Alemania alerta del “riesgo considerable de ataque informático” a través de los programas de Kaspersky

La Autoridad Federal de Seguridad Cibernética de Alemania (BSI, por sus siglas en alemán) ha instado este martes a compañías y usuarios a evitar el uso de los populares programas antivirus y de seguridad informática de la compañía Kaspersky, creada en Rusia en 1997. Según la agencia alemana, esta firma, que asegura contar con más de 400 millones de usuarios y 240.000 clientes corporativos en el mundo, supone “un riesgo considerable de un ataque informático exitoso”. Kaspersky lo niega y afirma: “Somos una empresa privada de ciberseguridad global y, como tal, no tenemos ningún vínculo con el Gobierno ruso ni con ningún otro”.

La BSI ha advertido este martes que la compañía tecnológica rusa “puede llevar a cabo operaciones ofensivas, puede verse obligada a atacar sistemas contra su voluntad, ser espiada como parte de una operación cibernética sin su conocimiento o ser mal utilizada como una herramienta para ataques contra sus propios clientes”.

La alerta de la Autoridad Federal de Seguridad Cibernética responde, según ha informado, al “proceder de las fuerzas militares y de inteligencia de Rusia, así como a las amenazas expresadas por la parte rusa en el curso del actual conflicto bélico contra la UE, la OTAN y Alemania”. La advertencia y recomendación de sustitución de sistemas de seguridad va dirigida especialmente a empresas y operadores de infraestructura crítica, que son “particularmente vulnerables”. El Aeropuerto de Múnich, uno de los mayores de Europa (50 millones de pasajeros, 100 aerolíneas y 250 destinos de 75 países antes de la pandemia) confió el pasado octubre su seguridad informática y la de sus datos al programa Kaspersky Threat Intelligence.

La popular empresa de seguridad ya fue vetada en 2017 por el entonces presidente de EE UU, Donald Trump, quien prohibió el uso de los programas de esta compañía en el Gobierno al considerar que es “vulnerable a la influencia del Kremlin”. Las cautelas se extendieron a las instituciones europeas.

La alerta alemana va en sintonía con las lanzadas por todas las agencias de ciberseguridad occidentales para que empresas e instituciones refuercen sus defensas en internet ante la guerra en Ucrania. A principios de marzo, las autoridades francesas emitieron una advertencia similar sobre el potencial de los programas de la compañía rusa. Sin embargo, la BSI va más allá al extender su recomendación sobre el uso de Kaspersky a usuarios particulares.

El pasado 1 de marzo, ante la invasión de Ucrania por parte de Rusia, el creador y director general de la compañía, Eugene Kaspersky, emitió un comunicado en el que afirmaba que “la guerra no es buena para nadie” y abogaba por “el diálogo pacífico como único instrumento posible para resolver los conflictos”. Kaspersky también ha rechazado las acusaciones de servir al Gobierno ruso o poder ser utilizada por el mismo.

No es la primera vez que Alemania acusa a Rusia de estar detrás de incidentes informáticos sufridos por sus instituciones. El más significativo fue en 2015, cuando un ataque paralizó la red informática del Bundestag durante varios días. La justicia alemana también ha abierto una investigación por un presunto espionaje informático a diputados, acciones de las que Rusia se ha desvinculado.

La empresa tecnológica nacida en Rusia, según los datos de la compañía Opswat (que excluye en sus informes el antivirus Windows Defender, preinstalado en todos los ordenadores que operan con esta programación), se encuentra entre las 10 empresas con mayor cuota de mercado en el campo de la seguridad, entre un 4% y un 7%, según los meses. Smartprofile eleva su presencia al 12%. Su antivirus gratuito (Kaspersky Security Cloud Free) es uno de los más utilizados y considerado uno de los más eficaces por la Organización de Consumidores y Usuarios. Sus programas de pago también están entre los más vendidos por internet.

Respuesta de Kaspersky

La compañía de programas de ciberseguridad ha asegurado que la decisión de la agencia federal alemana “se toma por motivos políticos y no porque esté fundamentada en una evaluación técnica“. “Nos comunicaremos con la BSI para aclarar todos los puntos que sean necesarios referentes a su decisión y para abordar cualquier inquietud adicional que pueda tener, tanto ellos como otros reguladores”, afirma la empresa.

Kaspersky ha defendido su “compromiso permanente con la integridad y la confianza” e insistido en su nula vinculación con Gobierno alguno. En este sentido, ha reiterado las palabras de su fundador de rechazo a la guerra.

También ha destacado la compañía que su infraestructura de procesamiento de datos se trasladó a Suiza en 2018: “Los archivos maliciosos y sospechosos compartidos voluntariamente por los usuarios de productos de Kaspersky en Europa se procesan en centros de datos ubicados en Suiza, con instalaciones de primer nivel y cumpliendo todos de los estándares de la industria para garantizar los más altos niveles de seguridad. Más allá de nuestras instalaciones de procesamiento de datos relacionados con las ciberamenazas en Suiza, las estadísticas proporcionadas por los usuarios a Kaspersky se procesan en los servicios de Kaspersky Security Network, ubicados en diferentes países del mundo, incluyendo Canadá y Alemania. La seguridad e integridad de nuestros servicios de datos y prácticas de ingeniería están respaldados por certificaciones de terceros independientes: a través de la auditoría SOC 2 realizada por una de las cuatro mayores auditoras del mundo y a través de la certificación ISO 27001 de TÜV Austria y su reciente recertificación”.

Kaspersky invita a los clientes y reguladores, como las agencias de ciberseguridad, a “realizar una revisión técnica, exhaustiva y gratuita de sus soluciones”, que incluyan los desarrollos de programas, códigos fuente, versiones y actualizaciones de bases de datos e informes de auditorías.

Puedes escribirnos a rlimon@elpais.es, seguir a EL PAÍS TECNOLOGÍA en Facebook y Twitter y apuntarte aquí para recibir nuestra newsletter semanal