Ciberseguridad: innovación y formación frente al universo del mal digital

Si la picaresca y el crimen existen desde que el mundo es mundo, en cuanto este empezó a trasladarse al plano digital, los delincuentes también se mudaron a él. En el vasto universo online construido a base de ceros y unos, la ciberdelincuencia acecha en cada esquina, convertida en un negocio internacional multimillonario, tanto a nivel de ingresos para los hackers como en cuanto a las pérdidas que provocan en empresas, gobiernos y ciudadanos. Y, al igual que la delincuencia del mundo físico, las técnicas, motivaciones y modus operandi para perpetrar canalladas en internet son prácticamente infinitas. Sin embargo, existen 8 grupos de amenazas que “destacan por su prominencia, su popularidad y su impacto”, según el último informe de la Agencia Europea para la Ciberseguridad (ENISA), Panorama de Amenazas de ENISA 2021. Las 8 categorías son las siguientes:

1. Ransomware: es un tipo de ataque malicioso en el que los atacantes cifran los datos de una organización y exigen un pago para restaurar el acceso. El ransomware ha sido la principal amenaza durante el periodo del informe, con varios incidentes de alto perfil y muy publicitados.

• En detalle: la capacidad de los hackers de secuestrar la información digital de una organización ha provocado casos muy famosos, como el que sufrió el Hospital de Torrejón en 2020, cuando un virus bloqueó todos sus sistemas informáticos, impidiendo el acceso a los historiales clínicos y obligando a los profesionales del centro a realizar todos los informes y gestiones en papel.  El 71 por ciento de las empresas españolas sufrieron un ataque de ransomware durante 2021, según el informe El Estado del Ransomware 2022 de la empresa de ciberseguridad Sophos. Este tipo de ataque puede resultar tan lucrativo que existen bandas de hackers especializadas en ransomware, como el tristemente famoso grupo ruso Conti, cuyas agresiones basadas en esta técnica ya han afectado a cerca de 800 organizaciones a nivel mundial.

2. Malware: es un programa informático destinado a ejecutar un proceso no autorizado con un impacto adverso en la confidencialidad, integridad o disponibilidad de un sistema. La amenaza de los programas maliciosos se ha clasificado sistemáticamente como alta durante muchos años, aunque a un ritmo decreciente. El uso de nuevas técnicas de fijación y algunas victorias importantes para la comunidad de las fuerzas del orden han afectado a las operaciones de los actores de amenazas relevantes.

• En detalle: en realidad, el ransomware equivale a una forma más de malware, pero existen más tipos de programas informáticos amenazantes que no implican el secuestro de información a cambio de un rescate. Mientras que la motivación de los atacantes que utilizan ransomware son económicas, pues buscan recibir dinero a cambio de devolver el acceso a los sistemas y sus datos, hay otros que solo quieren ver el mundo arder. Ese sería el caso, por ejemplo, de que utilizan virus wiper, cuyo único objetivo consiste en destruir información. Para la responsable global de Seguridad y Resiliencia de Kyndryl, Kris Lovejoy, este tipo de “tecnologías destructivas” son la amenaza más preocupante. Y, por si fuera poco, la capacidad del malware de alterar el comportamiento de un sistema informático incluso puede tener efectos en el mundo físico. En 2016, 6 años antes de que Putin empezara a invadir Ucrania, la red eléctrica de Kiev fue atacada con un malware que dejó sin luz al 20 por ciento de la ciudad. Todo apunta a que el responsable fue un grupo hacker procedente de Rusia.

3. Criptohackeo: la criptominería oculta es un tipo de ciberdelincuencia en el que un delincuente utiliza secretamente la potencia de cálculo de una víctima para producir nuevas criptomonedas. Con la proliferación de este nuevo tipo de divisa y su creciente aceptación por parte del público, se ha observado un aumento de los correspondientes incidentes de ciberseguridad.

• En detalle: dado que en 2021 un solo bitcoin llegó a valer más de 67.000 dólares, no es de extrañar que haya quien quiera dedicar sus equipos informáticos para minar nuevas criptomonedas para hacerse rico. El problema es que, dado que cada vez hay que dedicar más recursos informáticos para acuñar una nueva criptodivisa, la idea de comprometer ordenadores de terceros para minar estas monedas en beneficio propio resulta cada vez más atractiva. Este verano, una pareja en Tarragona fue detenida acusada de comprometer hasta 22 ordenadores expuestos en distintas tiendas para minar criptomonedas.

4. Amenazas relacionadas con el correo electrónico: son un conjunto de amenazas que explotan las debilidades de la psique humana y de los hábitos cotidianos. Curiosamente, y a pesar de las numerosas campañas de sensibilización y educación contra este tipo de ataques, la amenaza persiste. En particular, el compromiso de los correos electrónicos de empresas y las técnicas sofisticadas avanzadas para extraer beneficios monetarios van en aumento.

• En detalle: para entender este tipo de amenaza basta con mencionar al archiconocido príncipe nigeriano. Sin embargo, el ingenio de los atacantes no tiene límites. En los últimos meses, las redes sociales se han llenado de pantallazos de conversaciones de WhatsApp en la que los timadores se hacen pasar por familiares con un problema de maletas en el extranjero para intentar conseguir una imagen del DNI de sus víctimas y utilizarlo para suplantar su identidad o acceder, por ejemplo, a sus cuentas bancarias.

5. Amenazas contra los datos: esta categoría engloba las violaciones o filtraciones de datos. Una violación o fuga de datos consiste en liberar datos sensibles, confidenciales o protegidos a un entorno no fiable. Las filtraciones de datos pueden producirse como resultado de un ciberataque, de un trabajo interno, de una pérdida no intencionada o de la exposición de datos. La amenaza sigue siendo alta, ya que el acceso a los datos es un objetivo clave para los atacantes por numerosas razones, por ejemplo, extorsión, rescate, difamación, desinformación, etcétera.

• En detalle: como se desprende de la definición de ENISA, no existe un único tipo de ciberataque asociado a los datos, y los objetivos de robarlos y filtrarlos también son variados. Entre los varios ejemplos destacados en su informe figura uno perpetrado por la banda rusa Conti, que en 2021 logró acceder y bloquear los sistemas informáticos del Servicio de Salud de Irlanda y amenazó con exponer la información personal de 520 pacientes.

6. Amenazas contra la disponibilidad y la integridad: existe un amplio abanico de amenazas y ataques dirigidas a comprometer la disponibilidad y la integridad, entre los que destacan las familias de ataques de denegación de servicio (DoS) y ataques web. El DDoS (una forma de ataque DoS perpetrado de forma distribuida y coordinada que afecta generalmente a páginas públicas) es una de las amenazas más críticas para los sistemas informáticos, ya que suprime su disponibilidad agotando los recursos, provocando disminuciones de rendimiento, pérdida de datos y cortes de servicio. Esta amenaza ocupa sistemáticamente un lugar destacado en el panorama de amenazas de ENISA, tanto por su manifestación en incidentes reales como por su potencial de alto impacto.

• En detalle: dicho de forma más sencilla, un DDoS inunda una web con tal cantidad de tráfico falso que la página se satura y deja de funcionar para los usuarios legítimos. Entre los casos más sonados están los que sufrieron varias plataformas digitales antirracistas en 2020 durante las protestas que sacudieron EEUU tras la muerte de George Floyd a manos de un policía y que desataron el movimiento Black Lives Matter. Según la BBC, una de las plataformas víctima de esta campaña de ataques recibió 20.000 solicitudes de acceso por segundo.

7. Desinformación: las campañas de desinformación van en aumento, estimuladas por el mayor uso de las redes sociales y los medios de comunicación digitales, así como por el incremento de la presencia online de la gente debido a la pandemia de COVID-19. Aunque es la primera vez que ENISA las incluye en su informe de ciberseguridad, su importancia en el mundo cibernético es elevada. Las campañas de desinformación se utilizan con frecuencia en ataques híbridos para reducir la percepción general de la confianza, uno de los factores que más influyen en la ciberseguridad.

• En detalle: si utiliza redes sociales de forma más o menos habitual, es prácticamente imposible que no haya dado por bueno alguno de los infinitos bulos que circulan por la web, ya que incluso hay ejemplos de periodistas y medios que replican informaciones falsas. Si a los profesionales de la información se la cuelan, ¿cómo no va a pasarle lo mismo a la ciudadanía? Se ha comprobado que las campañas coordinadas de desinformación tuvieron efectos en las elecciones presidenciales de 2016 en EEUU que se saldaron con la victoria de Donald Trump. Y, por supuesto, la pandemia de COVID-19 tampoco se libró de sus propios ataques de desinformación. El informe de ENISA destaca que las campañas asociadas a desinformar sobre la pandemia giraron en torno a tres temas principales: los posibles efectos neurológicos de las vacunas, que la pandemia era una maniobra de alguna élite secreta para reducir la población mundial, y que existían medicamentos más eficaces que las propias vacunas. Como se imagina, nada de eso es cierto.

8. Amenazas no maliciosas: con esta categoría, ENISA se refiere situaciones en las que no hay una clara intención perversa detrás. Se basan sobre todo en errores humanos y sistemas informáticos mal configurados, que permiten a otros hacer fechorías o exponen datos privados. Pero también puede referirse a desastres físicos que comprometen las infraestructuras informáticas. Debido a su naturaleza, estas amenazas tienen una presencia constante en el panorama anual de la ciberseguridad y son una preocupación importante para las evaluaciones de riesgo.

• En detalle: entre los casos más famosos atribuibles a desastres físicos, ENISA destaca el incendio que sufrió el centro de datos de la empresa proveedora de servicios de hosting y almacenamiento en la nube OVH, que en 2021 dejó sin servicio a millones de páginas durante días.

CIBERSEGURIDAD, UNA HEROÍNA SIN CAPA

Como verá, el cosmos de las amenazas digitales es casi tan vasto como el propio universo en el que vivimos. Las técnicas, objetivos y consecuencias de los ciberataques se entremezclan, dando lugar a un panorama del que resulta virtualmente imposible salir ileso. Tener “cualquier tipo de presencia en Internet es como ser una persona en un espacio público, donde hay virus y bacterias. Es imposible existir sin riesgo de que te impacten. Es imposible coexistir en un mundo de tecnología y no tener algún tipo de brecha. Si tienes humanos y tienes tecnología, es inevitable”, nos advirtió ya Lovejoy desde Kyndryl.

Con ese factor humano, se refiere tanto a los atacantes de carne y hueso como a las vulnerabilidades de las que se aprovechan para cometer sus ciberataques. Dichas vulnerabilidades pueden deberse errores humanos que nos lleva a caer en trampas como la del príncipe nigeriano, los bulos sobre la COVID-19 o cualquier otra triquiñuela; pero también a fallos involuntarios no identificados en la arquitectura informática, como el famoso conducto de ventilación que permitió a la alianza rebelde destruir la Estrella de la Muerte de Star Wars.

Estos fallos de arquitectura son tan comunes que algunas grandes y conocidísimas empresas, como Apple y Google, incluso organizan competiciones en las que recompensan a quienes logren identificar vulnerabilidades en sus sistemas. Las recompensas pueden llegar a ser tan elevadas que incluso hay quien se dedica profesionalmente a identificarlos. Es una de las últimas estrategias de moda para poner freno a los hackers. Pero, ante su pericia para idear nuevas formas de atacar, los profesionales de la ciberseguridad también mantienen una carrera constante por encontrar nuevos sistemas de defensa e innovaciones capaces de frenar sus fechorías.

La incesante búsqueda de los hackers de encontrar nuevas formas de atacar y ocultarse es tal, que tanto su actividad como la que desarrollan sus contrapartes, los expertos en ciberseguridad, para esquivar sus campañas y proteger los sistemas suele ser comparada con el juego del ratón y el gato. Ante cada nuevo parche de seguridad y cada nueva medida de protección, los hackers acaban ideando una nueva forma vulnerarlos o de engañar a los internautas, y así hasta el infinito.

Del mismo modo que un banco puede atracarse tanto entrando por la puerta con armas de fuego como abriendo un túnel que llegue hasta la caja fuerte, también puede defenderse con guardias de seguridad, herramientas de vigilancia y sistemas de seguridad físicos como las cajas fuertes. Y con su homólogo virtual pasa lo mismo. Dada la sensibilidad de los datos con los que trabajan y de los valiosos recursos económicos que manejan, no es de extrañar que las entidades bancarias figuren entre los objetivos más codiciados de los hackers.

Afortunadamente, el sector también es uno de los que más se toman en serio la ciberseguridad. El Banco Santander, por ejemplo, ofrece distintas formas de autenticación para asegurar el acceso a sus plataformas, como las tradicionales claves y firmas electrónicas, y las combina con un sistema de contraseña de un solo uso para añadir una capa extra de seguridad. A nivel interno, la entidad monitoriza constantemente posibles intrusiones con test periódicos y, consciente del involuntario papel que pueden jugar los usuarios en las vulneraciones de seguridad, ofrece contenido formativo e incluso un test para que los internautas evalúen su cociente de seguridad digital.

A pesar de todo ello, dado que sigue resultando difícil librarse de los ciberataques, las medidas de protección más básicas siempre suelen ser las mismas: mantenga actualizados todos sus programas, sigua las recomendaciones y consejos de los profesionales, y piénselo dos veces antes de pinchar, descargar o creerse cualquier cosa que se encuentre por Internet. Puede que ni así logre evitar que alguien un hacker le engañe, pero, dada la pericia y la incansable voluntad con la que operan, al menos podrá estar tranquilo pensando que ha hecho todo lo posible por evitarlo. Y eso siempre es mejor que nada.