El más fuerte es el más vulnerable

El más fuerte es el más débil.

El autor de ciencia ficción Arthur C. Clarke lo intuyó en su relato Superioridad, publicadoen plena guerra fría. Un soldado prisionero explica por qué su bando perdió. “Perdimos por una sola cosa: por la ciencia inferior de nuestros enemigos. Lo repito: por la ciencia inferior de los enemigos”.

Medio siglo después, otro Clarke, Richard, el primer responsable de ciberseguridad en una Administración de Estados Unidos, buscaba objetivos para contribuir, con los inmensos medios de los que su país disponía en Internet, a la campaña militar para derrotar a los talibanes y ocupar Afganistán. No los encontró.

La debilidad de Afganistán —la precariedad de las redes allí— dejaba pocos flancos para atacar. Y, al contrario, la fortaleza de Estados Unidos en este ámbito —la dependencia de las economía y las infraestructura de Internet— hace que este país sea vulnerable, seguramente más que ningún otro. Ninguno tiene tantos objetivos expuestos.

La lista de víctimas en 2014 es larga. Están los casos más conocidos: el del pirateo en noviembre de Sony, atribuido a Corea del Norte; el ataque, en verano, contra el banco JP Morgan, que comprometió información de millones de clientes; u otros, anteriores, a las cadenas de comercios Target y Home Depot.

Un elemento en común destaca en las informaciones que semana a semana se suceden sobre los ciberataques: la mayoría apuntan a empresas privadas. La guerra más visible es comercial. La militar es menos aparente. El ciber-Pearl Harbor que Leon Panetta, entonces secretario de Defensa, pronosticó en 2012 no se ha materializado.

El escenario al que Panetta se refería lo había descrito dos años antes el citado Richard Clarke en Cyber War, uno los primeros libros superventas en alertar sobre la amenaza de la ciberguerra. Clarke no era cualquiera. Poco antes del 11-S, cuando ejercía de zar antiterrorista en la Administración Bush, avisó de la inminencia de un atentado. Nadie le hizo caso.

En Cyber War Clarke se imaginaba un ciberataque contra Estados Unidos que, en 15 minutos, sería peor que una bomba nuclear. En este escenario imaginario, las redes eléctricas e Internet se paralizan, los trenes descarrilan, los aviones “literalmente caen del cielo como resultado de colisiones en el aire por todo el país”, y la avería de los satélites deja incomunicadas a las unidades de las fuerzas armadas.

La proliferación de escenarios apocalípticos —y no en boca de figuras marginales sino de responsables políticos de alto nivel— abrió el debate sobre lo que algunos críticos han llamado la inflación de la amenaza. Según este argumento, la amenaza de la ciberguerra debía sustituir en el imaginario norteamericano a la amenaza terrorista que a su vez habría sustituido a la amenaza soviética. Todas era bien reales, pero susceptibles de ser manipuladas.

De la misma manera que, durante la guerra fría, emergió lo que el presidente Dwight Eisenhower denunció en 1961 como “un complejo militar industrial” con una influencia “injustificada” en la sociedad norteamericana, ahora emerge un complejo ciberindustrial. El espionaje de la NSA es un ejemplo. Pero también la proliferación en el área de Washington de empresas de ciberseguridad, algunas de ellas, fabricantes tradicionales de armamento que han ampliado el negocio.

“Aunque el riesgo de un ciberataque que nos debilite es real, la percepción de este riesgo es mucho mayor de lo que es este riesgo en sí. Nadie ha muerto jamás por un ciberataque”, escribió en 2013, en un artículo en la revista Foreign Affairs, Martin Libicki, especialista de la Rand Corporation, el laboratorio de ideas cercano al Pentágono. “De hecho, un gran ciberataque del tipo que los altos funcionarios de inteligencia temen no ha ocurrido en los 21 años desde que Internet se volvió accesible al público”.

Jaime Blasco, director de los laboratorios de seguridad Alien Vault en Silicon Valley, niega que el sector privado fomente los escenarios más apocalípticos par hacer negocio. “Esto es como cuando aparecieron las primeras empresas antivirus y la gente decía que creaban los virus para vender antivirus”, dice. “No necesitamos meter miedo a la gente cuando la realidad es mucho peor de lo que la gente sabe”.

Blasco cita el problema de los datos privados de los ciudadanos. “Seguramente”, dice, “nos sorprenderíamos de la cantidad de sitios donde podríamos encontrar nuestros datos personales. Y no datos personales como tales, sino números de tarjeta de crédito, de cuentas bancarias. Seguramente tu número de cuenta y de tarjeta de crédito esté como mínimo en alguna base de datos de la que tú no tienes conocimiento y, pueden ser usados con fines maliciosos”.

Otra cosa distinta, según Blasco, es la posibilidad de una ciberguerra en un sentido estricto. Es decir, no un ataque contra intereses comerciales de una empresa o el hurto de información valiosa sino un enfrentamiento entre países por medio de Internet, al estilo del ciber-Pearl Harbor del que alertaba el secretario Panetta.

“La ciberguerra complementa la guerra tradicional”, continúa Blasco. “Si en algún momento ocurre, será porque hay un conflicto armado y se utilizarán todos los métodos. Antes teníamos mar, tierra, aire, y ahora tenemos mar, tierra, aire y cíber. No es que vaya a pasar: ya ha pasado. Estados Unido en Afganistán, o Estados Unidos en Siria, ha usado cíber junto a los ataques tradicionales”.

La ciberguerra complementa la guerra tradicional y al mismo tiempo refleja sus usos y costumbres. También en la ciberguerra hay soldados y espías: empleados de las fuerzas armadas y los servicios de inteligencia --muchos de ellos reclutados en universidades pero también en el submundo de los hackers convictos, explica Blasco-- dedicados a ejecutar misiones contra intereses de otros países.

Como en la guerra tradicional, en la ciberguerra circulan mercenarios, lo que en inglés llaman hackers for hire, piratas de alquiler. Y a esta guerra acuden voluntarios, milicianos que creen en la causa: los llamados patriotas. Blasco pone un ejemplo. “Si Ucrania entra en guerra con Rusia, hay hackers en Rusia que son patrióticos e intentarán hackear redes de defensa en Ucrania para dar esa información a su gobierno”, dice. “No lo hacen por motivos financieros”.

En esta guerra, ningún país dispone de las capacidades ofensivas de Estados Unidos. Y es probable que ningún ciberataque haya sido tan efectivo como los que hace unos años golpearon los sistemas de enriquecimiento de uranio de Irán. Según datos de Symantec, citados por Micah Zenko del Council on Foreign Relations, en 2013 un 17% de la actividad maliciosa procedió de Estados Unidos y un 9% de China. Otros ránquings sitúan a Rusia como número dos. Al ser la primera potencia económica, EE UU es vulnerable: nadie ofrece tantos objetivos. Pero también es una potencia militar y tecnológica: nadie posee una capacidad de agresión tan formidable.

EE UU es débil porque es el más fuerte.