Por Carina Martínez
21 de octubre de 2016. Los usuarios de plataformas como Twitter, Netflix, Spotify y de medios digitales como The New York Times o CNN amanecen con la novedad de que el acceso a sus sitios favoritos está vedado. Logran entrar un par de horas más tarde, pero el hecho se repite dos veces más a lo largo de la jornada. ¿Qué es lo que sucede? Simple –y complejo–: los servidores de Dyn, uno de los mayores proveedores de DNS (sistema de nombres de dominio) han recibido “toneladas” de requerimientos a la vez, que colapsaron el sistema que permite la identificación de los sitios (URL).
¿Qué es DNS? es la tecnología que permite que, al introducir una URL (supongamos, http://www.mercado.com.ar), el navegador nos lleve al sitio correcto, previo traducir esa URL en la dirección IP adecuada. Dyn es algo así como un “directorio telefónico” de sitios web y aloja las direcciones de grandes compañías como las mencionadas más arriba; entonces, basta con atacar esos servidores para bloquear el acceso a múltiples plataformas.
La era de la hiperconectividad tiene sus riesgos; es claro. Y a medida que la sociedad avance hacia un mundo donde las máquinas, los dispositivos, los electrodomésticos estén conectados entre sí –en el camino implacable de “internet de las cosas”–, el tema de la ciberseguridad adquiere una relevancia extrema.
Sobre todo esto versó la edición 2016 de la Cumbre Latinoamericana de Analistas de Seguridad que realizó la compañía especializada en soluciones de seguridad informática de origen ruso, Kaspersky. Allí, distintos especialistas brindaron un panorama sobre la compleja situación que se avecina, si no se toman medidas adecuadas.
América latina, en peligro
“En la región, se registra un ataque cada 12 segundos” fue el primer título arrojado en el encuentro que se desarrolló en Los Cabos, México, y en el cual Mercado estuvo presente. Dmitry Bestuzhev, director del Equipo de Investigación y Análisis para América Latina, fue el encargado de mostrar la foto actual de las amenazas, para comenzar a dimensionar el problema.
Algunos de los resultados ofrecidos por el informe elaborado por Kaspersky Security Network indicaron que Brasil es el país más vulnerable en cuanto a malware, con casi la mitad de los equipos analizados amenazados por programas indeseables. Como ejemplo, y como suele suceder en ocasiones de eventos que mueven multitudes, durante los Juegos Olímpicos de Río, además de detectarse unos 230 dominios maliciosos, se verificó que 25% de las redes wifi en las zonas olímpicas eran inseguras y que las barreras de seguridad podían romperse en solo 8 segundos.
En cuanto a este tipo de ataques –del estilo virus, troyanos y similares– la Argentina es en principio la menos vulnerable de la región, con 29,5%. Sin embargo, es el segundo país en cuanto a eventos de phishing, esto es, el robo de información sensible, como una contraseña o datos sobre tarjetas de crédito o bancarios, para lo cual el cibercriminal se hace pasar por una empresa o persona de confianza. Con 7,5%, escolta a Brasil, que es líder también en esta amenaza (12,3%).
Fuera de estos ataques más comunes y generalizados, como el malware y el phishing, con los que los cibernautas estamos de alguna medida familiarizados –aunque no necesariamente resguardados–, los analistas en seguridad de Kaspersky dieron a conocer formas más complejas y harto preocupantes de ciberataques.
Fabio Assolini fue quien dio cuenta de las amenazas crecientes a bancos y entidades financieras, que permiten a organizaciones cibercriminales hacerse de cuantiosos dineros implementando herramientas novedosas –aunque también sin demasiado esfuerzo, debido al parque anticuado de cajeros automáticos faltos de sistemas de seguridad eficientes–.
Por su parte, Claudio Martinelli y Thiago Marques advirtieron sobre el avance de los sofisticados “ataques dirigidos” y de las vulnerabilidades del sector industrial, que pueden afectar a las empresas produciéndoles ingentes perjuicios económicos.
Un universo aparte lo conforman los gamers, quienes, enfrascados en el éxtasis de la diversión y el ansia de ganar, muchas veces no ven los peligros a los cuales se enfrentan, y no precisamente por al accionar de su contrincante. En este caso, fue el analista Santiago Pontiroli quien alertó sobre los riesgos y dio un ejemplo: Los usuarios compran contenidos y “artículos”, que pagan en línea y atesoran con amor. Pero para hacerse de ellos de manera más económica, muchas veces instalan aplicaciones de dudosa procedencia, arriesgando su seguridad y privacidad.
Ciudades inteligentes, ciudadanos no tanto
Allá por los 60-70, la vida que William Hanna y Joseph Barbera imaginaron para la entrañable familia de Los Supersónicos hacía alucinar a niños –y adultos– que veían su vida simplificada gracias a la tecnología: casas inteligentes donde los waffles salían listos de una máquina con solo apretar un botón y los pisos se limpiaban solos mediante robots que se deslizaban por el suelo. Despertadores parlantes, relojes inteligentes, medios digitales reproducidos en pantallas planas y comunicación por videollamada… Aquello que parecía “de otro mundo”, hoy es apenas una mínima parte de nuestra cotidianeidad.
Lo que no pudieron predecir sus autores, como es lógico, fue los riesgos que la hiperconectividad y el desarrollo tecnológico interconectado acarrearían a los seres y las ciudades; las vulnerabilidades a las cuales nos exponemos a medida que nuestra vida pasa a ser más y más digital, más y más interrelacionada, y en “la nube”.
Innegables son los beneficios que brinda la tecnología. Ahora resta tomar conciencia de que “nada es gratis”, parafraseando a Evgeny Chereshnev, director global, Redes Sociales, Kaspersky Lab, a quien retomaremos en la nota siguiente.
“Vivimos en un mundo interconectado donde cada día millones de datos viajan por la red llevando información enviada desde diferentes dispositivos. La adopción en el uso de la tecnología dentro de las ciudades ha permitido la automatización en los servicios de transporte, comunicaciones, sistemas de tráfico, hospitales y sistemas gubernamentales. Con estas ‘ciudades inteligentes’ se busca mejorar la calidad de vida de los ciudadanos. Sin embargo, esto lleva un riesgo implícito y la seguridad informática en este contexto es un tema prioritario ya que la información que se genera, viaja y almacena representa un riesgo para las personas, las empresas, las infraestructuras críticas o incluso para el mismo Gobierno –reseña el abstract de la ponencia del analista en seguridad Roberto Martínez–. Un número importante de estos dispositivos se encuentran expuestos y pueden ser accesibles de forma remota y en muchos de los casos no cuentan con los mecanismos mínimos de seguridad que permitan su protección. Hoy, existe una cantidad de herramientas accesibles de forma gratuita en internet que enseñan cómo vulnerar estos sistemas”.
Es sabido que día a día aumenta la cantidad de dispositivos que las personas suman a su vida cotidiana. Cada uno de ellos, abre una nueva “puerta trasera” por la cual los ciberatacantes pueden entrar, no solo para hacerse de nuestros datos y afectar nuestros propios dispositivos sino para ser utilizados como trampolín para atacar otros sistemas.
Ya no es necesario fantasear con un ataque marciano para imaginar una ciudad entera colapsada en segundos por el ataques simultáneos de ciberdelicuentes, dirigidos a los sistemas automatizados que manejan los servicios críticos: las telecomunicaciones, los sistemas de gestión y control de aeropuertos, de subterráneos, de luminaria pública, de semáforos… y ni qué hablar de las centrales hidroeléctricas o nucleares.
Todo lo que hace a una ciudad inteligente conforma un complejo e interrelacionado sistema que puede ser vulnerado de formas cada vez más sofisticadas, en poquísimo tiempo. Entonces, otra vez cabe la pregunta: ¿Están preparados los Gobiernos para hacer frente a este tipo de posibles sabotajes? ¿Ponen en marcha, ciudadanos y funcionarios, los mecanismos adecuados de seguridad para evitar que sucedan?
Casos como el ataque generalizado del 21 de octubre pasado, o el hackeo a los mismísimos servidores de la Casa Blanca en plena campaña electoral muestran que aún falta mucho camino por recorrer.
Kaspersky en la región
Daniel Molina, director general de Mercados Estratégicos para América Latina de Kaspersky Lab, fue el encargo de abrir la 6ta Cumbre Latinoamericana de Analistas de Seguridad, realizada en Los Cabos, México.
América latina es una región de fuerte crecimiento y potencial para Kaspersky. Su tasa de participación –cercana a 22% según IDC, con base a datos de 2015– es tres veces mayor a la global. A pesar de la difícil situación del mercado, el crecimiento en la región fue de casi 5%.
Atentos a Saguaro
Una de las novedades que presentaron los especialistas de Kaspersky Lab en la Cumbre Latinoamericana de Analistas de Seguridad fue una nueva campaña de ciberespionaje denominada Saguaro. Se trata de un grupo cibercriminal, que opera principalmente en México, que se supone está activa desde 2009. Dmitry Bestuzhev fue el encargado de dar la “mala nueva” y explicar de qué manera se maneja el grupo en América latina.
Esta organización ha atacado a instituciones financieras, de salud e investigación, así como a proveedores de internet, agencias de relaciones públicas, universidades y empresas de logística, y su objetivo es espiar y robar información confidencial de sus víctimas.
Los ataques empiezan con un simple correo electrónico del tipo spear-phishing, que atrae a las víctimas seleccionadas para que abran un documento malicioso de Microsoft Office con un macro incluido. Para crear un gancho más creíble y tratar de pasar inadvertidos, los documentos parecen ser enviados por una agencia de Gobierno regional o institución financiera. Los expertos de Kaspersky Lab identificaron más de 120.000 víctimas en el mundo.
Alarmas recientes
Novísimas investigaciones de especialistas de Kaspersky Lab alertaron que los ataques DDoS –ataques distribuidos de denegación de servicio, como el sufrido por Dyn en octubre 2016– a veces son utilizados por los ciberdelincuentes para distraer a las empresas mientras los hackers informáticos entran a escondidas por “la puerta trasera”. Más de la mitad de las empresas encuestadas (56%) están seguras de que los ataques DDoS se han utilizado como una cortina de humo para otros tipos de cibercrimen, y la gran mayoría de las empresas encuestadas (87%) informó que también había sido víctima de un ataque dirigido.
Otro dato reciente destacable es que uno de cada cuatro (28%) de 31 millones de hotspots o puntos de acceso wi-fi públicos analizados en el mundo es inseguro y representa un riesgo para los datos personales de los usuarios. Eso significa que todo el tráfico transmitido a través de esas redes, incluso mensajes personales, contraseñas, documentos y mucho más, puede ser interceptado fácilmente y utilizado por los atacantes.
Entre las predicciones para 2017, los analistas advierten el crecimiento del ransomware –el “secuestro” de partes o archivos del sistema infectado y pedido de rescate– también para dispositivos móviles.
Además, alertan sobre las medidas de seguridad en el uso de USB y los peligros que acarrea el manejo de software ilegal, otros dos grandes potenciales riesgos para nuestros dispositivos.
Sector industrial, en riesgo
Thiago Marques
En entrevista con Mercado, en el marco de la 6ta Cumbre Latinoamericana de Analistas de Seguridad, Thiago Marques, especialista de Kaspersky Lab, ahondó sobre los riesgos a los cuales el sector industrial está expuesto por la falta de medidas adecuadas de prevención. Robots y sofisticadas máquinas ya no son meros “fierros” que se encienden con un botón y funcionan sin más. Están manejados por sistemas computarizados, que pueden ser vulnerables muchas veces como cualquier PC.
Los sectores más afectados, de acuerdo a Marques, son los gubernamentales y las industrias de gran porte, como las energéticas y las petroquímicas, porque los equipos suelen ser más antiguos y no cuentan con las medidas de seguridad adecuadas.
“Por lo general, una empresa compra una máquina, supongamos, a China –explica el experto–. Llega el equipo; el responsable pasa un mes entero configurándolo para que todo funcione; lo deja andando. Pero por lo general nadie chequea los temas de seguridad, ni siquiera algo tan básico como quién tiene acceso a su configuración. Incluso, es habitual que las máquinas vengan con credenciales no modificables; no se puede cambiar el usuario ni la contraseña que trae de fábrica, lo cual las vuelve más vulnerables”.
Según Marques, aunque hoy una parte importante de los sabotajes o fraudes proviene del mismo personal interno –ya sea por cuenta propia o para terceros, que les pagan para ejecutar el sabotaje–, los ataques externos también vienen creciendo y la mayoría de las empresas no están preparadas.
Es bien sabido que las compañías pierden cuantiosas sumas de dinero por problemas de seguridad. Entonces, ¿por qué no invierten en medidas adecuadas para proteger sus máquinas y su negocio? Según Marques, gran parte se debe a la falta de conciencia sobre la gravedad de la situación. La mirada a corto plazo suele primar y lo que le preocupa a los responsables es que las máquinas estén cuanto antes en funcionamiento para producir lo más posible en el menor tiempo posible.
“El tema de la seguridad es central tanto para grandes empresas como para pequeñas o incluso profesionales independientes. Por ejemplo, si se instala un Smart TV en una consultorio o en la oficina de un director, por lo general no se toman medidas básicas como desactivar el bluetooth o el acceso a internet”, explica.
Por ello, además de brindar las soluciones necesarias para minimizar los riesgos, uno de los objetivos de Kaspersky es concientizar en esta materia a quienes están a cargo, para evitar grandes pérdidas económicas, no siempre jerarquizadas como es debido.
El Che biónico
Una gesta por la privacidad
Evgeny Chereshnev es director global, Redes Sociales, de Kaspersky Lab. Pero quizás eso no sea lo más relevante. “Che”, como prefiere ser nombrado, es amante de la Argentina y tiene los aires revolucionarios de su tocayo, pero adaptados a los tiempos que corren. A diferencia del nuestro de los 60, su batalla no es contra la propiedad privada sino todo lo contrario.
Por Carina Martínez
Evgeny Chereshnev
Sus banderas se alzan en pos de salvaguardar la privacidad de los datos personales que, a su criterio, se encuentra vulnerada y en riesgo permanente. Hoy, un puñado de empresas es, en la práctica, “dueña” de nuestros datos, y sabe más de nosotros que nosotros mismos; ¿pero cuánto sabemos nosotros de ellas?
Facebook, Google, Amazon, Microsoft, Apple, por nombrar las más usuales, tienen un registro inconmensurable de nuestras características, comportamientos, datos fácticos. Esto les otorga un poder del cual no tenemos casi registro. Y nosotros, quienes cedemos cuasi voluntariamente estos datos, no somos en verdad quienes disponemos de lo que con ellos se haga.
Como parte de su gesta, Che lleva un biochip incrustado en su mano izquierda desde hace dos años. Allí, guarda celosamente su información, sin necesidad de contraseñas y con datos que no puedan ser robados. Como bonus track, en sus oficinas abre puertas sin siquiera tocarlas y accede a los dispositivos sin recordar ninguna clave. Nada mal.
Pero esto no es un juego. Chereshnev forma parte de lo que en Kaspersky denominan Future Crew; un grupo de gente, seleccionada de entre sus empleados, que investiga las tendencias y las posibles acciones a implementar para minimizar los riesgos que este aspecto del desarrollo tecnológico acarrea.
Desde que convive con el chip, Che comenzó a experimentar, de alguna manera, la real fusión entre “hombre y máquina” y a pensar en escenarios posibles sobre algo que, parece, se avecina inevitablemente.
“Lo que hoy se denomina inteligencia artificial no es más que machine learning (aprendizaje de máquinas) –sostiene–, porque para hablar realmente de inteligencia artificial la máquina debería ser capaz de mejorarse y replicarse a sí misma sin ayuda externa. Y eso no es lo que sucede actualmente”. “Pero ¿por qué genera tanto temor la idea de la inteligencia artificial? –se pregunta–. Porque al ser humano evolucionar le lleva miles y miles de años, mientras que a las máquinas podrían bastarles pocos segundos” –se responde–. Sin embargo, es necesario amigarse con la idea”.
Lo que hay que entender, además, es el cambio de percepción respecto de la computadora. Lo que hasta hace unos años era solo una herramienta que nos ayudaba a hacer algo, hoy es una interfase que prácticamente “divide entre el estar vivo o muerto”. En este esquema, nosotros “ya no somos usuarios, somos sensores del sistema que le permite mejorarse, sin que podamos controlar el proceso”.
Esclavos digitales
Desarmando el miedo a la inteligencia artificial, Che apuesta a generar consciencia sobre otros riesgos. “Todo lo que uno hace en internet, queda para siempre en internet”, nos recuerda. Algo que de alguna manera sabemos pero…
Para el ejecutivo, uno de los principales motivos por los cuales los usuarios aceptamos meternos en el juego, siquiera con un mínimo grado de libertad de elección, es la gratuidad. Preferimos lo “gratuito” aunque debamos exponernos para ello. Sin embargo –nos alerta Chereshnev–, nada es gratis en este mundo, y uno entrega mucho más de lo que supone al “aceptar” las condiciones de las plataformas y redes en principio “gratuitas”.
Un caso ejemplificador sobre el valor y el poder de los datos que describe el ejecutivo es el de Amazon. Esta empresa maneja algoritmos de predicción inusitados. Puede “saber” –o tiene altísimas probabilidades de acertar– qué va a comprar una determinada persona en breve. Cada búsqueda realizada en internet queda registrada, también las compras anteriores. Así, la compañía logra ofrecer, proactivamente, productos o servicios “customizados”. El resultado es un servicio más rápido, efectivo y eficiente, y hasta podemos estar agradecidos por ello. El problema es que no existe elección por parte del usuario; creemos que elegimos en libertad, pero en la práctica no es tan así. Todo es predictivo y predecible y las empresas saben de nosotros incluso más que nosotros mismos.
A este panorama se suma que, debido a que el bagaje de información que manejan estas compañías es tan enorme, ningún nuevo jugador podrá jamás igualarlas. Estas siempre correrán con la ventaja de la data acumulada, que además las ayudará a mejorar, siempre, su negocio.
El efecto de este proceso es la concentración de la información en unas pocas manos; información sobre la cual no solo no sabemos a ciencia cierta qué hace cada compañía con ella, sino que bastaría con atacar un punto para que cibercriminales puedan tomarla.
Es en este contexto que Chereshnev aboga por el momento en que cada usuario pueda elegir hacer con sus datos lo que le plazca, realmente. “No hay ninguna diferencia entre ser dueño de un auto o de una foto” –ejemplifica–; así como el dueño de un auto puede comprarlo, venderlo, regalarlo, o hacer lo que quiera con él, lo mismo debería poder hacer el dueño de una foto, aunque decida subirla a la web. “Que una persona pague por un servicio de almacenamiento de datos, no significa tampoco que la empresa sea dueña de ese dato”, enfatiza.
Para Chereshnev, este tema seguirá un proceso similar al resto de la evolución del ser humano. En la época de las cavernas, una persona podía matar a otra porque no había normas que regularan e impusieran castigo. De la misma manera, hoy la legislación sobre privacidad de datos es casi nula, pero llegará un momento en que la noción de propiedad privada de los datos estará estipulada por ley y constitucionalmente.
Mientras tanto –asegura el ejecutivo de Kaspersky–, somos “esclavos digitales”, porque nuestra opinión no es tenida en cuenta.
Queramos o no, basta con tener un smartphone para formar parte de “la matrix” descrita, porque no hay medias tintas; o estamos dentro y se sabe todo de nosotros, o estamos fuera y no se sabe prácticamente nada.
Educar siempre es la clave
Difícil ser optimista ante un panorama algo agobiante, de sensación–efecto “Gran Hermano” que genera esta sugerente y disruptiva visión de nuestra realidad digital. Pero Che es, por demás, positivo. “Por supuesto, esto no es para todos –relata en entrevista uno a uno con Mercado–. Habrá quienes prefieran quedarse toda la vida frente a la TV, tomando cerveza, sin cuestionarse nada. Pero seguro habrá quienes abran los ojos y prefieran elegir otro camino”. Decidir cuándo y cuánto de sus datos son públicos o dejen de serlo.
Las nuevas generaciones y la educación son la gran esperanza, como suele suceder. Es fundamental entonces que en las escuelas, los contenidos vinculados a la computación no se centren exclusivamente en el aprendizaje fáctico de procedimientos y uso de máquinas, dispositivos y sistemas, sino en ahondar en los riesgos que vienen aparejados y la necesidad de resguardar la propia información de la gran nube indomable de internet.
Más que documentos, chips
¿Qué sentido tienen los documentos de identidad? –se pregunta Chereshnev–. Un documento es un número de identificación, un nombre y una foto; todo lo cual puedo ser falsificado. Y sin una computadora que valide los datos, es inservible. Si la información estuviera en un chip sería mucho más efectivo: los datos quedan resguardados, se encuentran “al alcance de la mano”, no requiere autenticación y no puede robarse ni falsificarse.
En este marco, el ejecutivo confirmó una nueva patente de Kaspersky que avanza en cuestiones de privacidad. Se trata de una tecnología que permite identificar a una persona mediante la combinación de datos y parámetros biométricos, que es data única de cada persona (como la presión, la temperatura, la química). Cuando uno cambia de locación, los parámetros se modifican, por lo cual su falsificación es prácticamente imposible.
