Consejos para comprar juguetes conectados sin arriesgar la privacidad de tu hijo

"¡Ahora, puedes charlar con Barbie! Con la tecnología de reconocimiento de voz y conexión WiFi, tu muñeca Hello Barbie TM puede interactuar de forma única con cada niño y mantener conversaciones, jugar, compartir historias e incluso explicar chistes". Así se presenta Hello Barbie, la muñeca de la discordia que ha puesto en alerta a las organizaciones de padres y defensores de la privacidad de Estados Unidos.

Hello Barbie es la avanzadilla de miles de dispositivos inteligentes conectados a internet que prometen mejorar nuestras vidas: la llamada internet de las cosas. Presentada como la primera muñeca interactiva de la historia, Hello Barbie cuesta 80 dólares en Estados Unidos. No se vende aún en las jugueterías españolas pero puede encontrarse a través de importadores en tiendas como Amazon, al exagerado precio de 260 euros.

Esta Barbie contiene un pequeño ordenador que se conecta a la red wifi de nuestra casa y, básicamente, escucha lo que le dice el niño o la niña y manda por internet las palabras escuchadas. Pero no las manda al fabricante sinó a un tercero, ToyTalk, que analiza lo que ha dicho el menor para fabricar y devolver una respuesta acorde. Asociaciones de padres y defensores de la privacidad no están nada de acuerdo en que una startup de San Francisco pueda saber qué está diciendo un niño en su sala de juegos. Y los recientes análisis independientes realizados a la muñeca lo han complicado aún más.

Según desvelaba la semana pasada el investigador Matt Jakubowski, es posible descubrir el identificador con el que la Hello Barbie se conecta a la red wifi doméstica, así como su cuenta de usuario, el micrófono que usa la muñeca y los ficheros de audio donde se guardan las conversaciones que tiene con los niños. Con estos datos, una persona malintencionada podría acceder a la red wifi y hacer decir a la muñeca lo que quisiera.

Los casos de Vtech y Hello Kitty

Pocos días antes de presentarse esta investigación, otro incidente hizo sonar las alarmas respecto a qué juguetes estamos poniendo en manos de nuestros hijos: al famoso fabricante de juguetes electrónicos VTech le robaron datos de más de 6 millones de niños, de los cuales 140.000 serían españoles. Nombres, fechas de cumpleaños, lugar de residencia, nombres de los padres e incluso fotos y grabaciones de los menores, realizadas con los juguetes y guardadas sin protección en los servidores de la compañía fueron desvelados.

Con esta información, un pederasta tendrían un buen punto de partida para iniciar una campaña de acoso. Un caso parecido al de Vtech sucedía el pasado lunes, cuando SanrioTown.com, la comunidad online de fans de Hello Kitty, admitía que le habían robado información de más de 3 millones de sus usuarios, la mayoría adolescentes y niños. Los datos robados serían el nombre completo, fecha de cumpleaños, país de origen, dirección de correo electrónico y preguntas y respuestas para recuperar contraseñas olvidadas.

Nombres, fechas de cumpleaños, lugar de residencia e incluso fotos de los menores guardadas sin protección en los servidores de la compañía fueron desvelados

¿Pero cómo estas empresas permiten que información tan delicada acabe en manos de delincuentes? La realidad es más profunda que la pregunta: está pasando lo mismo casi diariamente en empresas de todo tipo, que no protegen correctamente sus bases de datos. El gran problema es que algunas empiezan además a fabricar cosas inteligentes, sin cambiar esta mentalidad que no da importancia a la seguridad ni la privacidad de sus clientes. Dispositivos que, como la Hello Barbie, están pensados sólo para ganar dinero.

El peligro del internet de las cosas

Y este es el drama de la internet de las cosas: cada vez más aparatos conectados a internet sin cumplir las mínimas normas de seguridad, lo que provoca que el dispositivo pueda ser asaltado desde la red y manipulado para robar datos o para que haga lo que quiera el atacante. Es el problema de las famosas neveras conectadas a internet, que aún nos son lejanas, pero mucho menos los smartwatches, televisores inteligentes, automóviles, cafeteras, pulseras deportivas, dispositivos clínicos, contadores de la luz inteligentes...

La noche del 7 de septiembre, la ansiedad se adueñó de miles de padres en Estados Unidos, usuarios del baby monitor marca Nest Camp. La empresa Nest, propiedad de Google, fabrica dispositivos inteligentes como detectores de humo, termostatos y cámaras de seguridad caseras, además de los monitores para niños. Aquella noche, los monitores dejaron de funcionar justo a las 9, cuando los bebés están durmiendo, porque cayó la nube de la empresa por circunstancias desconocidas. Y así estuvieron, a oscuras, durante casi una angustiante hora.

"La tendencia es que el número de dispositivos del internet de las cosas se amplíe en un futuro cercano. Algunos estudios ya hablan de que en 2022 una familia típica tendrá alrededor de 500 dispositivos conectados a internet en su casa", explica Josep Albors, director del Laboratorio de Investigación de ESET España. Ahora mismo tenemos ya bastantes en el mercado, asegura Albors, "desde dispositivos tecnológicos como alarmas, videoconsolas o reproductores de Blu-ray/DVD, pasando por electrodomésticos como aspiradoras o bombillas y terminando incluso con drones y rifles de precisión".

Cosas a tener en cuenta

Quien quiera hacer o recibir este tipo de regalos deberá tener en cuenta los riesgos que conllevan y que mayoritariamente son, según Albors, "accesos no autorizados (remotos o no) que podrían alterar su funcionamiento, permitir el robo de la información personal del usuario o incluso acceder a nuestra red doméstica". Un estudio de Symantec ha desvelado también esta inseguridad galopante: ningún dispositivo analizado autenticaba sus comunicaciones con el servidor central, no había actualizaciones de seguridad, muchos aparatos ni siquiera permitían que su dueño les cambiase la contraseña que traían de fábrica y la mayoría tenían graves fallos en sus interfaces web.

"El problema viene cuando los fabricantes no aplican medidas básicas de seguridad a sus dispositivos para impedir estos accesos no autorizados e incluso no permiten que los usuarios los actualicen, bien porque no sacan parches de seguridad o bien porque los consideran dispositivos obsoletos, aunque apenas tengan unos meses desde su salida a la venta", asegura Albors. Esto, unido a "la despreocupación de muchos usuarios que tan solo quieren que el dispositivo funcione sin preocuparse si es seguro o no", afirma el investigador, pone el camino muy fácil a los delincuentes.

¿Qué ataques podríamos sufrir? Albors enumera: "Espiarnos a través de las webcams que muchos dispositivos incorporan, robarnos información privada almacenada en los mismos, o incluso hacer que no funcionen adecuadamente, llegando en casos extremos a poner en riesgo nuestras vidas". Un terreno altamente preocupante son los juguetes: "La tendencia es a seguir conectándolos a la red y Hello Barbie ha sido solo el punto de partida. Esperemos que los problemas detectados en esa muñeca sirvan para que los fabricantes pongan más esmero", explica el valenciano.

Albors nos da algunos consejos para nuestros regalos inteligentes de 2015, así como para las compras futuras en el boyante mercado de la internet de las cosas: "De la misma forma que nos fijamos en las características, precio y si es adecuado para ciertas edades, deberíamos revisar si las opciones que incluye cierto dispositivo pueden poner en peligro nuestra privacidad. A día de hoy existen multitud de investigadores y periodistas que analizan y prueban estos dispositivos para que no nos llevemos sorpresas".

Igual que dedicamos tiempo a buscar dónde está más barato un dispositivo, dediquemos tiempo a buscar noticias que hablen de posibles fallos en el mismo

Por tanto, dice el investigador, "de la misma forma que dedicamos tiempo a buscar dónde está más barato tal o cual dispositivo, dediquemos un poco de tiempo a buscar noticias que hablen de posibles fallos en el mismo. Eso y algo tan básico como leernos el manual de instrucciones para cambiar la configuración que viene de serie si nos parece poco segura puede, junto con las actualizaciones en caso de haberlas, ayudarnos a mejorar la seguridad de estos dispositivos". No es un esfuerzo baladí: recientemente el Departamento de Interior del gobierno de Estados Unidos pedía reuniones al más alto nivel con fabricantes de la internet de las cosas para pactar urgentemente estándares de seguridad... de una seguridad que ahora mismo brilla por su ausencia.