Malicia en el metaverso: combatiendo ciberamenazas conocidas en una nueva frontera

Una versión de este artículo apareció en Infosecurity Magazine. Ha sido actualizado y distribuido aquí.

‍

Hace unos años, hablábamos mucho de cómo la ciberseguridad es el Salvaje Oeste, y de la necesidad desesperada de que más gente se preocupara por ella en general, por no mencionar el riesgo muy real para la vida que podrían suponer muchos ciberataques.

Si avanzamos hasta 2023, es gratificante ver que se ha avanzado, especialmente a nivel gubernamental en muchas naciones influyentes. Para nosotros, sin embargo, el camino hacia un código verdaderamente seguro y un software más protegido no tiene fin. La llegada del favorito digital del momento, el metaverso, añade una vasta superficie de ataque nueva tanto para vulnerabilidades a nivel de código como para la ingeniería social.

Y sencillamente no estamos preparados para la batalla en este nuevo terreno de juego que prospera gracias al humo y los espejos.

La realidad mixta conlleva un riesgo intensificado

A pesar de su estatus actual como la moda del momento, el concepto de metaverso existe desde hace mucho tiempo. La plataforma en línea Second Life existe desde 2003, dando servicio a un nicho fiel con un universo en línea totalmente personalizable donde los avatares de los usuarios interactúan mediante voz y chat de texto, se pueden jugar juegos y empresas como Adidas ofrecen tiendas virtuales oficiales. En el ámbito puramente de los videojuegos, los juegos multijugador masivos en línea (MMO) como Fortnite y World of Warcraft ofrecen mundos expansivos a sus jugadores y dependen cada vez más de las microtransacciones, o lo que es lo mismo, gastar dinero real en artículos virtuales. Solo Fortnite generó 4300 millones de dólares en ingresos por microtransacciones en sus dos primeros años en el mercado.

Está muy claro que el concepto de metaverso no solo ha llegado para quedarse, sino que está a punto de recibir un impulso hacia la corriente principal al estilo de Mark Zuckerberg. Esta es una evolución emocionante de Internet (o al menos de las redes sociales y parte del comercio electrónico) tal y como la conocemos, pero la oportunidad para los ciberataques y las vulnerabilidades dañinas es alucinante.

La superficie de ataque del metaverso es de gran alcance y se extiende mucho más allá del software basado en la web, las API y las pasarelas de pago. Los elementos periféricos de los cascos de realidad virtual y sus accesorios también suponen una amenaza para los datos principales, siendo el software integrado en esos dispositivos una alfombra roja muy cómoda hacia el éxito si presentan vulnerabilidades.

Investigadores de seguridad de la Universidad de Rutgers revelaron “Face-Mic” a principios de este año, el primer estudio de su tipo que examina cómo las funciones de comando de voz en los cascos de realidad virtual podrían dar lugar a graves brechas de privacidad, conocidas como “ataques de escucha”. El trabajo es fascinante y demuestra que los actores de amenazas podrían utilizar potencialmente algunos cascos de realidad virtual (AR/VR) con sensores de movimiento integrados para registrar gestos faciales asociados al habla, lo que podría derivar en el robo de información confidencial comunicada a través de controles activados por voz, incluyendo datos de tarjetas de crédito y contraseñas. La causa raíz del problema parece ser la falta de autenticación del usuario. Dado que el acelerómetro y el giroscopio no requieren ningún permiso para acceder, se podrían registrar movimientos faciales complejos, vibraciones óseas y vibraciones aéreas, y utilizarlos para deducir desde PIN bancarios hasta registros médicos altamente restringidos, dependiendo de los patrones del usuario.

En el metaverso, cada movimiento que haces es un punto de datos, y si es posible acceder a él mediante una seguridad de software laxa, el incentivo para que los atacantes prueben suerte es enorme.

Los contratos inteligentes se enfrentan a adversarios más inteligentes

La metaeconomía exige descentralización, desmaterialización, flexibilidad y, por supuesto, seguridad sin concesiones. En este momento, hay microeconomías de metaverso en crecimiento en varias comunidades de criptomonedas, como Shiba Inu. Para comprar bienes raíces virtuales y otros productos intangibles, se utilizan contratos inteligentes almacenados en la cadena de bloques.

Menciona la “cadena de bloques” (blockchain) y la mayoría de la gente común (con un poco de conocimientos tecnológicos) la entiende como un sistema seguro y anónimo para lo que se considera el futuro de la moneda digital. Sin embargo, hay un pequeño problema con eso: ninguna fortaleza en línea es impenetrable, y esos contratos inteligentes no son una excepción. Son esencialmente pequeños programas y pueden ser hackeados.

Los contratos inteligentes son susceptibles de explotación gracias a algunas vulnerabilidades bastante comunes, a saber: desbordamiento y subdesbordamiento de enteros, ataques de repetición y el error (muy dañino) centrado en la cadena de bloques que conduce a ataques de reentrada, este último puede provocar que un usuario vea drenado su saldo de criptomonedas almacenado. Todos estos ataques son posibles debido a patrones de codificación deficientes que conducen a vulnerabilidades explotables y a fundamentos de diseño inseguros.

Esta tecnología solo se utilizará cada vez más, sin embargo, tal como están las cosas hoy en día, nos costará encontrar suficientes desarrolladores conscientes de la seguridad para garantizar un metaverso seguro y a prueba de fallos. Las organizaciones deben comprender la magnitud de su participación en el metaverso, especialmente si hay datos y divisas en juego... y es difícil imaginar un escenario en el que esto no sea así.

Es un entorno no regulado y (todavía) tú eres el producto

Tal como hemos visto en películas, televisión, Second Life y videojuegos, un entorno de metaverso nos permite ser quien queramos. En un mundo virtual, las posibilidades solo están limitadas por tu imaginación, y esa flexibilidad es un gran atractivo para los usuarios. Sin embargo, la desventaja es que, a la escala planificada de algo como Meta, es simplemente demasiado vasto y descentralizado para vigilarlo de una manera que lo haga hermético desde una perspectiva de seguridad. Las estafas serán inevitables y los delincuentes expertos tendrán aún más con qué trabajar desde una perspectiva de ingeniería social.

Los datos confidenciales de los usuarios son el nuevo oro, y el metaverso tiene el potencial de ser la fuente de datos más rica y completa que hemos visto hasta la fecha, siempre que la adopción proyectada salga según lo planeado. Si bien se puede suponer que las compilaciones de software relacionadas con el metaverso cumplirán con los estándares regulatorios y las medidas de cumplimiento actuales, estos necesitarán actualizaciones que sean adecuadas para respaldar un universo digital en rápida expansión y su economía. Fundamental para esto será que las organizaciones asuman la responsabilidad de la seguridad de sus contribuciones al metaverso, con un nivel de madurez de seguridad interna que garantice que cada persona que trabaje en el software piense e implemente la seguridad en cada paso de su proceso, especialmente el equipo de desarrollo.

Por qué la programación segura será crucial para el éxito del metaverso

Por muy divertido que sea deambular por una dimensión digital sin ley, representado por un avatar que es todo lo que desearías ser en el mundo real, nunca debemos olvidar que hay un ser humano detrás de cada «personaje». Y cuando los datos y las finanzas de personas reales están en juego, esto dista mucho de ser un juego.

En ciberseguridad, somos muy conscientes de que los errores tienen consecuencias que pueden ser verdaderamente devastadoras, y la integridad de cada componente del metaverso no puede ser una ocurrencia tardía si queremos lograr una adopción generalizada y la confianza del consumidor.

Las organizaciones pueden empezar a planificar ahora realizando una evaluación realista de su madurez en seguridad, poniendo énfasis en mejorar las habilidades de seguridad de los desarrolladores que trabajan activamente en el software. Como podemos ver en el estudio de la Universidad de Rutgers, el control de acceso es solo una vulnerabilidad potente que puede provocar una filtración de datos generalizada, y los desarrolladores conscientes de la seguridad estarían mucho mejor preparados para resolver estos problemas a medida que se escribe el código, mucho antes de que se confirme.

Escudarse en la falta de profesionales de ciberseguridad no servirá de nada tras una brecha de datos importante en el metaverso. Tenemos las herramientas necesarias no solo para hacer lo mejor posible, sino para elevar activamente los estándares de seguridad del software de forma definitiva. Es el momento de invertir en la formación de los arquitectos del metaverso y cosechar los beneficios de una reinvención virtual de los productos y servicios tal como los conocemos.