Los ciberataques a infraestructuras estratégicas se multiplican por siete en solo dos años

En este acristalado edificio de cuatro plantas, a las afueras de León, la primera alerta saltó a las nueve y cuarto de la mañana. "Nos enteramos, de manera oficiosa, de que algo estaba ocurriendo en Telefónica", explica Marcos Gómez, subdirector del Incibe, al recordar el pasado 12 de mayo, cuando el virus WannaCry desató una alarma mundial. Más de 350.000 operadores —empresas, particulares y administraciones— de 180 países se vieron afectados por un ransomware (cibersecuestro) que encriptaba los documentos de los equipos y pedía un rescate a cambio de descifrarlos. Entre los objetivos, además de la compañía española de telecomunicaciones, se encontraban 16 hospitales británicos, que quedaron totalmente paralizados. Estas infraestructuras estratégicas, denominadas en el argot como "críticas", se vieron obligadas a suspender su actividad y a desviar a sus pacientes de urgencias a otros centros, evidenciando el peligro que entraña un ciberataque de estas características.

Aunque ninguno adquirió una trascendencia similar al del Reino Unido, en España se han descubierto cerca de un millar de ofensivas contra operadores de instalaciones críticas en apenas tres años, según los datos del Incibe. La mayor parte, a infraestructuras energéticas. Una cifra al alza, que evidencia los retos de seguridad a los que se enfrenta el país. "Las amenazas que encontramos en el mundo real, como el espionaje, terrorismo o extorsión; ahora son también ciberamenazas. Y las motivaciones son las mismas que antes", dice Alberto Hernández, director general del Incibe.

El ministro de Interior, Juan Ignacio Zoido, lo advertía también el pasado diciembre en una comparecencia en el Congreso: "La gravedad [de este problema], de potenciales consecuencias, entre ellas la pérdida de vidas humanas, amén de severos daños económicos y de trastornos de todo tipo que puede provocar un evento de esta envergadura, justifica con creces que para el Gobierno sea una de nuestras prioridades en materia de seguridad".

Los virus, los troyanos (software malicioso que permite el acceso remoto desde otro equipo) y los spyware (programas espía) son la amenaza más común. También destacan los accesos no autorizados; y los ataques de denegación de servicio (DoS), que provocan que una plataforma sea inaccesible para sus usuarios. "La protección de las infraestructuras críticas está vinculada cada vez más a una dimensión digital, de cuya protección depende cada vez más nuestra seguridad", señala el último informe de Seguridad Nacional del Ejecutivo.

Toda esta batería de incidencias que, según las previsiones, marcará este 2017 un nuevo récord. Pero Hernández matiza esta continua subida. "Para explicarla, debemos conjugar tres factores. Es cierto que están sucediendo más ataques. Pero también tenemos mejores capacidades para detectarlos y, a su vez, los afectados nos las están notificando más", detalla el máximo responsable del Instituto nacional de Ciberseguridad, sentado en un despacho de la cuarta planta. Desde esta habitación y a través de un cristal, se observa la sala de la tercera donde trabaja el equipo de detección de ciberataques. En una gran pantalla, un mapa de España muestra en tiempo real el número de equipos comprometidos en el país —de todo tipo: ciudadanos, compañías e infraestructuras críticas— y su localización. A las seis de la tarde del martes, Madrid destaca con 9.715 IP en peligro. Le siguen Barcelona, con 5.276; y Sevilla, con 1.529. El nivel de alerta nacional es del 29%. Muy lejos del 72% que se alcanzó durante la crisis de WannaCry.

Los fraudes electrónicos

El lenguaje que usan los técnicos del Incibe recuerda al policial. Hablan de rastrear la web en busca de "movimientos" sospechosos y de "declaraciones" de hackers que desvelen amenazas; de los "cebos" que colocan a los "malos"; y de las "muestras" de virus que analizan para comprender su funcionamiento y combatirlos. Porque su actividad no se limita a las infraestructuras críticas. En 2016, aquí se contabilizaron más de 115.000 ciberataques a ciudadanos, universidades, empresas e instituciones. Esa cifra se duplicó respecto a 2015, cuando se registraron 60.400. En el primer cuatrimestre de 2017, sumaron más de 50.000.

En este contexto general, las amenazas más habituales son los bots (programas que infectan equipos para que pueda controlarlos un hacker), los ramsonware y los delitos de fraude electrónico e intento de robo de credenciales personales (tarjetas bancarias y cuentas de correo), entre otros. Hasta los equipos del Congreso los han sufrido, según confirman fuentes parlamentarias. Aunque estos ataques no causan excesiva preocupación en los expertos. Su pesadilla es otra.

Es el 23 de diciembre de 2015 la fecha que está marcada en rojo en el sector de la ciberseguridad. Ese día, por primera vez en la historia, un ataque informático provocó un corte de suministro eléctrico masivo. Durante horas, el troyano BlackEnergy tumbó la red que abastecía a 600.000 hogares de la región de Ivano-Frankivsk, al sureste de Ucrania. En pleno invierno. Un ejemplo que usó Zoido en el Parlamento para aseverar que el terrorismo y el crimen organizado "tienen capacidad para causar daños catastróficos". Y un suceso al que también se refiere Hernández: "Las infraestructuras críticas, al igual que se protegen de ataques físicos, también hay que hacerlo de los ciberataques. Aquí juegan un papel muy importante los dueños de estas instalaciones; que deberán tomar medidas para combatir estas amenazas. Igual que contratan vigilantes de seguridad".