Bruce Willis regresa como John McClane en Live Free or Die Hard, pero esta vez lo que está en juego no es solo volar edificios. El villano no está usando C4. Está usando Internet. ¿Su objetivo? Paralizar la infraestructura estadounidense. McClane tiene que detener un complot ciberterrorista y salvar a su hija, todo mientras los sistemas digitales se desmoronan a su alrededor.
Es un éxito de taquilla de Hollywood. Pero plantea una pregunta escalofriante para cualquiera que mantenga su cuenta bancaria en línea: ¿es un ciberataque coordinado capaz de causar una devastación económica o física real en Estados Unidos?
La respuesta parece ser sí. La ciberseguridad ya no es sólo un problema del departamento de TI. Los medios de comunicación y los funcionarios gubernamentales ahora lo clasifican junto con el terrorismo, la proliferación nuclear y el cambio climático como una amenaza principal a la estabilidad nacional. ¿Por qué? Porque todo está conectado. Redes comerciales, bases de datos gubernamentales, cuentas privadas. Todos están conectados. Y la conexión es una vulnerabilidad.
El panorama de amenazas ha cambiado. Los hackers ya no son lobos solitarios en los sótanos. Están organizados. Trabajan en redes. Los mercados negros prosperan en línea y comercian con datos robados y software ilícito. Los “carders” venden información de tarjetas de crédito al por mayor. Las estafas de phishing son más sofisticadas. El malware (virus, troyanos, gusanos) es una industria más grande que todo el sector de la seguridad informática combinado. Estos actores son globales. Muchos operan desde países como Rumania, donde Internet de alta velocidad se enfrenta a una aplicación de la ley laxa.
No se trata sólo de robo. Se trata de poder.
Informes recientes del gobierno británico destacan que agencias de inteligencia extranjeras (potencialmente de China, Corea del Norte y antiguos estados soviéticos) piratean los sistemas del Reino Unido. ¿El motivo? Espionaje económico. El objetivo es socavar las economías rivales robando secretos comerciales y datos industriales, para luego pasar esa información a empresas estatales o amigas. Las tácticas incluyen atacar a empleados clave con correos electrónicos cargados de virus, unidades USB infectadas o CD comprometidos.
Los gobiernos están despertando. La UE, el G8 y otros organismos han formado grupos de trabajo contra el cibercrimen. El FBI dirige InfraGard y comparte información con las autoridades locales. Gran Bretaña ve el peligro. Pero ¿qué pasa con Estados Unidos?
Para comprender la magnitud de la amenaza, miremos a Estonia.
El ciberataque a Estonia
En 2007, Estonia se enfrentó a uno de los primeros grandes ataques cibernéticos patrocinados por el Estado de la historia. No fue una invasión física. Fue un asedio digital.
Las chispas que encendieron el primer gran conflicto cibernético no provinieron de un actor estatal en la sombra en un cuarto oscuro. Provenían de una estatua.
El 27 de abril de 2007, el gobierno de Estonia tomó una decisión pragmática pero volátil. Reubicaron el Soldado de Bronce, un monumento conmemorativo de la Segunda Guerra Mundial de la era soviética, de una concurrida plaza del centro de Tallin a un cementerio militar en las afueras de la ciudad. La medida tenía como objetivo aliviar las tensiones en un país donde aproximadamente una octava parte de la población habla ruso. Pero la reubicación provocó un tipo diferente de explosión.
Las protestas estallaron en el terreno. Más importante aún, estallaron en línea.
La anatomía de un ataque DDoS
En cuestión de semanas, la infraestructura digital de Estonia sufrió un ataque sostenido. El arma principal fueron los ataques de denegación de servicio distribuido (DDoS).
Los piratas informáticos no necesitaban puertas traseras sofisticadas ni exploits complejos. Sólo necesitaban volumen. Utilizando cientos, a veces miles, de computadoras “zombis” comprometidas (máquinas infectadas con malware y controladas de forma remota) bombardearon sitios web estonios con miles de solicitudes por segundo.
El resultado fue un atasco de proporciones digitales. los usuarios legítimos no pudieron comunicarse. Los portales gubernamentales, los sitios bancarios y los medios de comunicación se apagaron o se volvieron terriblemente lentos. Los ataques no sólo fueron molestos; fueron disruptivos.
¿Quién estuvo realmente detrás de la guerra cibernética?
Inmediatamente después, comenzó el juego de culpas. El gobierno ruso lanzó furiosas protestas y amenazó con represalias. Muchos expertos occidentales, ansiosos por una nueva narrativa, declararon que esto era el comienzo de una “guerra cibernética”, lo que implica una mano directa del Kremlin.
La realidad era más complicada. La inteligencia finalmente sugirió que el Estado ruso no organizó ni ejecutó directamente los ataques. En cambio, la furia fue alimentada por una combinación de sentimiento nacionalista y piratería informática oportunista. Los ciudadanos rusos indignados, agitados por la retórica estatal y la ira genuina por la remoción de la estatua, lanzaron ellos mismos los ataques.
El gobierno de Estonia describió la experiencia como similar a un ataque terrorista. La distinción importaba. Un ataque terrorista es personal, caótico y psicológico. Una guerra patrocinada por el Estado es estratégica y coordinada. Los acontecimientos de 2007 cayeron en algún lugar de la zona gris, lo que demuestra que los actores no estatales podían ejercer un poder disruptivo significativo.
El costo de la disrupción
La escala de los ataques estonios fue modesta en comparación con los megaincidentes DDoS actuales, que pueden generar terabits de tráfico. Pero su impacto fue profundo.
Estonia no perdió datos. Su infraestructura crítica no fue destruida. Sin embargo, el costo fue alto en términos de tiempo y recursos. El gobierno tuvo que desviar una cantidad significativa de personal para combatir los ataques, reparar el daño a la reputación y tranquilizar una economía sacudida. Expuso una dura verdad: las sociedades modernas son frágiles cuando sus servicios se digitalizan.
Esta no fue la primera vez que la tensión política se extendió al ciberespacio. Los piratas informáticos indios y paquistaníes han participado desde hace mucho tiempo en campañas DDoS y brotes de virus. Grupos israelíes y palestinos han desfigurado los sitios web de cada uno durante años.
Pero el caso de Estonia fue único. No fue una breve escaramuza. Fue un asedio de semanas que consumió la atención de todo el gobierno y llamó la atención de la comunidad internacional. Mostró al mundo que una nación pequeña y altamente conectada podía caer de rodillas ante un enjambre de teclados enojados.
Cómo le iría a Estados Unidos
Estonia, una de las naciones más “conectadas” del planeta, logró capear la tormenta. Hubo fricciones económicas. Hubo perturbaciones gubernamentales. Pero no hubo un colapso a largo plazo.
La pregunta crítica, entonces y ahora, es cómo manejaría Estados Unidos un escenario similar. Estados Unidos es mucho más complejo, está profundamente interconectado y depende en gran medida de la infraestructura del sector privado para servicios esenciales como energía, finanzas y atención médica.
Si una campaña dirigida de denegación de servicio distribuido (DDoS) afecta a bancos, redes eléctricas o
La primavera de 2007 trajo consigo un ajuste de cuentas incómodo para Washington. Durante una audiencia el 19 de abril, el Subcomité del Congreso sobre Amenazas Emergentes, Ciberseguridad, Ciencia y Tecnología escuchó que los sistemas de los Departamentos de Comercio y de Estado habían sido violados en 2006. Pero el daño no terminó ahí. Scott Charbo, director de información del Departamento de Seguridad Nacional, se enfrentaba a un posible despido. Su mandato se vio empañado por 844 incidentes relacionados con la seguridad documentados sólo en 2005 y 2006.
Estos no fueron fallos menores. Fueron fallas sistémicas. Los correos electrónicos clasificados se enrutaron a través de redes no seguras. Se conectaron computadoras portátiles a la infraestructura gubernamental. Se instaló software no aprobado sin supervisión. Se filtraron datos clasificados. Los virus se propagan. Los cortafuegos estaban abiertos. El DHS recibió una “D” en su informe anual de seguridad informática ese año. Fue una mejora con respecto a las calificaciones reprobatorias de 2003 a 2006, pero una “D” sigue siendo una calificación reprobatoria. Todo el gobierno federal obtuvo una C-menos, frente a una D-más el año anterior. La brecha entre la promesa y el desempeño se estaba ampliando.
La respuesta fue inmediata. El DHS creó un nuevo rol: Subsecretario de Seguridad Cibernética y Telecomunicaciones, ocupado por Greg García. Este fue un reconocimiento de que la antigua estructura no estaba funcionando. Anteriormente, en febrero de 2006, el gobierno estadounidense había intentado simular el peor de los casos. En asociación con 115 entidades en cinco países, llevaron a cabo Cyber Storm. Este no fue un ejercicio de simulación. Fue una simulación a gran escala en la que participaron grandes corporaciones, agencias gubernamentales y organizaciones de seguridad.
El objetivo era probar qué sucedería si se atacaran sitios web gubernamentales, empresariales y privados críticos. Los resultados fueron caóticos. Los falsos ataques provocaron apagones en diez estados. El software comercial estaba infectado con virus. Las redes de banca en línea fallaron. El ejercicio también puso a prueba la capacidad del gobierno para manejar la información errónea que inevitablemente difundirían los atacantes. Fue una prueba de resistencia que reveló importantes vulnerabilidades en la forma en que la infraestructura digital del país se mantuvo unida bajo presión. Cyber Storm II estaba programada para 2008, una señal clara de que la primera ronda había expuesto demasiadas grietas.
Mientras la burocracia se revolvía, los militares ya estaban en primera línea. En la Base de la Fuerza Aérea de Barksdale en Luisiana, 25.000 personas trabajaron en guerra electrónica, seguridad de redes y defensa de la infraestructura de Internet del país. No estaban esperando permiso para preocuparse por el futuro. Lo estaban construyendo. Si Estados Unidos alguna vez enfrentara un ciberataque masivo, estos grupos, junto con las agencias de inteligencia y el Departamento de Defensa, serían los primeros en responder.
Un elemento central de esta defensa es US-CERT, el Equipo de Preparación para Emergencias Informáticas de Estados Unidos. Fundada en 2003, su mandato es específico: proteger la infraestructura de Internet y defenderse de los ciberataques. Sirve como centro de coordinación, los ojos y oídos de la postura de ciberdefensa del gobierno. La arquitectura está en su lugar. Los jugadores están identificados. La pregunta sigue siendo si los muros son lo suficientemente altos antes de que llegue la próxima tormenta.
Estados Unidos todavía tiene enormes vulnerabilidades en su columna vertebral digital, a pesar de los incansables esfuerzos por tapar los agujeros. Pero, ¿esta fragilidad conduce a un caos al estilo Duro de matar? No precisamente. No hay constancia de que nadie haya muerto a causa de un ciberataque. Nadie murió cuando las redes de Estonia fueron atacadas, y nadie ha muerto nunca porque una computadora se vio comprometida.
Los grupos terroristas hablan de lanzar ataques a través de Internet, pero la verdadera amenaza no es la destrucción ideológica. Es dinero. Las bandas criminales extorsionan a las empresas. Los hackers enojados quieren hacer una declaración. Ese es el panorama real.
Por qué los ciberataques no causan víctimas masivas
Mejores protocolos de seguridad, sistemas redundantes, software de monitoreo y supervisión humana hacen prácticamente imposible que los ataques cibernéticos causen víctimas físicas a gran escala. O incluso uno solo. Los sistemas militares son particularmente seguros. Un niño de 11 años en Beijing no está lanzando misiles balísticos intercontinentales. Las armas nucleares, como muchos otros sistemas críticos o clasificados, ni siquiera están conectadas a Internet.
Estonia demostró que el daño económico es real. Si los piratas informáticos cortan el suministro eléctrico o se infiltran en un banco importante o en el mercado de valores, el dolor es inmediato. Pero en muchos casos, es mucho más fácil para un hacker entrar en un sistema o red que causar algún daño real mientras está dentro. Además, la presencia de personal humano bien capacitado y sistemas propietarios en las empresas de servicios públicos y otros sistemas vitales significa que cualquier problema se puede solucionar rápidamente.
Los principales peligros para la seguridad cibernética siguen representando gusanos, virus, programas troyanos y la explotación de fallos de seguridad, todo lo cual sigue causando miles de millones de dólares en pérdidas a la industria privada cada año.
¿Estados Unidos ha sido pirateado alguna vez?
No hay una respuesta única a esta pregunta, ya que Estados Unidos ha sido objeto de muchos tipos diferentes de ataques de piratería a lo largo de los años. Algunos de los ataques más notables incluyen el hackeo de la Oficina de Gestión de Personal en 2015, que resultó en el robo de más de 21 millones de registros personales, y el hackeo de Sony Pictures en 2014, que expuso más de 100 millones de registros de clientes.
Artículos y recursos relacionados
Si desea profundizar en cómo funcionan y fallan estos sistemas, consulte los siguientes temas:
- Cómo funciona la infraestructura de Internet
- Cómo funcionan los servidores web
- Cómo funciona el phishing
- Cómo funciona el spam
- Cómo funcionan los virus informáticos
- Cómo funciona el robo de identidad
- Cómo funcionan los cortafuegos
- Cómo funciona el cifrado
- Cómo funciona la biometría
Para obtener más información sobre la seguridad de Internet y otros temas relacionados, consulte los enlaces en la página siguiente.
Más enlaces geniales
- Ataques de piratas informáticos – Blog de seguridad Mirroring
- Denuncia de piratería informática, fraude y otros delitos relacionados con Internet
- Equipo de preparación para emergencias informáticas de los Estados Unidos
