top of page
  • Foto del escritorSilvi Ocon

No, no se utilizaron 3 millones de cepillos de dientes eléctricos en un ataque DDoS

Una historia ampliamente reportada de que 3 millones de cepillos de dientes eléctricos fueron pirateados con malware para llevar a cabo ataques distribuidos de denegación de servicio (DDoS) es probablemente un escenario hipotético en lugar de un ataque real.


La semana pasada, sitio de noticias suizo Zeitung Aargauer publicó una historia que indica que un empleado de la firma de ciberseguridad Fortinet dijo que 3 millones de cepillos de dientes eléctricos habían sido infectados con malware Java para llevar a cabo ataques DDoS contra una compañía suiza.


"El cepillo de dientes eléctrico está programado con Java, y los delincuentes han instalado malware inadvertido, como en otros 3 millones de cepillos de dientes", dice el artículo.


"Un comando es suficiente y los cepillos de dientes controlados a distancia acceden simultáneamente al sitio web de una empresa suiza. El sitio se derrumba y está paralizado durante cuatro horas. Millones de dólares en daños son causados."

La historia es dramática y definitivamente de interés periodístico, si es precisa, y comenzó a barrer otros sitios de noticias de tecnología ayer, con numerosas publicaciones que cubren el presunto ataque sin verificar la historia.


Sin embargo, hay un problema con la historia—no hay registro de que este ataque haya sucedido.


Fortinet, a quien se atribuyó como fuente del artículo, no ha publicado ninguna información sobre este ataque y no ha respondido a las repetidas solicitudes de comentarios de BleepingComputer desde la "botnet de cepillo de dientes" la historia se volvió viral ayer.


Un ataque DDoS es cuando un atacante envía suficientes solicitudes o datos en un sitio web para abrumar sus recursos o ancho de banda para que ya no pueda aceptar solicitudes de visitantes legítimos, hacer que el sitio sea inutilizable.

Este tipo de ataque ha sido cada vez más utilizado por los hacktivistas protestar por las actividades de un país o negocio o por actores de amenazas que úsalos para extorsionar a las empresas.


Para llevar a cabo estos ataques, los enrutadores, servidores y dispositivos IoT son pirateados por forzamiento bruto o uso de contraseñas predeterminadas, o explotación de vulnerabilidades.


Una vez que un dispositivo se ve comprometido, se instala malware para alistarlo como parte de su botnet DDoS y usarlo en ataques. Estos dispositivos se utilizan colectivamente para lanzar ataques poderosos contra un objetivo específico.


Según Estadista, se espera que aproximadamente 17 mil millones de dispositivos IoT estén conectados a Internet para fines de 2024, ofreciendo una huella masiva de dispositivos que podrían ser reclutados en botnets DDoS.


Sin embargo, es dudoso que 3 millones de cepillos de dientes eléctricos estén expuestos a Internet para que puedan infectarse con malware.

En cambio, este fue probablemente un escenario hipotético compartido por Fortinet con el periódico que fue mal entendido o sacado de contexto para crear una historia que es ampliamente disputada por expertos en seguridad.



Además, los cepillos de dientes eléctricos no se conectan directamente a Internet, sino que usan Bluetooth para conectarse a aplicaciones móviles que luego cargan sus datos en plataformas basadas en la web. 


Esto significa que un hack masivo como este solo podría haberse logrado a través de un ataque a la cadena de suministro que empujó el firmware malicioso a los dispositivos.


Sin embargo, no hay registro de que esto suceda. Si lo hiciera, sería una historia mucho más grande que un ataque DDoS.



Si bien la historia de una botnet DDoS con cepillo de dientes que derriba un sitio es divertida (y casi definitivamente falsa), sigue siendo un buen recordatorio de que los actores de amenazas apuntarían a cualquier dispositivo expuesto a Internet.

Esto incluye enrutadores, servidores, controladores lógicos programables (PLC), impresoras y cámaras web.


Por lo tanto, es esencial que cualquier dispositivo expuesto a Internet tenga las últimas actualizaciones de seguridad y contraseñas seguras para evitar que sean reclutados en botnets DDoS.La buena noticia es que probablemente no será su cepillo de dientes, así que siga cepillándose.


Actualización 2/7/24 5:45 PM ET: Como se esperaba, Fortinet le dijo a BleepingComputer que este era un escenario hipotético y no un ataque real.


"Para aclarar, el tema de los cepillos de dientes que se utilizan para los ataques DDoS se presentó durante una entrevista como una ilustración de un tipo dado de ataque, y no se basa en la investigación de Fortinet o FortiGuard Labs. Parece que debido a las traducciones, la narrativa sobre este tema se ha estirado hasta el punto en que los escenarios hipotéticos y reales son borrosos." - Fortinet.

FortiGuard Labs también le ha dicho a BleepingComputer que no han observado botnets IoT dirigidos a cepillos de dientes o dispositivos integrados similares.


Actualización 2/8/24 12:10 PM ET: El autor de la historia original de 3 millones de cepillos de dientes en Aargauer Zeitung ha compartido una declaración con BleepingComputer que dice que Fortinet describió específicamente el ataque DDoS del cepillo de dientes como real.


"Fortinet proporcionó detalles específicos: información sobre cuánto tiempo el ataque derribó el sitio web de una compañía suiza; un orden de magnitud de cuán grande fue el daño. Fortinet no quería revelar qué compañía estaba fuera de consideración para sus clientes. El texto fue enviado a Fortinet para su verificación antes de su publicación. La afirmación de que este era un caso real que realmente sucedió no fue objetada." - Aargauer Zeitung.

Además, CH Media, la empresa matriz de Aargauer Zeitung, dice que no han recibido una declaración de Fortinet solicitando una corrección.



1 visualización0 comentarios
bottom of page