La cajita del living que te puede salir muy cara: comprás un TV box y te meten un hacker en la Wi-Fi

El otro día mi viejo enchufó una cajita nueva detrás del televisor y me dijo, orgulloso, que ahora tenía internet en la tele por 35 mil pesos. A los dos minutos me pidió que le revisara el Wi-Fi porque le iba lento. Yo pensé: otra vez el vecino chupando señal. Grande fue mi sorpresa cuando me enteré de que el problema no estaba en el Wi-Fi, sino en la propia cajita. Resulta que ese aparatito barato, de esos que se consiguen en cualquier feria o en Mercado Libre, puede llegar a tu casa con malware de fábrica. Sí: con un hacker adentro, listo para usar tu conexión y mirar lo que escribís en el teclado.

Qué encontraron los investigadores

Anthony De La Paz y Patricio Moraga Abarca, dos especialistas en ciberseguridad, compraron un TV box en una feria de Santiago de Chile y lo sometieron a todo tipo de análisis. Lo que descubrieron lo presentaron en la Ekoparty 22, una de las conferencias de seguridad informática más conocidas de la región, realizada en Buenos Aires.

Al conectar el equipo y revisar qué hablaba con qué en la red, detectaron que el dispositivo se comunicaba solito con un servidor de comando y control, lo que en la jerga se llama C2. Para que se entienda: es como si tu télé, en vez de hablar solo con Netflix, llamara por teléfono a un número sospechoso cada vez que la encendés. Ese servidor ya estaba catalogado como malicioso. Cuando abrieron la cajita, sacaron una copia de la memoria y encontraron el código responsable escondido en el firmware, que vendría a ser el software base, el que está antes del sistema operativo visible. Por eso reiniciar el aparato o borrar las apps no servía de nada: el problema estaba más abajo, como una gotera debajo del piso.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca

Dos riesgos concretos, no teoría

El primero es de conexión. La cajita comprometida puede funcionar como proxy: el proxy es un equipo que hace pasar el tráfico de otros por tu conexión a internet, de modo que tu IP queda asociada a actividades que no hiciste vos. Para que se entienda en criollo: alguien comete una estafa desde la otra punta del mundo, y la IP que queda registrada es la de tu casa. El segundo riesgo es más personal. Si el sistema está bajo control de un atacante, todo lo que escribas dentro del dispositivo queda expuesto: contraseñas, datos de tarjetas, lo que sea.

• Comprar equipos solo en canales oficiales o tiendas con respaldo, evitando ferias y ofertas demasiado buenas.
• Verificar el fabricante y el modelo antes de adquirir el producto: si no tiene página web ni soporte, mala señal.
• Mantener actualizado el sistema del dispositivo, aunque en estos equipos eso suele ser complicado.
• Usar la cajita conectada a una red Wi-Fi separada de la principal, como la red de invitados que traen muchos routers.
• No ingresar datos sensibles, contraseñas ni tarjetas, en dispositivos de origen dudoso.
• Si el equipo ya estaba en uso, restaurarlo a fábrica no alcanza: conviene directamente desenchufarlo y reemplazarlo.

Reconozco que durante años también recomendé estos aparatitos para zafar de la TV smart carísima. Estaba equivocado, y no me cuesta admitirlo. La diferencia de precio entre un TV box de 27 mil pesos y un equipo de marca reconocido se explica, justamente, en cosas como esta: en quién puso el software adentro y en qué te garantiza que ese software no está trabajando a tus espaldas.

El consejo final

Antes de enchufar cualquier dispositivo nuevo a la red de tu casa, tomate cinco minutos para buscar el modelo en internet y leer qué dice la gente. Si nadie lo conoce, si el fabricante no tiene ni un mail de contacto, si la página web parece hecha en una tarde: no lo metas en tu Wi-Fi. Y si ya lo metiste, no esperes a que algo raro pase: desenchufalo, mirá tu extracto del banco y, por las dudas, cambiá las contraseñas más importantes. La tecnología barata a veces sale carísima, y esta vez no es una exageración.