El primer hackeo del metaverso y otras amenazas que vendrán en el 2023

El nuevo año que comenzará en pocas semanas traerá nuevas amenazas que apenas se han empezado a vislumbrar en 2022, como el ‘hackeo’ del metaverso o la proliferación de vulnerabilidades mediante herramientas de codificación de inteligencia artificial (IA).

Las aseguradoras han sufrido grandes pérdidas desde que empezaron a ofrecer opciones de cobertura frente a la extorsión cibernética, ya que su estrategia inicial de pagar rescates disparó sus costes. Como consecuencia, han empezado a repercutir esos mayores costes en sus clientes y han aumentado significativamente los requisitos técnicos de seguridad que les exigen antes de asegurarlos.

Pero dado que determinados sectores son objetivos más atractivos para los ciberdelincuentes, y las aseguradoras son conscientes de ello, como es el caso de Sanidad, Infraestructuras Críticas, Finanzas y Proveedores de Servicios Gestionados (MSP), los expertos de WatchGuard creen que les obligarán a cumplir normativas más estrictas y a soportar costes más elevados.

En sus previsiones para 2023, también apuntan que algunas aseguradoras incluso adoptarán “listas de proveedores de seguridad aprobados”, suscribiendo únicamente pólizas para empresas que utilicen soluciones de seguridad de proveedores concretos.

Primer hackeo del Metaverso

Grandes empresas como Meta (Facebook) y ByteDance, la empresa matriz de TikTok, están invirtiendo miles de millones en la creación de mundos virtuales conectados que creen que se convertirán en parte integrante de la sociedad en un futuro no muy lejano. Pero el metaverso ofrece un gran potencial para la explotación y la ingeniería social.

Los expertos alertan de los datos que se pueden extraer ya del propio visor de realidad virtual, lleno de cámaras, sensores infrarrojos y de profundidad, con capacidad para rastrear el movimiento de la cabeza, las manos, los dedos, la cara y los ojos; para cartografiar la habitación, los muebles e incluso una casa en 3D mientras el usuario se mueve, y que también rastree cosas como el teclado de su portátil.

“Ya divulgamos muchos de nuestros datos privados en Internet a través del ratón y el teclado. Ahora imagine un software que mantenga un registro histórico de todos estos datos rastreados”. Un ‘hacker’ malintencionado podría “crear un deepfake virtual de su avatar online que también pueda moverse y actuar como usted”, advierten desde WatchGuard.

El metaverso se entiende como el siguiente capítulo de Internet, pero ya hoy es un objetivo. Los cibercriminales aprovecharán una vulnerabilidad en las nuevas funciones de productividad empresarial, como el escritorio remoto, utilizadas en la última generación de auriculares VR/MR destinados a casos de uso empresarial, como Meta Quest Pro.

Vehículos con IA confundidas

Varias empresas tecnológicas como Cruise, Baidu y Waymo han empezado a probar robotaxis, automóviles autónomos que ofrecen una experiencia similar a Uber o Lyft, pero sin conductor humano, en muchas ciudades de todo el mundo, entre ellas San Francisco (Estados Unidos) y Pekín (China).

Se trata de un servicio de vehículos autónomo nuevo, que todavía está en fase de pruebas, pero los expertos subrayan que las investigaciones de seguridad ya han demostrado que los coches conectados a Internet pueden ser ‘hackeados’.

Y aunque no esperan ver en 2023 ‘hackeos’ que provoquen accidentes graves, si sospechan que algunos investigadores de seguridad o hackers de sombrero gris podrían perpetrar una broma técnica de robotaxi que provoque que uno de estos vehículos se quede atascado sin saber qué hacer, lo que podría entorpecer o detener el tráfico.

Vulnerabilidades en la IA

El aprendizaje automático y la inteligencia artificial han evolucionado significativamente para ofrecer nuevas capacidades prácticas. Además de generar arte nuevo a partir de instrucciones escritas, las herramientas basadas en estas tecnologías ahora pueden escribir código para desarrolladores.

Copilot de GitHub es una de esas herramientas de codificación automatizada. GitHub entrena a Copilot utilizando el ‘big data’ de miles de millones de líneas de código que se encuentran en sus repositorios. Sin embargo, como ocurre con cualquier algoritmo, la calidad de sus resultados depende de la calidad de los datos de aprendizaje que se le introducen y de las instrucciones que se le dan.

Los estudios ya han demostrado que hasta el 40 por ciento del código generado por Copilot incluye vulnerabilidades de seguridad explotables, y este porcentaje aumenta cuando el propio código del desarrollador contiene vulnerabilidades. Y de cara a 2023 se espera el lanzamiento de una aplicación que incluya una vulnerabilidad crítica introducida por el código automatizado.

*Con información de Europa Press.