Cuando un dispositivo necesita un nombre de usuario y/o contraseña para iniciar sesión, generalmente se proporciona una contraseña predeterminada para acceder al dispositivo durante su configuración inicial o después de restablecer los valores predeterminados de fábrica .
Los fabricantes de dichos equipos suelen utilizar una contraseña simple, como admin o contraseña , en todos los equipos que envían, esperando que los usuarios cambien la contraseña durante la configuración . El nombre de usuario y la contraseña predeterminados suelen encontrarse en el manual de instrucciones (común a todos los dispositivos) o en el propio dispositivo. [ cita necesaria ]
Las contraseñas predeterminadas son uno de los principales factores que contribuyen a los compromisos a gran escala de los enrutadores domésticos . [1] Dejar dicha contraseña en dispositivos disponibles para el público es un riesgo de seguridad importante. [2] [3] [4] [5] Hay varias pruebas de concepto (POC), así como gusanos del mundo real que se ejecutan en Internet, que están configurados para buscar sistemas configurados con un nombre de usuario y contraseña predeterminados. Voyager Alpha Force, Zotob y MySpooler son algunos ejemplos de malware POC que escanean Internet en busca de dispositivos específicos e intentan iniciar sesión con las credenciales predeterminadas. [6]
En el mundo real, muchas formas de malware, como Mirai , han aprovechado esta vulnerabilidad. Una vez que los dispositivos se han visto comprometidos al explotar la vulnerabilidad de la credencial predeterminada, ellos mismos pueden usarse para diversos fines dañinos, como llevar a cabo ataques de denegación de servicio distribuido (DDoS). En un incidente particular, un pirata informático pudo obtener acceso y control de una gran cantidad de redes, incluidas las de la Universidad de Maryland, Condado de Baltimore , Imagination, Capital Market Strategies L, aprovechando el hecho de que estaban usando las credenciales predeterminadas para su Conmutador NetGear. [7]
Algunos dispositivos (como los enrutadores inalámbricos ) tendrán nombres de usuario y contraseñas predeterminados únicos impresos en una etiqueta, que es más segura que una contraseña predeterminada común. Sin embargo, algunos proveedores derivarán la contraseña de la dirección MAC del dispositivo utilizando un algoritmo conocido, en cuyo caso los atacantes también pueden reproducir fácilmente la contraseña. [8]