Hackers, la nueva amenaza mundial

La batalla del Siglo XXI

Hackers, la nueva amenaza mundial

Potencias en alerta por los ciberataques

Domingo 19 de junio de 2011

Graciela Iglesias, LA NACION

LONDRES.- En materia de combate, a la tierra, el mar y el espacio aéreo se les acaba de agregar otra dimensión: el ciberespacio. Y hay quienes aseguran que la lucha en este terreno puede terminar en un Armageddon.

Las principales potencias militares del mundo están preparándose para evitar ese escenario, conscientes de las debilidades no sólo de su sistema militar, sino de todo el complejo de infraestructuras públicas, cada vez más dependiente de la informatización. Esa vulnerabilidad ha sido puesta últimamente en evidencia por los ataques emprendidos contra el Fondo Monetario Internacional, varias firmas contratistas de Defensa de los Estados Unidos y otras cruciales para las comunicaciones y la economía, como Google y Sony .

En Washington, Leon Panetta, actual director de la CIA y firme candidato a suceder al secretario de Defensa norteamericano, Robert Gates, sostuvo que el próximo Pearl Harbor -el evento que determinó la entrada definitiva de los Estados Unidos en la Segunda Guerra Mundial- es probable que sea un ciberataque, que dañará gravemente los sistemas de seguridad y financieros de Estados Unidos.

Ante el Senado, Leon Panetta advirtió que esta hipótesis llevará a Washington a tomar «tanto medidas defensivas como agresivas» para responder eficazmente al desafío.

«Este es el momento de un cambio histórico -destacó el jefe de la inteligencia norteamericana-. Ya no estamos en la Guerra Fría. Ahora se trata de la Guerra de Tempestad [ Blizzard War , en inglés], es decir, de una tormenta de ciberataques basada en la velocidad e intensidad con la que se desarrolla la tecnología y con la que surgen nuevas potencias a lo largo del mundo.»

El ministro de Defensa chino , Geng Yansheng, admitió recientemente que su país cuenta con una unidad de 30 «cibercomandos» destinados a entrenar al Ejército Popular de Liberación en la defensa de su infraestructura.

Con el nombre de «Ejército Azul», estos comandos ya han realizado varios simulacros durante los cuales respondieron a bombardeos masivos de virus y correos electrónicos basura, así como a la infiltración de códigos en sus redes de comunicaciones lanzados en «misiones secretas», con el fin de robar información sobre el movimiento de sus tropas.

El Pentágono está construyendo su propio modelo en escala de Internet para llevar a cabo ensayos similares.

Ante su encargo, la universidad Johns Hopkins, en Baltimore, y la empresa Lockheed Martin -blanco reciente de un muy real ataque cibernético- trabajan en prototipos de «polígonos virtuales», destinados a simular ataques de potencias extranjeras y de piratas informáticos.

Con un costo de 500 millones de dólares, el proyecto forma parte de un plan para crear un Polígono Nacional Cibernético, supervisado por la Agencia de Investigación Avanzada en Proyectos de Defensa (Darpa, por sus siglas en inglés).

Iniciativas como éstas, sin embargo, toman tiempo y bien pueden quedar retrasadas ante los permanentes avances en tecnología.

El creciente uso de la telecomunicación móvil y de la «computación en la nube» [ cloud computing , en inglés], que elimina la necesidad de contar con archivos físicos para almacenar información, duplicaría los riesgos.

«La verdad es que no hemos hecho lo suficiente y que estamos en esta materia sumándonos al juego bastante tarde», admitió hace poco el contraalmirante Mike Brown, directivo del Departamento de Seguridad Interior norteamericano.

El diario The Wall Street Journal, en tanto, dice haber leído 12 páginas, de un total de 30, de un documento clasificado con el cual el Pentágono se apresta a declarar como «acto de guerra» todo sabotaje cibernético ordenado por otros Estados, pero no así los emprendidos por grupos terroristas, criminales o simples bromistas.

Otra Convención de Ginebra

De esta forma, el gobierno norteamericano buscaría enmarcar su respuesta bélica en las leyes internacionales de conflicto armado.

Pero esta política puede crear sus propios problemas porque establecer la fuente real de un ataque cibernético es notoriamente difícil.

Los hackers saben cómo utilizar computadoras en forma remota de modo de hacer parecer que la ofensiva tuvo origen en un lugar cuando en realidad lo tuvo en otro.

Un buen ejemplo es el del virus Stuxnet, que penetró hace unos meses en el sistema del programa nuclear iraní y demoró su progreso, se estima, en por lo menos dos años.

El origen tanto del virus como de su plataforma de lanzamiento es incierto, por más que por su sofisticación los expertos estiman que detrás debe encontrarse algún gobierno.

Estados Unidos e Israel son en este caso los principales sospechosos. China y Rusia también son frecuentemente acusadas de «ciberintrusismo», algo que tanto Pekín como Moscú niegan terminantemente.

Alexander Klimburg, un experto del Instituto Austríaco de Relaciones Internacionales a quien el Parlamento Europeo encargó la elaboración de un informe sobre el tema, sostiene que toda represalia, ya sea militar o económica, debe ser puesta en manos de organismos internacionales.

Similar es la posición del EastWest Institute. En una conferencia a la que asistieron el primer ministro británico, David Cameron; la canciller alemana, Angela Merkel; la secretaria de Estado norteamericana, Hillary Clinton, y su par ruso, Sergei Lavrov, la organización creada en 1980 para facilitar el diálogo Este-Oeste propuso la redacción de una «Convención de Ginebra cibernética», capaz de establecer términos legales multilaterales de combate en el mundo virtual.

Sin jerarquías

A estas consideraciones les escapan los hackers aficionados.

En España, la policía anunció recientemente la detención de la cúpula de Anonymous, un grupo de internautas anarquistas especializado en ataques de denegación de servicio (DOS) en supuesta defensa de la libertad de expresión.

Ellos fueron los autores de los ataques contra PayPal, MasterCard y Visa, realizados luego de que las tres empresas decidieran retirar su apoyo al fundador de WikiLeaks, Julian Assange.

La noticia del arresto de «jefes» de la organización en distintas ciudades europeas provocó sonrisas porque Anonymous es un movimiento descentralizado que se jacta, justamente, de no contar con una estructura jerárquica.

Hay hackers, además, que ni siquiera tienen una causa para defender.

Lulz Security, el grupo que reivindicó ataques contra los sitios web de la CIA, el Senado norteamericano, el FBI y la multinacional Sony, dice haberlo hecho todo para entretener.

«A ustedes les divierte ver cómo se desencadenan estos líos y nosotros nos divertimos causándolos», aseguró en un comunicado la organización cuyo nombre deriva de la frase » laugh out loud » (reírse a carcajadas, en inglés).

Los que van riéndose todo el camino al banco, en tanto, son los dueños de las empresas aseguradoras.

Por más que sólo un 5% de los ataques emprendidos hasta ahora ha causado daños multimillonarios, las actividades de los hackers lograron triplicar el número de pólizas antipiratería vendidas a multinacionales desesperadas por cubrirse de sus nefastas consecuencias.

PENAS MAS DURAS PARA LOS PIRATAS

WASHINGTON (Reuters).- La Casa Blanca reclamó sentencias más duras por el ingreso ilegal a las redes de computación privadas y gubernamentales, incluso antes de que los hackers de Lulzsec atacaran los sitios web de la CIA y el Senado. El mes pasado, el gobierno del presidente Barack Obama presionó al Congreso para que aumentara a 20 años de cárcel (el doble de la existente) la pena máxima por poner en riesgo la seguridad nacional. Todavía la propuesta no se convirtió en ley.

LOS BLANCOS

• 18/4/2011 PlayStation. Hackers robaron datos de 77 millones de cuentas de usuarios de los servicios en red de PlayStation

• 7/5/2011 Fox Networks. El grupo Lulzsec hackeó la Web del show The X Factor y publicó los datos de los participantes

• 10/5/2011 Citigroup. Ciberpiratas accedieron a los datos de 360.000 titulares de tarjetas de crédito de Estados Unidos.

• 21/5/2011 Lockheed Martin. El proveedor de material tecnológico de defensa del gobierno de EE.UU. sufrió un ciberataque.

• 30/5/2011 PBS. El grupo Lulzsec hackeó la Web de la cadena de televisión norteamericana y publicó datos falsos.

• 1/6/2011 Google. Hackers chinos intentaron robar las claves de cientos de dueños de correos electrónicos.

• 9/6/2011 Turquía. El grupo Anonymous atacó varios sitios Web del gobierno en protesta por la censura en Internet.

• 12/6/2011 FMI. El organismo fue víctima de un sofisticado ciberataque, cuyas dimensiones se desconocen.

• 13/6/2011 El Capitolio. El sitio web del Senado de EE.UU. también fue víctima de los ataques del grupo Lulzsec.

• 15/6/2011 La CIA. El sitio de la CIA colapsó el miércoles pasado debido a un ataque de los activistas de Lulzsec.

OTRAS EMPRESAS EN LA MIRA

• Sonybmg
• Nintendo
• Infragard-Atlanta
• Bethesda Game Studio
• Gobierno de Malasia
• RSA

LOS ATACANTES

• ANONYMOUS. Es la red internacional de hackers más conocida de Europa. No tiene líderes y su símbolo es la máscara de la película V de Venganza.
• LUIZ SECURITY. Lulzsec es un grupo nuevo de hackers que comenzó a publicar sus actividades el mes pasado. Sus ataques están motivados por la diversión y no tanto por la política, y su objetivo es «reírse de la seguridad» de los sitios web.
• CIBERPIRATAS CHINOS. China es el principal país sospechoso de ciberataques en el mundo. Google denuncia al gigante asiático desde 2009, pero Pekín niega sistemáticamente cualquier relación con estas actividades.

 

PARA UN HACKER, TODO CONTROL ES VULNERABLE

Por Ariel Torres, La Nación

«Estas compañías despliegan toda combinación imaginable de controles perimetrales e internos de la más avanzada tecnología, y utilizan toda combinación imaginable de operaciones de seguridad y controles de seguridad. Y, sin embargo, los atacantes que se lo proponen siguen encontrando una forma de invadir sus sistemas.»

Este es el retrato descarnado, pero realista, de la situación de empresas y organizaciones frente a los ataques informáticos. No es obra de un novelista, sino de Uri Rivner, ejecutivo de RSA, la compañía responsable de la seguridad de, entre otros, el Bank of America y el Citigroup. RSA fue hackeada en mayo.

Para tener una visión fidedigna de esta silenciosa batalla cibernética hay que abandonar la idea hollywoodense de que los hackers actúan solos. La invasión de sistemas ya es un provechoso negocio ilegal, y forma parte, además, del antiquísimo oficio de la guerra. Los ataques a gran escala contra blancos bien protegidos son diseñados y ejecutados con el detalle y los recursos de una operación militar.

La forma de ataque más temible proviene de los que se denominan Advanced Persistent Threat (APT; amenazas avanzadas persistentes), usualmente asociadas a países. Estos ataques buscan blancos específicos (como RSA o Google) y trabajan incansablemente hasta dar con una fisura, un punto débil en la red. Aunque el abanico de armas y métodos de esta clase de ataques puede incluir virus diseñados a medida, la operación casi siempre busca explotar una vulnerabilidad en los sistemas, es decir, una falla que le permitirá al hacker ganar privilegios para ejecutar un programa, cambiar la configuración o simplemente robar información.

El virus Stuxnet, creado para vulnerar el sistema de control de plantas industriales Scada, de Siemens, explotaba cuatro debilidades hasta entonces desconocidas y una más, que ya había sido usada por otro gusano, el Conficker. El ataque a RSA aprovechó una vulnerabilidad del software Flash, de Adobe. La lista es interminable y crece.

El usuario final suele ser el punto de entrada de los atacantes. Una llave de memoria abandonada estratégicamente para que alguien la encuentre y la enchufe en su computadora puede introducir en la red el código malicioso. En el caso de RSA, se enviaron mails con un supuesto plan de reclutamiento para 2011. Adjunto iba archivo de Excel infectado. Cuando un empleado sintió curiosidad y abrió ese adjunto, la red quedó comprometida.

Otras formas en que se obtiene acceso a los sistemas son las contraseñas débiles, los Wi-Fi sin clave y la vieja pero siempre actual ingeniería social. O, para decirlo en términos más simples, el cuento del tío.

Fuente: La Nación