Ciberataques
Cuando los hackers secuestran las ciudades.
Los ataques cibernéticos exigen que las empresas activen “guardaespaldas virtuales”. El incremento de la piratería en los sistemas informáticos en el mundo pone en alerta a gerentes de seguridad en instituciones y empresas. Rafael Núñez, ingeniero venezolano, exhacker y experto en el tema, da claves para evitar los riesgos.
Hay que pertrecharse de “guardaespaldas virtuales” que protejan nuestros datos en la red. Los ataques informáticos están ocurriendo con preocupante frecuencia en cualquier parte del mundo y todos estamos expuestos, según advierten los expertos.
En Baltimore, Estados Unidos, unos hackers penetraron los sistemas informáticos de pagos de servicios públicos de la ciudad, ubicada a 56 minutos de Washington. “Secuestraron” la data y paralizaron la actividad administrativa durante el mes de mayo. ¿Cómo lo hicieron? Funcionarios de la oficina estatal recibieron un mail que invitaba a ingresar a una web conocida, pero en realidad se trataba de una suplantación. Cuando abrieron el link, los hackers lograron entrar en los ordenadores y apoderarse de los datos de todos los usuarios.
El ataque de phishing (suplantación de identidad) es el método más común en la actualidad que ejecutan grupos criminales en el
mundo cibernético, según el ingeniero informático venezolano Rafael Núñez, quien fue hacker hace dos décadas y hoy, a los 40 años de edad, es un solicitado asesor de seguridad.
Un virus llamado ransomware o secuestrador de datos –su traducción al español–, creado por programadores, actúa como un caballo de troya a través de robots que buscan aleatoriamente sistemas vulnerables. Una vez dentro del ordenador que ha infestado, el virus impide o restringe a los usuarios acceder a su sistema o a sus archivos personales, y pide un rescate a cambio de desaparecer. En la pantalla del equipo aparecerá la exigencia del pago en bitcoins.
Núñez afirma que los ataques cibernéticos se diversifican a gran velocidad y están ocasionando pérdidas milmillonarias a instituciones y empresas.
En efecto, el costo de la incursión programada en Baltimore se calculó en al menos 18,2 millones de dólares, según reportes de prensa. Un monto mucho mayor al del “rescate” de 13 bitcoins (más de 88.000 euros o 100.000 dólares), exigido por los hackers para liberar el sistema. El hackeo no solo paralizó los pagos, sino que también evidenció que los sistemas no tenían protección.
“Las empresas pierden miles de millones de dólares, dependiendo de la información que roben”, explica Núñez, aunque el riesgo de perderlo todo es aún mayor. “A veces es mayor el daño reputacional que ocasiona el hackeo. Para una empresa, la reputación, es decir cuán seguros son sus sistemas, es invaluable y fundamental”, señala el exhacker. El propósito puede ser político o social, y muchas veces vinculado con el ciberterrorismo.
Sin embargo, pese a que la cibernética mueve toda la información que gestiona un país entero (datos eléctricos, satelitales, bursátiles, bancarios, financieros...) buena parte de las organizaciones en el mundo que poseen sistemas informáticos no invierten en su protección.
En España, se calcula que nueve de cada diez empresas sufrirá un ataque informático durante 2019, provocando fugas de datos sensibles, según la publicación especializada Cybersecurity Ventures, reseñada por Hosteltur en marzo pasado.
La razón principal está asociada a la falta de recursos humanos suficientes dedicados a salvaguardar sus sistemas y datos allí almacenados, y en consecuencia a la falta de inversión.
La firma proyecta que para el año 2022 se necesitará cubrir 1,8 millones de puestos de trabajo para garantizar la seguridad informática. Aunque se ha dispuesto la preparación de personal para que realicen el servicio, no se han reportado desembolsos para asegurarlos.
Y es que en el mundo cibernético en el que la amenaza supera la virtualidad de un videojuego los responsables de los sistemas no siempre apuestan a que ganen los buenos.
URGEN “GUARDAESPALDAS VIRTUALES”
Invertir en protección contra ataques cibernéticos es una exigencia sobre la que hay que cocienciar a las personas y empresas. Es tan esencial como costearse un par de guardaespaldas ante la inseguridad personal o de bienes, advierte Núñez. El gasto destinado a activar mecanismos dependerá de cuánto se deba proteger, de la infraestructura o de la topografía de la red.
Inclusive el medio musical no está exento de riesgo. La banda británica Radiohead, grupo de rock alternativo y art rock originaria, sufrió un ataque virtual, relata Núñez, fanático de la agrupación formada en 1985. Al cantante Thom Yorke le robaron unas notas personales al ser hackeada una cuenta de música antigua. “Lo extorsionaron, pero decidió publicar sus notas y no pagar, lo cual es lo correcto”.
En cibernética hay que preparar bien a los “guardaespaldas virtuales” para cubrir los sistemas. “Estamos expuestos a nivel internacional, no hay límite. Te pueden estar atacando desde China, Rusia, Estados Unidos o Brasil. Hay que tener las mejores prácticas de seguridad de información en el sector empresarial”.
La mayor cantidad de los pocos programadores del ransomware que existen en el mundo proviene generalmente de Europa del Este, asevera el experto. Cobran entre 80.000 y 100.000 euros y exigen que sea indetectable a la heurística: una forma de detectar amenazas sin tener la base de datos. Cuando ven que un datagrama envía una alerta preventiva, los virus se hacen indetectables, imperceptibles. Cuando están dentro del sistema cambian de forma, se conectan a internet y se actualizan.
“Por eso esto es un reto para la ciberdefensa”, expresa Núñez, quien refiere que a pesar de que existen muchos movimientos de hackers, “hay muy pocos buenos”. Aunque no los menciona.
El experto conoce bien los oscuros pasadizos de los sistemas. A los 20 años era experto programador y uno de los líderes del grupo HOW, uno de los más notorios de la época. Ingresó allí luego de trabajar en la página Astalavista.box.sk, un buscador de hackers de Eslovaquia, en donde diseñaba los logotipos a estas organizaciones.
“Éramos retadores intelectuales, competíamos entre nosotros mismos para demostrar qué grupo era el mejor; desfiguramos páginas web para demostrar que eran vulnerables, pero jamás robamos información”, jura Núñez. Cuatro años más tarde, en 2005, fue enviado por la empresa venezolana de telecomunicaciones Cantv, donde se encargaba de la seguridad informática, a Estados Unidos. Al llegar fue detenido por funcionarios del Departamento de Estado, el FBI y la NASA, e investigado, pero quedó en libertad y deportado a Venezuela. Tenía 25 años de edad.
Por eso sabe cómo preparar los programas contra el ataque informático criminal.
TRES MODOS DE ATACAR
Los ataques ocurren en tres vertientes, indica. Una es con ingeniería social, es decir, el vector que engaña a las personas con el “haga click”. El ransomware es polifórmico: infesta toda la red, pero se usa también como distracción. Mientras el administrador del sistema se centra en tratar de borrar
Es el segundo ataque que ha tenido Baltimore en un año y uno de los más de 170 incidentes de secuestro de datos que han sufrido las Administraciones estatales y locales estadounidenses desde 2013, según un estudio de la compañía tecnológica Recorded Future.
la red activa, los hackers por otro lado están robando toda la información.
El hacker puede penetrar llamadas telefónicas e inclusive mensajes de texto.
Otra modalidad ocurre al no poseer sistemas actualizados, advierte Núñez. En muchos países como Venezuela, donde proveedores viajaron a otros países por las dificultades para obtener divisas, los sistemas fueron quedando rezagados de la protección, y convirtiéndose en nichos para que los ciberdelincuentes escanearan cuentas. Además, se descubrieron nuevas brechas en versiones de sistemas, las cuales hacen inaplazable la actualización de los sistemas para dejar de ser vulnerables.
Una región muy expuesta es Latinoamérica. “En países adonde viajé para dar charlas observé que tampoco tienen actualización del management pack, no poseen los recursos para invertir y uno se da cuenta cuando se hace la auditoria”.
No obstante, en América Latina se está despertando el interés por invertir. “El latinoamericano es reactivo: hasta que no le pica la avispa, no se protege”. Destaca que Brasil y Chile son los mejor preparados para resistir ataques cibernéticos. Estados Unidos, por su parte, es el país con mayor inversión en seguridad, debido a los numerosos ataques a instituciones y empresas.
Las contraseñas, como parte de los sistemas, son también blanco de los hackers. Deben ser robustas y bien hechas, sugiere Núñez, porque el hacker siempre la robará de alguna manera. “Los bancos hoy día están concientizando a los tarjetahabientes, porque el hacker no ataca el banco, sino a la gente y se hace pasar por la institución bancaria o el servicio, siempre buscando la manera de robar información”.
El auge de la biometría en dispositivos celulares y de computación es importante, pero la contraseña y la forma de autenticar la identidad deben robustecerse.
“La buena noticia es que el equipamiento tecnológico y el software en seguridad de información que eran muy costosos hace años, ahora no lo son. Con el auge de diferentes marcas y la economía disruptiva, el hardware o el hierro como lo llamamos, es cada vez más pequeño y más económico, y eso hace que haya un cambio de percepción y la seguridad no se vea como un gasto, sino como una inversión”.
El caso de Julian Assange, programador, periodista y creador de WikiLeaks, portal que recibía filtración de datos sobre acciones antiéticas de los Estados, es para Núñez ejemplo emblemático de cómo la fuga de información confidencial puede ocasionar costos elevados. Cita también el de Edward Joseph Snowden, consultor estadounidense de tecnología, informante y exempleado de la CIA y de la NSA.
En ambos casos vendieron información, y esto revela la importancia de la concientización interna, dice.
“Uno de los aspectos que las empresas deben cuidar es el del intruso interno, las personas que son muy mal pagadas, pero que tienen el manejo de la base de datos bajo su responsabilidad. Estos empleados son sensibles a las mafias que los reclutan, les pagan y filtran información. En las organizaciones hay que trabajar la educación interna”.