Qué es el OWASP IoT Top 10 y el ecosistema IoT

Piense en una casa de Heredia o una pyme de Cartago: un router, dos cámaras en la entrada, un timbre con video, bombillos que se encienden desde el celular, una impresora en red y un control de asistencia con huella. Todos son computadoras pequeñas conectadas a la red. A ese conjunto se le llama internet de las cosas, o IoT por sus siglas en inglés (Internet of Things).

Qué es el IoT y qué es el OWASP IoT Top 10

Un dispositivo IoT es un objeto cotidiano con un procesador, software interno y conexión a una red, que recoge datos o actúa sobre el mundo físico: mide la temperatura, abre una cerradura, graba video. Se diferencia de una computadora en que no fue pensado para que usted instale programas ni lo administre: viene "listo para usar", y por eso muchas veces nadie lo revisa.

Muchos de estos equipos se diseñan para ser baratos y fáciles de instalar, no seguros. Por eso OWASP, la fundación sin fines de lucro conocida por su Top 10 de aplicaciones web, publicó el OWASP IoT Top 10, los diez problemas que con más frecuencia hacen inseguro un dispositivo conectado y su ecosistema.

ID	Riesgo
I1	Contraseñas débiles, adivinables o incrustadas en el código
I2	Servicios de red inseguros
I3	Interfaces del ecosistema inseguras
I4	Falta de un mecanismo de actualización seguro
I5	Uso de componentes inseguros o desactualizados
I6	Protección insuficiente de la privacidad
I7	Transferencia y almacenamiento inseguros de datos
I8	Falta de gestión de dispositivos
I9	Configuración por defecto insegura
I10	Falta de endurecimiento físico

Breve historia

Año	Hito
1999	Kevin Ashton usa la expresión Internet of Things en una presentación sobre etiquetas RFID
2001	Nace OWASP; desde 2023 su nombre es Open Worldwide Application Security Project
2003	Primera edición del OWASP Top 10 de aplicaciones web
2014	Primera edición del OWASP IoT Top 10
2016	La botnet Mirai convierte cientos de miles de cámaras en un arma de denegación de servicio
2018	Segunda edición del OWASP IoT Top 10, la vigente
2020	Se publican la norma europea ETSI EN 303 645 y la guía NIST IR 8259 para fabricantes

Al preparar este curso no existía una edición posterior a 2018; revise la página oficial del proyecto por si eso cambia. La lista no es obsoleta: los mismos diez problemas aparecen en equipos que se venden hoy.

Por qué importa en ciberseguridad y en el trabajo

Un dispositivo IoT casi nunca es el objetivo final: es la puerta. Una cámara con la contraseña de fábrica da a un atacante un punto de apoyo desde donde llegar a la laptop de contabilidad. Además, estos equipos graban personas y abren puertas: un fallo afecta la privacidad y la seguridad física.

Lo usan a diario el analista de un SOC que investiga tráfico raro desde una impresora, el administrador que recibe cámaras nuevas de un técnico, quien compra un control de acceso y el desarrollador de firmware. Quien no conoce estos riesgos instala los equipos tal como vienen de fábrica, y ahí empiezan muchos incidentes.

Dónde se usa

Lugar	Ejemplos
Casa	Router, cámaras, timbre con video, bombillos, televisión, asistentes de voz
Pyme y oficina	Impresoras, controles de asistencia, alarmas, aires acondicionados inteligentes
Salud	Bombas de infusión, monitores de pacientes, marcapasos
Industria y servicios	Sensores, medidores eléctricos y de agua, sistemas de control de planta

El ecosistema, no solo el aparato

Un bombillo inteligente no trabaja solo; intervienen cuatro piezas:

1. El dispositivo, con su firmware.
2. La aplicación móvil con la que usted lo configura.
3. La nube del fabricante, con su API y su portal web.
4. La red que une todo: su Wi-Fi, el router y a veces protocolos como Zigbee o Bluetooth.

Un fallo en cualquiera compromete el conjunto. Por eso riesgos como I3 o I7 no hablan del aparato, sino de cómo conversa con el resto.

Conceptos clave

Concepto	Qué significa
Firmware	El software interno grabado en el equipo, que lo hace funcionar
Ecosistema	El conjunto de dispositivo, app, nube y red que trabajan juntos
Credenciales por defecto	Usuario y contraseña que trae el equipo de fábrica, iguales en muchas unidades
Puerto y servicio	Un servicio es un programa que espera conexiones; el puerto es el número por el que las recibe
API	La interfaz por la que la app y el equipo piden datos a la nube del fabricante
TLS	El protocolo que cifra la comunicación; el candado de HTTPS
Fin de vida	La fecha en que el fabricante deja de publicar actualizaciones de un modelo

Cómo leer las sintaxis de este curso

En las fichas de comandos verá formas generales como syft [OPCIONES] FUENTE. Lo que va entre corchetes es opcional, lo que va en MAYÚSCULAS lo reemplaza usted por su valor y ... indica que puede repetirse. Si tiene dudas sobre un comando, pida ayuda al propio sistema: comando --help o man comando en Linux y macOS, y Get-Help Nombre-Comando en PowerShell.