¿El mundo se dirige hacia un Pearl Harbor cibernético?
Los ataques digitales podrían llevar a Estados Unidos y Rusia hacia una
HACKERS RELACIONADOS CON RUSIA HAN LANZADO VARIOS CIBERATAQUES CONTRA ESTADOS UNIDO LOS CUALES HAN ESTADO ESCALOFRIANTEMENTE CERCA DE CRUZAR LA LÍNEA ROJA.
JOE BIDEN ASUMIÓ LA PRESIDENCIA en enero, justo después del ataque a SolarWinds, una penetración sin precedentes y potencialmente desastrosa a los sistemas computacionales del gobierno estadounidense, realizada por hackers que, según se cree, fueron dirigidos por el servicio ruso de inteligencia, conocido como SVR. El nuevo presidente estadounidense prometió reforzar las defensas cibernéticas de la nación contra enemigos extranjeros. Y como si estuvieran esperando este llamado, los ciberpiratas ejecutaron dos importantes ataques con ransomware (software de secuestro de datos) y cerraron el Oleoducto Colonial, que suministra alrededor de 100 millones de galones de gasolina diariamente a la región sureste de Estados Unidos, y detuvieron la producción en todas las instalaciones estadounidenses de JBS, el mayor productor de carne de res del mundo con sede en Brasil.
Estos sucesos destacaron la inmensa vulnerabilidad de una economía basada en internet con un valor de 1 billón de dólares, y para la que la seguridad es algo en lo que no piensa demasiado.
La mayoría de los estadounidenses parecen suponer que un ataque cibernético, aun si es perpetrado por un adversario declarado como Rusia o Irán, será respondido en consecuencia, que Estados Unidos provocará un molesto apagón o una breve falla en internet. Sin embargo, distintos expertos y funcionarios de inteligencia y de ciberseguridad dijeron a Newsweek que los hackers relacionados con Rusia han lanzado varios ciberataques contra Estados Unidos, los cuales han estado escalofriantemente cerca de cruzar la línea roja: una incursión digital que provocaría una mortífera respuesta en la vida real.
Estados Unidos sigue siendo vulnerable a los ataques de ransomware perpetrados por oscuros grupos que, según se cree, operan desde Rusia u otros países que formaban parte del bloque soviético y, por ello, quienes tienen experiencia en asesorar a la Casa Blanca sobre los desafíos de la región instan a Biden a aprovechar la oportunidad para enviar un mensaje. “Lo que quiero es que Biden explique muy claramente cuál es el riesgo para Vladimir Putin, que no vamos a echarnos atrás si somos atacados por Rusia”, señala Evelyn Farkas, exsubsecretaria adjunta de Defensa para Rusia, Ucrania y Eurasia, “y que seremos nosotros quienes decidiremos lo que es un ‘Pearl Harbor cibernético’, lo que significa que Rusia no controlará la dinámica de la escalada”.
Cuando menos, los líderes japoneses sabían que bombardear Pearl Harbor provocaría inevitablemente una respuesta militar. No está claro
si Rusia o los cibermilitantes que operan dentro de sus fronteras tienen esa conciencia. Una guerra abierta entre Rusia y Estados Unidos, que se ha logrado evitar durante más de medio siglo, no dejaría más que perdedores. Sin embargo, la guerra cibernética es tan nueva que no existe ningún límite acordado y ampliamente comprendido, como el que se estableció durante la Guerra Fría con el uso de armas tradicionales de destrucción masiva. (Pensemos en la crisis de misiles de Cuba. Después de esa catástrofe que estuvo a punto de ocurrir, ambas partes han tratado de evitar los riesgos).
La falta de claridad, de un algoritmo compartido para determinar la escalada, es leña seca que puede convertirse fácilmente en un mortífero incendio. En pocas palabras, existe un peligro creciente de una respuesta mucho más devastadora que la interrupción temporal de la internet, un historial crediticio comprometido, o una alteración de la programación del recorrido de los trenes, que es lo que los estadounidenses podrían considerar como el peor de los casos.
El presidente ruso, Vladimir Putin, no dirige directamente a los ciberpiratas que recientemente
“Si un Estado-nación enemigo pusiera un pie en nuestra patria y destruyera físicamente nuestra infraestructura, lo consideraríamos como UN ACTO DE GUERRA”.
se infiltraron en las redes gubernamentales de alto nivel y paralizaron infraestructura crítica. Los organismos de inteligencia de Estados Unidos piensan que los operadores digitales detrás de esos ataques trabajan con la bendición del presidente ruso, pero se mantienen al margen, de manera que le den a Moscú la posibilidad de plantear una negación creíble. Todo ello forma parte de un patrón familiar: grupos afiliados a Rusia han acosado desde hace mucho tiempo a empresas y organismos gubernamentales estadounidenses, e incluso intervinieron para inclinar la balanza a favor de Donald Trump en la elección de 2016. El gobierno de Biden no ha acusado directamente al Kremlin de los ataques, pero culpa a los rusos por permitir que tales actividades continúen.
Los recientes ataques parecen apuntar hacia una intensificación. Suelen centrarse más en la infraestructura física como los alimentos, los gasoductos y oleoductos y los hospitales, de los que dependen diariamente los estadounidenses para mantener su salud y su bienestar económico.
Esta tendencia tiene preocupados a los analistas de seguridad nacional. Una cosa es hacer que los estadounidenses tengan que hacer fila en las gasolineras o atacar a los hospitales pidiendo rescates económicos que incrementen enormemente el costo de atención a la salud, y otra cosa enteramente distinta es provocar un daño económico real, e incluso pérdidas de vidas. Y, sin embargo, los hackers parecen coquetear con cruzar lo que los expertos en seguridad nacional señalan como “una línea roja”.
La línea roja tuvo un lugar prominente en la agenda durante las conversaciones del 16 de junio entre Biden y Putin. Biden le entregó al presidente ruso una lista de objetivos prohibidos que, en caso de ser atacados cibernéticamente, serían considerados presumiblemente como un acto de guerra que exigiría represalias. Aunque no está claro dónde se encuentra esa línea roja (la Casa Blanca no ha publicado la lista), no es difícil imaginar lo fácil que sería que un grupo de ciberpiratas que actúan con cierto grado de autonomía con respecto a Moscú, y que no tienen que rendir cuentas
directamente por las consecuencias de sus actos, pudieran cruzarla. Por poner un ejemplo, en los círculos de ciberseguridad es un lugar común decir que los hackers que trabajan con el respaldo de países como Rusia y China pueden tener la capacidad de provocar un fallo de energía en una amplia franja de la red eléctrica estadounidense, lo que podría provocar millones de muertes.
En otras palabras, el próximo gran ciberataque podría desencadenar una guerra con Rusia, y no de tipo virtual, sino una en la que intervengan soldados, tanques, misiles, portaviones y, posiblemente, armas nucleares. “Si un Estado-nación enemigo pusiera un pie en nuestra patria y destruyera físicamente nuestra infraestructura, lo consideraríamos como un acto de guerra”, declaró a Newsweek Brian Harrell, exdirector adjunto de Seguridad de Infraestructura de la Agencia Estadounidense de Ciberseguridad y Seguridad de la Infraestructura (CISA, por sus siglas en inglés).
Por supuesto, los ciberpiratas afiliados a Rusia no han cruzado aún esa línea roja. Pero se han acercado lo suficiente como para hacer que los expertos en seguridad nacional se pregunten hacia dónde se dirige esta escalada de destrucción y cuánto control tiene realmente el Kremlin sobre los hackers que le sirven.
TRAZAR LA LÍNEA
AUNQUE LA SITUACIÓN PODRÍA PARECER RELATIVAmente tranquila en la superficie, los ciberpiratas ponen a prueba los límites prácticamente todos los días. En febrero pasado, un grupo aún no identificado logró tomar el control del centro de tratamiento de aguas de Oldsmar, Florida. El grupo aumentó los niveles de hidróxido de sodio, un químico altamente cáustico, conocido también como lejía, de su concentración segura de 100 partes por millón, hasta el peligroso nivel de 11,100 ppm. Los operadores observaron el cambio y actuaron rápidamente para reducir los niveles antes de que se lograra provocar algún daño.
“La línea roja cibernética, y creo que todos lo tenemos bastante claro, es la pérdida de vidas”, declaró a Newsweek William Hurd, antiguo oficial clandestino de la CIA que trabajó en el Congreso como representante de Texas desde 2015 hasta enero pasado. Señaló que el incidente de Florida pudo haber provocado una “respuesta cinética”, en otras palabras, una acción militar, si se hubieran perdido vidas en Estados Unidos.
Los conflictos ocurren cada vez con mayor velocidad y crueldad en instalaciones de energía eléctrica, agua, el sector bancario y demás infraestructura esencial. La gran mayoría de esos incidentes nunca se publican, afirman los ciberexpertos. Las empresas privadas, que son notoriamente reacias a confesar que han sido hackeadas, poseen y operan más de 85 por ciento de la infraestructura crítica, de acuerdo con Harrell. “Nuestros sectores de infraestructura crítica son el moderno campo de batalla, y el ciberespacio es el gran igualador”, afirma. “Esencialmente,
“Los hackers parecen coquetear con cruzar lo que los expertos en seguridad nacional señalan como UNA LÍNEA ROJA”.
los grupos de ciberpiratas pueden atacar con pocas atribuciones individuales y prácticamente sin consecuencias. Puedo prever que en el futuro ocurrirán más ataques contra los servicios de energía eléctrica, agua y finanzas”.
En 2018, el gobierno de Trump creó la CISA en el interior del Departamento de Seguridad Nacional. Pero hasta los ciberpolicías se han visto obstaculizados por la falta de información. Los operadores privados son renuentes a informar sobre las transgresiones y, con frecuencia, pagan discretamente los rescates para tener sus sistemas nuevamente en línea con la menor cantidad de alboroto (y publicidad) posible.
No está completamente claro cómo sería una respuesta apropiada a un ciberataque que cruce la línea roja. “Se trata de unos y ceros y de programas maliciosos contra cabezas nucleares de un megatón en aviones Titán y B-1. ¿Cómo hacer esa comparación de manera que se pueda decidir una respuesta proporcional?”, pregunta Doug Wise, quien trabajó en la CIA como miembro del Servicio Superior de Inteligencia y fue subdirector de la Agencia de Defensa de Inteligencia. “Esa es la belleza de esos ciberataques, debido a que nos resulta difícil tratar de comparar el mecanismo del ataque con el mecanismo de ataque cinético, particularmente, estrategia a estrategia”.
También está la cuestión de contra quién irán las represalias. Aunque los expertos de inteligencia son bastante hábiles para buscar los rastros digitales de un ataque hasta localizar su fuente, las pruebas casi siempre son muy técnicas y mucho menos persuasivas para los aliados militares y el público en general que, por ejemplo, las de un bombardeo o un ejército invasor. Cualquier decisión de imponer represalias corre el riesgo de lucir ante el mundo como una agresión no provocada. Los rusos son muy hábiles para confundir atribuciones, lo que hace difícil justificar una respuesta proporcional, ya no digamos una escalada.
El problema de la atribución complica la cuestión de dónde trazar la línea. Algunos expertos piensan que esto hará que la imposición de represalias sea más difícil de lo que sería en el caso de un ataque convencional. “Se requeriría un importante ciberataque contra la infraestructura de aviación, la de energía eléctrica, la de distribución del agua y la de transporte”, señala Wise. “Pienso que probablemente se requerirán dos o tres ataques simultáneos contra esos objetivos, junto con una atribución clara. El tema de la atribución siempre es el principal obstáculo”.
CIBERDIPLOMACIA
AUN ASÍ, SERÍA UN ERROR SUPONER QUE LA DIFICULtad para atribuir un ciberataque es un seguro contra una rápida respuesta. El elemento de incertidumbre que el problema de la atribución añade a los asuntos internacionales también puede provocar desestabilidad. Así como es difícil atribuir un ataque a un agresor, también es fácil atribuir erróneamente un ataque a un adversario, particularmente uno que, como Rusia, es un continuo dolor de cabeza para Estados Unidos, y del cual los estadounidenses esperan siempre una agresión. Dada la escalada en las tensiones entre Estados Unidos y Rusia, no es descabellado pensar que un tercer país pudiera lanzar un ciberataque contra Estados Unidos y hacerlo parecer como si proviniera de Rusia. Aun si los oficiales de inteligencia de Estados Unidos fueran lo suficientemente hábiles para darse cuenta de la estratagema, la sola apariencia de agresión podría dar un cómodo pretexto para hacer la guerra.
“Se trata de unos y ceros y de programas maliciosos contra de un megatón en aviones Titán y B-1”. CABEZAS NUCLEARES
Después de todo, Irak no tuvo nada que ver con los ataques del 11/9 en 2001, pero el gobierno de George W. Bush los utilizó para justificar su desastrosa invasión a Irak en 2003.
Los ataques militares de gran magnitud que dan comienzo a guerras forman parte de la psique de los estadounidenses. Los aviones japoneses que bombardearon la base militar estadounidense de Pearl Harbor, Hawái, el 7 de diciembre de 1941, precipitaron la participación de Estados Unidos en la Segunda Guerra Mundial. Los aviones de pasajeros secuestrados que se estrellaron contra las Torres del World Trade Center el 11 de septiembre de 2001 desencadenaron la invasión de Estados Unidos a Afganistán, que actualmente llega a su fin. La crisis de misiles de Cuba de 1962 estableció un precedente para la política suicida entre Estados Unidos y Rusia. “Casi desatamos una guerra nuclear”, como declaró a Newsweek Raj Shah, presidente de Resilience, una empresa aseguradora de ciberseguridad.
La posibilidad de que una serie de ciberataques conduzcan a una guerra de gran envergadura está comúnmente aceptada en los círculos diplomáticos. En una declaración conjunta emitida el 14 de junio, los miembros de la OTAN acordaron que “el impacto de actividades cibernéticas maliciosas acumulativas podría, en ciertas circunstancias, ser considerado como equivalente a un ataque armado”. En la declaración también se indica que la OTAN intensificaría su enfoque en el ámbito cibernético, lo que incluye “compartir preocupaciones sobre actividades cibernéticas maliciosas e intercambiar enfoques y respuestas nacionales, así como considerar posibles respuestas colectivas”.
“Si es necesario, impondremos costos a aquellos que nos dañen”, se añade en la declaración. “Nuestra respuesta no tiene por qué limitarse al ámbito cibernético”.
La alianza también confirmó que está abierta a considerar los ciberataques como equivalentes a las operaciones militares convencionales al declarar que “reafirmamos que la decisión con respecto a cuándo un ciberataque nos llevaría a invocar el Artículo 5 será considerada caso por caso por el Consejo del Atlántico Norte”.
La perspectiva de un ataque “físico” en respuesta a los ciberataques ya tiene un precedente en la vida real. Estados Unidos atacó las capacidades cibernéticas del grupo militarista Estado Islámico (ISIS) con un ataque aéreo realizado en agosto 2015, en el que murió el hacker yihadista Junaid Hussain en Raqqa, Siria, la capital de facto del califato.
Uno de los primeros ejemplos reconocidos públicamente de una reacción cinética inmediata ocurrió casi cuatro años después en otra parte de Oriente Medio. En mayo de 2019, las Fuerzas de Defensa de Israel informaron que habían “frustrado una ciberofensiva de Hamás contra objetivos israelíes” con la realización de un ataque aéreo contra un presunto cuartel general situado en la Franja de Gaza, controlada por Palestina. En forma similar, las fuerzas israelíes atacaron estaciones cibernéticas de Hamás durante la confrontación de 11 días, ocurrida en mayo pasado, con Hamás y facciones aliadas palestinas en Gaza. Aunque las secuelas de ambas operaciones permanecieron relativamente controladas, se desconoce la forma en que se manifestaría una respuesta de esa naturaleza en un nivel de Estado contra Estado.
JUGAR A LA DEFENSIVA
ESTADOS UNIDOS Y SUS ALIADOS YA ESTÁN DANDO pasos para contener los ciberataques de grupos afiliados a Rusia. El Cibercomando de Estados Unidos colabora con sus aliados para recopilar conocimientos e inteligencia sobre las actividades de Rusia y otros ciberadversarios, en lo que un vocero calificó como operaciones de cacería anticipada. “Estas operaciones son una parte de nuestra estrategia de ‘defensa anticipada’, en la que vemos lo que hacen nuestros adversarios y lo compartimos con nuestras contrapartes en el territorio nacional para reforzar la defensa”, declaró el vocero a Newsweek.
En una de esas misiones, la cual tenía como objetivo las presuntas ciberactividades de Rusia, fuerzas estadounidenses “descubrieron y revelaron nuevo material relacionado con el incidente de SolarWinds, y a continuación proporcionaron una mitigación clave del malware, atribuido al Servicio de Inteligencia Extranjera de Rusia”, señaló el vocero del Cibercomando estadounidense. El departamento comparte gran parte de su inteligencia con organismos federales y empresas privadas, en un esfuerzo para evitar que los ataques tengan éxito.
Biden ha aludido a las represalias contra Rusia por los ciberataques, pero Estados Unidos no ha hablado sobre los pasos que está dando. Como se afirma en el comunicado conjunto de la OTAN, el gobierno de Biden ha considerado una amplia variedad de opciones en respuesta a los ciberataques de gran magnitud. “La forma en que he caracterizado constantemente nuestra respuesta en relación con SolarWinds y otros ciberataques de ese alcance y de esa escala es que estamos preparados para emprender acciones responsivas visibles y no visibles”, dijo a la prensa en junio el asesor de seguridad nacional de la Casa Blanca Jake Sullivan, “y no diré más”.
Incluso estas declaraciones tan imprecisas han provocado preocupación entre los funcionarios rusos. “Aquello que las personas pueden temer en Estados Unidos —dijo Putin a NBC News— puede ser un peligro para nosotros. Estados Unidos es un país de alta tecnología, la OTAN ha declarado que el ciberespacio es una zona de combate. Esto significa que planean algo; están
“Seremos nosotros quienes decidiremos lo que es un ‘Pearl Harbor cibernético’, lo que significa que Rusia no controlará LA DINÁMICA DE LA ESCALADA”.
preparando algo, de manera que, evidentemente, esto no puede más que preocuparnos”.
Tras la cumbre, Putin aseguró que la “mayoría” de los ciberataques provenían de Estados Unidos y sus aliados.
EVITAR UNA GUERRA NO INTENCIONAL
UNA DE LAS RAZONES POR LAS QUE LA CIBERSEGURIdad forma parte del programa de gobierno de Biden y Putin es evitar una guerra no intencional. Estados Unidos y Rusia han reafirmado su derecho a desplegar ciberoperaciones ofensivas y defensivas. Al no existir acuerdos internacionales, no está claro cuál es una conducta aceptable y cuál no.
“No podemos permitir que esto siga escalando”, afirma Shawn Henry, presidente y director ejecutivo de seguridad de la empresa de ciberseguridad CrowdStrike. “Esa es precisamente la razón por la que sostuvimos conversaciones sobre armas nucleares, pues nos dimos cuenta de que las cosas no podían seguir escalando, que no podíamos caer en una espiral sin control. No podemos preocuparnos de que un adversario lanzará por error un arma debido a que sabemos cuál sería la respuesta”.
Henry, exsubdirector ejecutivo del FBI, señala que el diálogo se debió haber iniciado mucho tiempo antes. “Nos lleva de regreso al punto exacto de la conversación en el que los Estados-nación deben sentarse y definir cuáles son las líneas rojas y cuáles serán las respuestas, de manera que no haya ningún malentendido”.
PERSPECTIVAS PARA UN TRATADO
A JUZGAR POR SU RETÓRICA, PUTIN PARECE DISPUES
to a permitir que un acuerdo gobierne los entresijos de la guerra cibernética. En septiembre pasado afirmó que “uno de los principales desafíos estratégicos de la actualidad es el riesgo de una confrontación a gran escala en el ámbito digital”, como lo comunicó a Newsweek la embajada rusa en Washington.
Putin desea establecer una comunicación de alto nivel entre Washington y Moscú sobre “seguridad de información internacional”, utilizando los organismos existentes relacionados con la preparación en el ámbito nuclear y cibernético. También está a favor de establecer nuevas reglas de acuerdo con los convenios entre Estados Unidos y la Unión Soviética para evitar incidentes marítimos y establecer “garantías [mutuas] de no intervención en los asuntos internos de la otra parte”.
En una referencia a las armas nucleares que dominaron el discurso de la Guerra Fría sobre el control de armamento, Putin también busca un acuerdo mundial de reglas sobre “no dar el primer golpe” en relación con los ciberataques contra sistemas de comunicación, afirmó la embajada.
Sullivan dijo a la prensa que las conversaciones nucleares siguen siendo “el punto de inicio” para las conversaciones bilaterales con Rusia. “Si se añaden elementos adicionales a las conversaciones de estabilidad estratégica en el ámbito del espacio, del ciberespacio o de otras áreas, eso es algo que se determinará conforme avanzamos”. De
hecho, la declaración conjunta sobre “estabilidad estratégica” emitida por ambas partes tras la reunión se apegó estrictamente a las armas nucleares.
Aun así, las conversaciones lograron algunos avances con respecto a la guerra cibernética. Aunque el gobierno de Biden no ha establecido ninguna relación directa entre el reciente ataque con ransomware y el Kremlin, funcionarios estadounidenses han hecho un llamado a Rusia para que los ciberpiratas que se encuentren dentro de sus fronteras respondan por cualesquier ataques que se originen ahí. En entrevista con el medio noticioso Rossiya-1, Putin dijo que estaría de acuerdo en extraditar a quienes sean arrestados en Rusia si Estados Unidos hace lo mismo; Biden prometió corresponder en caso de que se lancen ese tipo de ataques desde suelo estadounidense.
En cierta forma, la cumbre Biden-Putin envía una señal de que la guerra cibernética ha tomado un lugar junto con otras tecnologías militares como una parte aceptada del arsenal de una nación, la cual requiere acuerdos internacionales para mantenerla bajo control. También señala la importancia crucial que tiene la tecnología de la información para la defensa nacional.
“Los ámbitos de competencia ya no son estrictamente militares”, afirma Mike Madsen, director de participación estratégica de la Unidad de Innovación de Defensa del Pentágono. “Son de tipo económico, social, son todas esas cosas distintas. Hablamos de la superioridad en el aire y de la supremacía en el aire, y habrá un día en el que habrá conceptos de cibercuriosidad y cibersupremacía en un ámbito de competencia”.
“En esta era de competencia entre las grandes potencias —confirma—, la carrera tecnológica es el frente más importante”.