En agosto pasado, se emitió una alerta seria de ciberseguridad cuando se descubrió que 30 cámaras Canon eran susceptibles a vulnerabilidades críticas de Wi-Fi y USB, dejándolas expuestas a infecciones por ransomware, un tipo de malware mediante el cual los ciberatacantes pueden guardar fotos y videos tomados con la cámara para rescatar.
En noviembre, el número de cámaras Canon afectadas se incrementó a 33, y el problema principal, una vulnerabilidad en un protocolo de comunicación estándar, también deja potencialmente vulnerables a las cámaras de otros fabricantes. Sin embargo, Canon ha sido proactivo en el proceso y ahora ha lanzado firmware correctivo para todas sus cámaras afectadas.
Las vulnerabilidades fueron descubiertas por la firma de ciberseguridad Check Point Software Technologies, que alertó a Canon sobre el problema que afecta a sus líneas de cámaras sin espejo, DSLR y compactas. Check Point destacó la Canon EOS 80D, lanzando un video que demuestra lo fácil que es aprovechar los agujeros en el Protocolo de transferencia de imágenes estándar (utilizado para transferir archivos de cámaras a PC) para infectar la cámara y la computadora.
"Cualquier dispositivo 'inteligente', incluidas las cámaras, es susceptible de sufrir ataques", dijo Eyal Itkin, investigador de seguridad de Check Point. “Las cámaras ya no solo se conectan a través de USB, sino a redes WiFi y su entorno circundante. Esto los hace más vulnerables a las amenazas, ya que los atacantes pueden inyectar ransomware tanto en la cámara como en la PC a la que están conectados. Los piratas informáticos podrían retener las preciosas fotos y videos de las personas como rehenes hasta que el usuario pague un rescate para que sean liberados ".
Dado que el protocolo es estándar e integrado en otros modelos de otros fabricantes, también pueden verse afectadas innumerables cámaras que no son de Canon. "Nos enfocamos en Canon como caso de prueba, ya que tienen la mayor participación de mercado", nos dijo el investigador de Check Point, Eyal Itkin.
"Sin embargo, el Protocolo de transferencia de imágenes está estandarizado y es compatible con todas las cámaras digitales, independientemente del proveedor. Si bien la Canon EOS 80D fue la que se probó en esta demostración, creemos que también se pueden encontrar vulnerabilidades de implementación similares en otros proveedores, potencialmente conduciendo a los mismos resultados críticos en cualquier cámara digital ".
Cuando nos comunicamos con los principales fabricantes, solo Olympus respondió y nos dijo: "Actualmente estamos investigando los efectos en nuestros productos. Tan pronto como conozcamos los detalles, tomaremos las medidas necesarias para asegurarnos de que nuestros clientes puedan utilizar nuestros productos de forma segura ".
A continuación se muestra la lista completa de cámaras Canon afectadas por la vulnerabilidad, junto con enlaces a descargas de firmware correctivas cuando estén disponibles. Si posee o utiliza alguno de estos modelos, le recomendamos encarecidamente que actualice su firmware lo antes posible.
Canon EOS-1D X (versión 1.2.1 disponible)
Canon EOS-1D X Mark II (versión 1.1.7 disponible)
Canon EOS-1D C (versión 1.4.2 disponible)
Canon EOS 5D Mark III (versión 1.3.6 disponible)
Canon EOS 5D Mark IV (versión 1.2.1 disponible)
Canon EOS 5DS (versión 1.1.3 disponible)
Canon EOS 5DS R (versión 1.1.3 disponible)
Canon EOS 6D (versión 1.1.9 disponible)
Canon EOS 6D Mark II (versión 1.0.5 disponible)
Canon EOS 7D Mark II (versión 1.1.3 disponible)
Canon EOS 70D (versión 1.1.3 disponible)
Canon EOS 77D / 9000D (la versión 1.0.3 está disponible)
Canon EOS 80D (versión 1.0.3 disponible)
Canon EOS M10 (versión 1.1.1 disponible)
Canon EOS M100 (versión 1.0.1 disponible)
Canon EOS M2 (versión 1.0.4 disponible)
Canon EOS M3 (versión 1.2.1 disponible)
Canon EOS M5 (versión 1.0.2 disponible)
Canon EOS M50 / Kiss M (versión 1.0.3 disponible)
Canon EOS M6 (versión 1.0.1 disponible)
Canon EOS M6 Mark II (versión 1.0.1 disponible)
Canon EOS R (versión 1.6.0 disponible)
Canon EOS RP (versión 1.4.0 disponible)
Canon EOS Rebel SL2 / 200D / Kiss X9 (Versión 1.0.3 disponible)
Canon EOS Rebel SL3 / 250D / Kiss X10 (Versión 1.0.2 disponible)
Canon EOS Rebel T6 / 1300D / Kiss X80 (Versión 1.1.1 disponible)
Canon EOS Rebel T6i / 750D / Kiss X8i (Versión 1.0.1 disponible)
Canon EOS Rebel T6s / 760D / 8000D (Versión 1.0.1 disponible)
Canon EOS Rebel T7 / 2000D / Kiss X90 (Versión 1.0.1 disponible)
Canon EOS Rebel T7i / 800D / Kiss X9i (Versión 1.0.2 disponible)
Canon PowerShot G5 X Mark II (versión 1.1.0 disponible)
Canon PowerShot SX70 HS (versión 1.1.1 disponible)
Canon PowerShot SX740 HS (versión 1.0.2 disponible)
En su aviso de producto inicial, Canon enfatizó que hasta ahora no ha habido casos en los que las vulnerabilidades hayan dado lugar a actividades maliciosas. "En este momento, no ha habido casos confirmados de que estas vulnerabilidades se exploten para causar daños, pero para garantizar que nuestros clientes puedan utilizar nuestros productos de forma segura, nos gustaría informarle de las siguientes soluciones para este problema".
Nuevamente, debemos enfatizar que este no es necesariamente un problema específico de Canon, ya que es el Protocolo de transferencia de imágenes en sí mismo (en lugar de las cámaras) el que exhibe la falla de seguridad. Los fotógrafos deben permanecer atentos y verificar las actualizaciones de seguridad relevantes de los fabricantes de sus equipos.
Los detalles técnicos completos de la investigación se pueden encontrar en el sitio web de Check Point.
Canon EOS R pirateado: Magic Lantern "cargado correctamente"
Revisión de Canon EOS R
Verbatim Fingerprint Secure Hard Drive protege y cifra sus datos