar este sistema biom¨¦trico con el m¨®vil incluso llevando una mascarilla puesta.

Escaneo Facial para evitar el contacto

El actual distanciamiento social impuesto por la pandemia global que vivimos, que hay que respetar hasta que exista una vacuna en firme para la COVID-19, est¨¢ llevando a muchas empresas a buscar soluciones de entrada sin contacto, recurriendo a dispositivos que usan el reconocimiento facial o peque?os dispositivos como las tarjetas RFID. Su uso est¨¢ pensado como primera l¨ªnea de defensa para mantener a los intrusos fuera de las oficinas, que pueden ser objeto de muchos tipos de ataques diferentes.

Ampliar

Pero la compa?¨ªa de ciberseguridad Trend Micro, que ha observado este auge en la seguridad biom¨¦trica sin contacto, se ha preguntado si esta medida es tan segura como parece, y ha compilado una serie de maneras en las que un intruso puede enga?ar o piratear los dispositivos de control de acceso de reconocimiento facial:

A trav¨¦s de una Foto

Hay algunos dispositivos de control de acceso que son simplemente susceptibles a las im¨¢genes est¨¢ticas, como la imagen de un tel¨¦fono. Esta es ¡°una debilidad cr¨ªtica debido a la disponibilidad de im¨¢genes personales en los medios sociales¡±. Si un atacante conoce el nombre de un empleado de la compa?¨ªa objetivo, puede ser capaz de encontrar im¨¢genes claras de su rostro en Internet, y desbloquear un sistema o m¨®vil con una simple foto.

Mediante la informaci¨®n del producto en el dispositivo

Muchos dispositivos tienen informaci¨®n importante impresa directamente en ellos, por ejemplo, n¨²meros de serie o designaciones del fabricante. Los hackers pueden utilizar esta informaci¨®n para obtener un mayor acceso a los dispositivos, a trav¨¦s de los bancos de datos, manuales de empresa y dem¨¢s que pueden encontrar por la Web o la Dark Web, lo que posiblemente les permita robar la contrase?a y manipular el control de un router o una puerta de seguridad, ganando el acceso a una empresa o bien de forma online o f¨ªsic.

Uso de puertos y conexiones f¨ªsicas expuestas

Los dispositivos de control de acceso suelen ser tablets que tienen puertos para la transferencia de informaci¨®n o energ¨ªa. Muchos tienen carcasas externas que protegen las tabletas de la manipulaci¨®n, pero hay unos pocos que dejan los puertos expuestos. Si un puerto USB se deja expuesto a un hacker, podr¨ªa acceder a los controles de la puerta.

Tambi¨¦n podr¨ªan obtener un acceso m¨¢s profundo al dispositivo y descargar datos como im¨¢genes y nombres de usuario, o a?adir un nuevo usuario al dispositivo y darle acceso a las instalaciones de la empresa. Suena a pel¨ªcula de esp¨ªas, s¨ª, pero es que estamos ya en ese punto en el que la realidad ha superado lo que ve¨ªamos en el cine.

Escuchando las Comunicaciones

La mayor¨ªa de los dispositivos de control de acceso est¨¢n vinculados y gestionados a trav¨¦s de un servidor y un software personalizado del fabricante. La comunicaci¨®n entre el dispositivo y el servidor se intercepta y manipula f¨¢cilmente si no est¨¢ cifrada o protegida, lo que permite a un agente de la amenaza recoger datos como im¨¢genes y detalles del usuario.

Adem¨¢s, un hacker puede hacerse pasar por el servidor y forzar las actualizaciones de los dispositivos, y "a?adir nuevos usuarios o instalar nuevos administradores para el dispositivo".