Por Sabrina
Pagnotta
En Estados Unidos, el senador por el estado de Massachusetts
Edward Markey presentó una carta dirigida a cinco agencias federales,
pidiéndoles información y explicaciones sobre el escenario actual de
ciberataques a instalaciones nucleares.
Según comenta CNET, el texto exige saber cómo está
defendiendo el país a sus plantas nucleares, cuántas fueron atacadas, quién
coordina su seguridad y cómo se podría mejorar. Markey pidió que se le
respondiera para el 10 de agosto y dedicó la carta al Departamento de Defensa,
al Departamento de Energía, al Departamento de Seguridad Nacional, al FBI y a
la Comisión Reguladora Nuclear.
El pedido surgió luego de que el FBI y el Departamento de
Seguridad Nacional reportaran que las instalaciones nucleares de los Estados
Unidos han sido blanco de cibercriminales al menos desde mayo de este año, y
que la frecuencia e intensidad de los ataques se ha incrementado en los últimos
dos meses.
Esta observación no nos sorprende si miramos al contexto
internacional: en junio, ESET publicó su investigación sobre Industroyer, la
mayor amenaza a sistemas de control industrial desde Stuxnet. Es un malware
capaz de dejar sin suministro eléctrico a una población que podría ser
modificado para dirigirse a otros tipos de infraestructura crítica. Además, ya
habíamos identificado a este tema como una preocupación a nivel global en
nuestro informe de Tendencias 2017, cuando anticipamos que los cibercriminales
seguirían atacando la infraestructura crítica a través de la infraestructura de
Internet, buscando formas de perpetrar ataques disruptivos.
Ahora se sabe que hubo otras instalaciones críticas que
fueron blanco de ciberataques. Por ejemplo, Wolf Creek Nuclear Operating
Corporation, la cual maneja una planta en Kansas, según había indicado el FBI.
A la preocupación por parte del ámbito político, que expresó
la carta de Edward Markey, se suma la de otras partes involucradas. Por
ejemplo, el experto en ciberseguridad Sandro Gaycken, que colabora en un
proyecto de la OTAN, dijo que los gobiernos alrededor del mundo no logran
proteger adecuadamente sus instalaciones nucleares, lo cual podría derivar en
una “guerra nuclear accidental”.
El director del proyecto SPS (Science for Peace and
Security) de la OTAN dijo, según IBTimes: “Un ciberataque podría ocasionar que
las computadoras colapsen y activen armas nucleares de manera inadvertida”. O,
en otro escenario, “las computadoras infectadas no se apagan, pero reaccionan
de manera impredecible”.
Gaycken remarcó que muchos sistemas de este tipo tienen
estructuras y configuraciones muy similares, por lo que una amenaza podría
afectar a varios al mismo tiempo en distintos países. Es, en cierta forma, lo
que anticipábamos respecto a amenazas como Industroyer que son altamente
personalizables.
El problema de base es que estos sistemas fueron
desarrollados hace décadas, sin pensar en la seguridad, porque en ese entonces
no se suponía que fuesen a conectarse a internet.
Entonces, ante tantas preocupaciones y advertencias, ¿qué se
podría hacer?
Lo principal sería lograr el consenso de todas las partes
involucradas; no bastan los hallazgos de los investigadores y expertos en
cibseguridad si los gobiernos y las autoridades federales no instrumentan
programas de defensa adecuados.
Una opción que se ha estado discutiendo en febrero de este
año fue la creación de un “Convenio de Ginebra digital”, es decir, una versión
digital de las convenciones y protocolos acordados entre 1864 y 1959 para
proteger a las víctimas de los conflictos armados. La propuesta fue
principalmente impulsada por el presidente de Microsoft, Brad Smith, quien
aseguró:
Así como el Cuarto Convenio de Ginebra ha protegido a
civiles en tiempos de guerra, necesitamos ahora una Convención de Ginebra
Digital que comprometerá a los gobiernos a proteger civiles de ataques de
estados-nación en tiempos de paz. Y así como el Cuarto Convenio de Ginebra
reconoció que la protección de civiles requería la participación activa de la
Cruz Roja, la protección contra ciberataques de estados-nación requiere la
asistencia activa de compañías de tecnología.
El sector tecnológico desempeña un papel único como los
primeros en responder en internet, por lo que debemos comprometernos con
acciones colectivas que harán de internet un lugar más seguro, afirmando un
papel como una Suiza digital neutral que asiste a clientes en todas partes y
conserva la confianza del mundo.
Todo parece indicar que los cibercriminales están probando
el alcance de sus ataques y que la ofensiva no se detendrá, por lo que, como
decía el investigador de ESET Robert Lipovsky, este es un llamado de atención a
todos los responsables por la seguridad de sistemas de control industrial e
infraestructuras críticas en todo el mundo.
