Los patrulleros del lado oscuro del ciberespacio

El 9 de mayo de 2015, Estados Unidos se puso patas arriba. Un ciberataque informáticoredistribuyó toda la riqueza de la nación más poderosa de la Tierra. Los registros bancarios fueron borrados cliente a cliente. Las tarjetas de crédito dejaron de funcionar. Toda compra o venta, fuera un donut en un restaurante o un piso, tuvo que ser pagada desde entonces por adelantado. Y la basura de los negocios privados, incapaces de pagar por su limpieza, inundó todas las calles del país.

Este ciberataque, el 5/9 Hack, jamás existió. Forma parte del universo de la ficción creado por Mr. Robot, la serie de moda del momento en lo que a tecnología y crimen se refiere. Pero su escala y consecuencias no están para nada exagerados. Vivimos ya en un mundo en el que, desde la invisibilidad, es posible desestabilizar países.

¿Más? 22 de octubre de 2016. Esta vez, hablamos del mundo real. Durante 11 horas, se produjo un bombardeo sistemático a un proveedor de Internet, Dym, que tumba de la red a gigantes como Twitter, Spotify, Amazon, Netflix, Paypal o The New York Times. Afectó a más de 1.000 millones de personas. El peor ataque de la última década.

El ciberataque fue un DDoS. Un ataque de denegación de servicio que tiene un objetivo claro: tumbar una web o la misma Internet. Si imaginamos Internet como un cable, el DDoS sería la sobrecarga que lo quema. Se atiborra la autopista de datos de la red hasta que no puede soportar el exceso de información, provocando la desconexión del ciberespacio con nuestros ordenadores. En este ataque en concreto se utilizó un paradigma aún balbuciente: el Internet de las cosas (IoT), los objetos conectados a la Red.

David Emm, analista principal de Kaspersky

---

¿Nos estamos preparando lo suficiente para este mundo conectado?
Creo que no. Hay que reconocer que el cibercrimen no tiene fronteras. Brasil, África, China... Están en cualquier rincón del mundo. Pero nuestra infraestructura legal para hacerles frente sí tiene barreras. Y eso nos hace débiles. Hemos visto ejemplos ya de muñecos y coches hackeados.
¿Cómo se para esto?
Creo que las compañías tienen que poner la ciberseguridad en el top de sus prioridades desde el día uno del desarrollo de un producto. Tiene que ser una responsabilidad de las propias empresas el investigar todos los posibles escenarios de cómo sus productos pueden ser hackeados.
En el caso del FBI contra Apple, ganó la compañía de Cook frente a la opinión pública. ¿Le asusta el precedente?
Está muy claro que el FBI podía acceder a ese teléfono cuando se hizo la petición. Se trataba de sentar un precedente legal. Lo que más me asusta de este caso es que haya una manera de entrar en los datos del teléfono de alguien. Si pudo entrar el FBI, pueden entrar también los criminales.

En concreto, se usaron grabadoras de vídeo y cámaras IP, aquellas que emiten imágenes directamente a Internet sin que haya un ordenador de por medio. Quién es el culpable de la escaramuza digital permanece, de momento, en la sombra.

“Durante el ataque de octubre se utilizaron unos 100.000 objetos conectados. 10.000 de ellos eran cámaras que el productor –la empresa china XiongMai– tuvo que retirar del mercado. Dinámicas de ese tipo hacen peligrar tanto la seguridad de las compañías como las de los usuarios”, valora la escritora y también hacker Violet Blue.

La ética del sombrero

Sombrero blanco. El hackermás limpio. Quiebra los protocolos de seguridad de su empresa solo para hacerlos más fuertes comprobando dónde fallan.
Sombrero gris. Entre dos aguas. Este pirata penetra los protocolos de seguridad de las empresas para demostrar dónde son vulnerables, pero no realizan ningún tipo de ataque. A veces ofrecen reparar dichos errores. Por un precio, claro está.
Sombrero negro. Los criminales que, bien por maldad, bien por lucrarse, revientan las defensas de gobiernos y empresas e introducen software malicioso para robar datos o poner patas arriba infraestructuras digitales.

El daño obtenido con 100.000 objetos es la punta del iceberg de qué se podría conseguir en el futuro con el Internet de las Cosas. La consultora Gartner estima que habrá 26.000 millones de objetos conectados a la Red en 2020. A cuatro años vista, el riesgo se multiplicará exponencialmente.

Pero ¿por qué ha explotado el cibercrimen? ¿Qué lleva a los hackers, más allá de demostrar su destreza, a atacar a individuos, empresas y gobiernos? La respuesta es simple: el vil metal. La consultora Juniper Research le puso números a lo que será el hampa del ciberespacio en 2019: dos billones de euros al año en beneficios.

“Nos estamos volviendo una sociedad más conectada y eso nos hace tener una diana más grande a la espalda. Antes, los objetivos eran los bancos y sus clientes. Ahora la mayoría de nuestras actividades diarias suceden en digital y por lo tanto el efecto es enorme”, asevera David Emm, analista principal de la compañía antivirus Kaspersky. Extorsión de empresas y particulares, robo de fondos a los bancos, pirateo de tarjetas de crédito. Las opciones son múltiples.

Violet Blue, escritora, periodista y 'hacker'

---

¿Cómo definiría la cultura hacker?
El hacking se suele concebir como algo oscuro y subterráneo, pero en realidad es un fenómeno global, que cruza las razas y los géneros, y se desarrolla en los ámbitos más diversos. Hay también hackers que trabajan para los gobiernos, y otros encauzan así su activismo político.
¿Cuáles son las amenazas para el ciudadano de ataques como el del 21 de octubre?
Los gobiernos están cada vez más involucrados en ciberguerras que implican amenazas como el espionaje y la sustracción de datos, que repercuten también en los ciudadanos. Tampoco hay que infravalorar la actividad de aquellas organizaciones criminales que roban identidades o llevan a cabo espionaje corporativo, que además muchas compañías perpetran de manera mutua.
¿Hace falta educar a los ciudadanos para que sepan cómo defenderse?
Sí, es absolutamente necesario. Algunos gigantes tecnológicos que ya se están planteando enseñar a sus usuarios cómo moverse en Internet sin alterar su seguridad y cómo proteger sus dispositivos. Poner en marcha proyectos de este tipo también en los colegios los haría más eficaces.

“Les es muy atractivo porque son invisibles. Es muy difícil rastrear el origen de un ciberataque. Hay países, como Paraguay, en los que ni siquiera existe una ley de retención de datos. Por lo que seguir el rastro de los criminales en Internet lleva a veces a un punto en el que desaparece”, explica Alberto Hernández, director general del Instituto Nacional de Ciberseguridad (INCIBE). Los datos confirman por completo esta impresión. Un informe de Bank of America Merrill Lynch evaluó que el 7 de cada 10 ciberataques informáticos no se detectan.

El nuevo paradigma para las próximas décadas serán los efectos entre el mundo físico y el digital. El 6 de febrero de 2015, el senador de Massachusetts Ed Markey presentó un informe sobre los coches smart conectados a Internet –analizando las 16 marcas principales del mercado– con la inquietante conclusión de que podían ser hackeados. Acelerar, frenar y girar, es decir, manejar completamente la movilidad del coche eran posibles remotamente.

Pendientes de regulación

Este problema forma parte de un abanico más amplio pendiente de resolver: los estándares de regulación para los diversos componentes de un objeto conectado a Internet. En el caso de la industria del automóvil, en opinión de los expertos, hay mucho por mejorar. “Los fabricantes ensamblan piezas con diferentes estándares. El punto clave es cómo se integran estas piezas con la nueva conectividad que se le quiere dar al coche. Imagina que tienes una red de, pongamos, 20 elementos en el coche con miniordenadores. Basta con infectar uno para provocar que toda la red deje de funcionar”, explica Vicente Díaz Sáez, analista de la marca de antivirus Kaspersky.

¿Y cómo se lucha contra un crimen invisible, organizado y con grandes recursos económicos? La respuesta tiene múltiples frentes. “Avanzar en una regulación común y en la cooperación internacional para resolver los ataques es fundamental”, explica Alberto Hernández, director del INCIBE. En el ámbito de las empresas también hay que apostar fuerte: “El gran reto para las compañías de seguridad en 2016 es conseguir que las soluciones trabajen de forma conjunta, pudiendo leer el contexto y teniendo la capacidad necesaria para responder de forma sincronizada a todos esos nuevos ataques”, asevera Pablo Teijeira de Sophos Iberia.

Pero la primera responsabilidad es de cada uno de los ciudadanos. La misma que asume cuando circula con su vehículo. Porque no hay autopista más grande y peligrosa que Internet. “En ciberseguridad no vale decir 'no sé'. Hay que saber”, concluye, tajante Fernando Picatoste, miembro del equipo líder de Deloitte en ciberseguridad para Europa, Oriente Medio y África.