Desde su implementación masiva, el Bluetooth se convirtió en una de las más populares tecnologías de conexión inalámbrica, permitiendo a las personas realzar sus actividades en un entorno completamente conectado. Actualmente prácticamente cualquier dispositivo está habilitado con tecnología Bluetooth, incluyendo laptops, reproductores de audio, smartphones, smart speakers y más, lo que resulta muy atractivo para los actores de amenazas.
Acorde a especialistas en ciberseguridad, un problema de seguridad recurrente es que los usuarios mantienen el Bluetooth en sus dispositivos activados incluso si no lo usan, cuando lo más recomendable es activarlo solo cuando se necesita. A pesar de lo simple que suena, esta y otras medidas de seguridad son frecuentemente ignoradas u olvidadas por los usuarios, que sin saberlo abren un vector de ataque para el compromiso de dispositivos con Bluetooth.
En esta ocasión, los expertos del curso de hacking ético del Instituto Internacional de Seguridad Cibernética (IICS) describen los métodos de hacking Bluetooth más conocidos, ampliamente utilizados por actores de amenazas en todo el mundo. Antes de continuar, como de costumbre le recordamos que este artículo fue elaborado con fines exclusivamente informativos y no debe ser tomado como un llamado a la acción; IICS no es responsable del mal uso que pueda darse a la información aquí contenida.
Según los investigadores, los hacks y vulnerabilidades Bluetooth más comunes son:
- BlueBorne
- Bluesnarfing
- Bluejacking
- Ataques de spoofing Bluetooth (BIAS)
- BlueBugging
Veamos a detalle en qué consiste cada uno de estos ataques y fallas de seguridad.
BlueBorne
Este es un ataque que puede ser desplegado a través del aire para comprometer dispositivos Bluetooth. A través de la explotación de una vulnerabilidad ampliamente propagada, los actores de amenazas pueden tomar control de una conexión Bluetooth y secuestrar los dispositivos afectados. La vulnerabilidad explotada en este ataque reside en smartphones, laptops e incluso en dispositivos de Internet de las Cosas (IoT), mencionan los especialistas en hacking ético.
Como medida de seguridad, los expertos recomiendan deshabilitar el Bluetooth cuando no esté en uso, además de mantener sus dispositivos siempre actualizados, no utilizar redes WiFi públicas y, de ser posible, usar una solución de red privada virtual (VPN).
Bluesnarfing
Esta es una variante de ataque de red que se presenta cuando los hackers logran conectarse al dispositivo de un usuario y, sin su consentimiento, comienzan a interceptar información confidencial.
Si bien esta es una técnica de ataque altamente intrusiva, el ataque solo funcionará si el usuario objetivo habilita la función Bluetooth en su dispositivo. No obstante, el riesgo es considerable debido a la capacidad de robar información confidencial.
Dadas las características de este ataque, la mejor forma de protegerse es mantener la función Bluetooth desactivada cuando no se utiliza. Almacenar información confidencial en ubicaciones seguras y aplicar contraseñas a estas carpetas en nuestros dispositivos también podría resultar de utilidad, mencionan los expertos en hacking ético.
Bluejacking
Esta variante de ataque ocurre cuando un dispositivo Bluetooth toma control de otro usando técnicas de phishing y contenido malicioso en línea, por lo que tanto atacante como víctima deben estar en ubicaciones cercanas. Si bien este ataque no brinda a los hackers acceso al dispositivo afectado, este ataque permitiría enviar toda clase de anuncios invasivos o spam a los usuarios sin que el usuario sepa de dónde han salido estas publicaciones.
La mejor forma de evitar este ataque, según los expertos en hacking ético, es mantener apagada la función Bluetooth siempre que no se use.
Ataques de Spoofing Bluetooth
En esta variante de ataque, los actores de amenazas buscan comprometer un procedimiento de conexión segura heredado durante el establecimiento inicial de una conexión Bluetooth. La principal ventaja de estos ataques es que el estándar Bluetooth no requiere el uso mutuo del procedimiento de autenticación heredado durante el establecimiento de una conexión segura.
Para prevenir estos ataques, el Grupo de Interés Especial de Bluetooth (SIG) implementó los requisitos de autenticación mutua junto con la verificación del tipo de conexión y así mitigar el riesgo de seguridad.
BlueBigging
Este exploit se desarrolló después de que los hackers se dieran cuenta de lo fácil que era comprometer dispositivos Bluetooth usando Bluejacking y BlueSnarfing. El ataque BlueBugging usa la conexión Bluetooth para crear un backdoor en el teléfono o la computadora expuesta.
Este ataque no solo permite a los hackers acceder a información en los dispositivos afectados, sino que también brindaría acceso a funciones críticas en el sistema.
¿Cómo protegerse contra un ataque?
Estos ataques son muy comunes y representan severos riesgos de seguridad, por lo que es necesario conocer las mejores formas de prevenir esta clase de situaciones. Acorde a los expertos del curso de hacking ético, estos son los mejores métodos para prevenir un ataque Bluetooth:
- Desactivar la función Bluetooth cuando no esté en uso
- No acepte solicitudes de emparejamiento de dispositivos desconocidos
- Mantener sus sistemas siempre actualizados a la última versión disponible
- Habilitar medidas de seguridad adicionales
Estos cinco escenarios descritos anteriormente son solo un fragmento de los múltiples métodos de hacking Bluetooth conocidos, por lo que los usuarios y administradores de sistemas deben tratar de mantener todas las medidas de seguridad posibles a fin de evitar sufrir las consecuencias de estos y otros ataques.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.