“En 2020 ya no podremos proteger nuestras redes frente a los ataques”

El 22 de marzo, un hospital de Kentucky (Estados Unidos) declaró el estado interno de emergencia. Sin epidemias, ni incendios ni daños en el edificio. Avisó con una alerta roja a los pacientes: todos los archivos estaban encriptados, los originales borrados, no había Red ni ningún dato almacenado. Todo su sistema se había convertido en un rehén, había sido víctima de un ransomware, un secuestro de la información. La liberación les costó 17.000 dólares. Era el segundo hospital secuestrado en un mes. Cada mes ocurren alrededor de 9.500 casos de media en todo el mundo. El siguiente objetivo puede ser un banco, un periódico o una universidad.

"Esos niveles de encriptación no puede resolverlos un técnico normal, así que hay que pagar para recuperar el sistema. Pero hay que pagar antes, invertir en ciberseguridad. No dar dinero a los criminales", razona John Lyons (Irlanda del Norte, 1954), fundador de la Alianza Internacional de Ciberseguridad en una entrevista celebrada recientemente, en Madrid, justo antes de que impartiera una conferencia en la Fundación Bankinter. Este experto en cibercrimen, que trabajó en seguridad de la Royal Air Force británica, calcula que una empresa debería destinar el 15% de su gasto en tecnología a proteger su sistema. No se está cumpliendo, pero va a hacer falta, insiste. "El panorama es para asustarse": en menos de cuatro años, el conocido como Internet de las cosas habrá estallado y permitirá que haya 200.000 millones de dispositivos conectados a la Red. Neveras, coches, ropa, hornos, luces, puertas, casas, todo tendrá acceso a Internet. "Es como si cada grano de arena tuviera su propia dirección IP. Y todo, absolutamente todo, podrá ser víctima de un ataque". El diagnóstico no es esperanzador: "No estamos ni de cerca preparados para defendernos de los ataques".

En el pasado, los países tenían grandes fuerzas militares para defender sus límites, sus territorios. Ahora ya no hay límites porque la guerra se ha trasladado al ciberespacio. Necesitamos nuevas técnicas

P. ¿Cuáles son las principales amenazas a las que se enfrentan los gobiernos en materia de ciberseguridad?

R. El principal problema es que no tienen expertos o líderes para defender sus redes. La ciberseguridad se tiene que convertir en una prioridad nacional para los Gobiernos occidentales. En el pasado, los países tenían grandes fuerzas militares para defender sus límites, sus territorios. Ahora ya no hay límites porque la guerra se ha trasladado al ciberespacio. Necesitamos nuevas técnicas para defendernos de los ataques. Hoy es muy fácil lanzar un ataque contra las instituciones, edificios y transportes. Todo eso puede ser atacado por fuerzas que ni siquiera tienen que vivir en el mismo país.

P. ¿Van más rápido las fuentes de las que salen los ciberataques o los programas de ciberseguridad de los gobiernos?

R. Los primeros, claramente. Un país tiene muchas cosas que defender y es muy difícil tener todos los frentes cubiertos; en cambio, los adversarios, los que amenazan, son mejores atacando que nosotros defendiéndonos.

P. ¿También su tecnología está más actualizada?

R. Sí, porque son más rápidos desarrollando nuevas tecnologías y técnicas. Además, nosotros estamos constantemente introduciendo nuevos softwares, nuevas redes y nuevos dispositivos. Nos abrimos cada día más y más a los ataques. Hoy en día, es muy fácil atacar un país.

P. ¿Estamos dirigiéndonos a una sociedad cada vez más interconectada pero también más vulnerable?

R. No hay duda. El crecimiento de dispositivos conectados atrae amenazas cada vez peores. En la guía internacional de ciberseguridad hay un programa llamado: Getting cyberfit for 2020 (Poniéndose en ciberforma para 2020, en castellano), que significa que tenemos que empezar a prepararnos más rápido para la clase de amenazas que aparecerán en 2020. Si no empezamos ya a defender mejor nuestras redes, dispositivos, gente, empresas y gobiernos, vamos a perder la batalla.

P. ¿Se está prestando suficiente atención a la ciberseguridad? ¿Estamos concienciados de lo que significa?

R. No, en general no. Ese es el problema. Ahora mismo a nadie le interesa ni le importa. Son los Gobiernos los que tienen que dar el primer paso. Es normal que la ciberseguridad no resulte algo muy atractivo para los políticos y que, como consecuencia, no se destinen fondos para protegernos. Pero es que, aunque la educación, la sanidad o la lucha contra la violencia sean temas muy importantes, se volverán innecesarios e inmateriales si no invertimos ahora en ciberdefensa. Porque en los próximos años estaremos perdiendo tanto dinero con los ataques a nuestros sistemas, nos estarán haciendo tanto daño, que ya habremos perdido la habilidad para defendernos.

P. ¿Cuándo será demasiado tarde para preocuparse por la ciberseguridad?

Si no empezamos ya a defender mejor nuestras redes, dispositivos, empresas y gobiernos, vamos a perder la batalla

R. De momento no es demasiado tarde, pero creo que cuando el Internet de las cosas llegue a todas partes y tengamos miles de millones de dispositivos conectados, entonces sí lo será. En 2020 ellos ya estarán aquí, ya no podremos proteger nuestras redes de los miles de ataques. Y, entonces, perderemos la batalla. La pregunta no es si estoy siendo atacado, sino ¿cuándo voy a ser atacado? Proteger nuestra información es lo más importante, porque contiene todo lo que tenemos.

P. Ahora mismo, alguien que entre en nuestro móvil puede acceder a todos nuestros datos e información. En un futuro, ¿ocurrirá lo mismo con el frigorífico o con el horno, cuando todo esté conectado a Internet?

R. Creo que puede ser todavía más preocupante. Por ejemplo, cada vez estamos más involucrados con nuestra salud y llevamos más dispositivos para controlar nuestro estado. ¿Qué va a pasar cuando todos esos dispositivos estén conectados a Internet? Dentro de no mucho, la preocupación ya no será si has perdido dinero en tu cuenta de banco, sino si un hacker puede hacer que se pare tu corazón.

Dentro de no mucho, la preocupación no será si has perdido dinero en tu cuenta de banco, sino si un 'hacker' puede hacer que se pare tu corazón"

P. Pero, ¿cree que vamos a dejar que algo tan delicado, como nuestra salud o nuestros corazones, esté también conectado al Internet de las cosas?

R. Por supuesto. Los médicos querrán saber automáticamente y en directo cómo van sus pacientes. En un tiempo, quizás en cinco años, podremos registrar todo sobre nuestra condición médica y transmitirla en directo. Si eres diabético podrás saber inmediatamente si necesitas tomar menos o más azúcar en cada momento. Esta interacción puede conllevar muchos beneficios por una parte, pero también tiene sus propias amenazas.

P. ¿Qué podría decirles a los ciudadanos para que empezaran a preocuparse más sobre este asunto?

R. Lo que hace falta es que los gobiernos se gasten dinero en realizar campañas de información pública. Hace falta explicar a los ciudadanos cuáles son las amenazas a las que nos enfrentamos. Todavía no he visto ningún gobierno dispuesto a gastar fondos en esto. En el pasado, invertimos mucho dinero en campañas para concienciar sobre ponerse el cinturón o sobre los riesgos de fumar. Ese es el tipo de campaña que necesitamos para concienciar sobre el cibercrimen. Nos va a hacer falta.