Un atacante podría tener libre acceso a los edificios explotando las vulnerabilidades no atendidas para crear credenciales de acceso fraudulentas y deshabilitar las cerraduras de estos inmuebles
Un nuevo ataque informático, le da a los ciberdelicuentes acceso ilimitado a la base de datos del sistema de credenciales lo que le permite ingresar de forma encubierta a los edificios al crear credenciales fraudulentas y deshabilitar las cerraduras de los edificios, advirtió Tenable, Inc.
De acuerdo con la división Tenable Research, esta vulnerabilidad de día cero se encontró en el sistema de control de acceso PremiSys ™ desarrollado por IDenticard, compañía que tiene miles de clientes en todo el mundo, incluidas las compañías Fortune 500, escuelas de nivel básico y medio, universidades, centros médicos y agencias de gobierno.
LEE: MÉXICO EN EL TOP DE CIBERVÍCTIMAS
La tecnología PremiSys permite a los clientes otorgar y restringir el acceso a puertas, instalaciones de cierre y ver video integrado. Una vez explotada, la falla más severa le permitiría a los ciberdelincuentes acceso privilegiado de administrador a toda la base de datos del sistema de credenciales de acceso a través del punto de servicio PremiSys Windows Communication Foundation (WCF).
Al usar los privilegios de administrador, los atacantes pueden realizar una variedad de acciones, como descargar el contenido completo de la base de datos del sistema, modificar su contenido o eliminar usuarios.
Esto hace que sea de vital importancia para los equipos de seguridad tener una visibilidad completa de dónde están expuestos y en qué medida ", dijo Renaud Deraison, cofundador y director de tecnología de Tenable.
"Desafortunadamente, muchos fabricantes en el nuevo mundo de IoT no siempre comprenden los riesgos de un software sin parches, lo que deja a los consumidores y las empresas vulnerables a un ataque cibernético”, apuntó en un comunicado.
En este caso, las organizaciones que usan PremiSys para el control de acceso corren un gran riesgo ya que los parches no están disponibles. Más allá de este problema en particular, la industria de la seguridad debe tener un diálogo más amplio sobre los sistemas integrados y su capacidad de tener un mantenimiento adecuado a lo largo del tiempo.
La complejidad de la infraestructura digital está aumentando, al igual que su mantenimiento. Necesitamos que los proveedores se comprometan a entregar parches de seguridad de manera oportuna y de manera totalmente automatizada.
“Los días cero de PremiSys son un claro recordatorio de que la adopción masiva de tecnologías emergentes ha desdibujado rápidamente las líneas entre la seguridad física y la digital”, advirtió la firma.
