El pasa­do día 7 muchos cana­di­ens­es pen­saron que su primer min­istro, el con­ser­vador Stephen Harp­er, había tenido que ser ingre­sa­do en el hos­pi­tal tras atra­gan­tarse comien­do patatas fritas durante su desayuno. Así lo afirma­ba, al menos, la pági­na ofi­cial de su par­tido en un comu­ni­ca­do. Se trata­ba, en real­i­dad, de la bro­ma de un grupo de piratas infor­máti­cos que habían con­segui­do asaltar la web y colo­car el mensaje.

Harp­er, dicen, se lo tomó con rel­a­ti­vo humor, algo que segu­ra­mente no hicieron los respon­s­ables de Sony tras la serie de cib­er­ataques que dejaron inop­er­a­ti­va su red de video­jue­gos PlaySta­tion Net­work, y en los que fueron roba­dos los datos de más de un mil­lón de clientes. O las autori­dades de Mala­sia, quienes, a pesar de sus reit­er­adas prác­ti­cas cen­so­ras en Inter­net (espe­cial­mente para todo lo que huela a Wik­ileaks), tuvieron que ver cómo los cib­er­ac­tivis­tas se cola­ban en has­ta seis agen­cias ofi­ciales del Gobierno.

Sony, Google, Cit­i­group, el Sena­do de los Esta­dos Unidos, organ­is­mos ofi­ciales de Fran­cia, el Reino Unido, Turquía o Brasil, el Fon­do Mon­e­tario Inter­na­cional, la CIA… Gob­ier­nos, grandes empre­sas e insti­tu­ciones de todo el mun­do han sido en estas últi­mas sem­anas el blan­co de numerosos ataques infor­máti­cos, que en algunos casos han supuesto tan sólo blo­queos tem­po­rales de sus pági­nas en Inter­net o meras bro­mas, pero que, en otros, han sig­nifi­ca­do ame­nazas reales para la seguri­dad, pér­di­das de mil­lones de euros y robos de datos per­son­ales de cien­tos de miles de personas.

Más allá del hecho de que todos ellos son acce­sos no autor­iza­dos a sis­temas infor­máti­cos, y de que la may­oría son con­sid­er­a­dos activi­dades delic­ti­vas, los lla­ma­dos cib­er­ataques adop­tan, sin embar­go, múlti­ples for­mas y moti­va­ciones. Des­de el activis­mo con­tra las grandes cor­po­ra­ciones empre­sar­i­ales o con­tra gob­ier­nos que cen­suran Inter­net, has­ta el espi­ona­je indus­tri­al y políti­co, pasan­do por la mera provo­cación o la inten­ción pura­mente crim­i­nal, los hack­ers (o, más cor­rec­ta­mente, crack­ers) ponen en entredi­cho una y otra vez la vul­ner­a­bil­i­dad de la Red.

En cualquier caso, lo que parece claro es que los piratas infor­máti­cos han deja­do atrás su tradi­cional anon­i­ma­to y secretismo para jac­tarse públi­ca­mente de sus incur­siones, a través de la pub­li­ci­dad y la noto­riedad que les brin­dan las redes sociales.

Estas son algu­nas de las claves del reciente auge de la ciberguerra.

QUIÉNES SON

Hackers, crackers, hacktivistas, ciberactivistas…

Actual­mente suele emplearse el tér­mi­no hack­er como sinón­i­mo de ‘pira­ta infor­máti­co’, es decir, alguien que usa sus conocimien­tos de infor­máti­ca para intro­ducirse ile­gal­mente en una red o un sis­tema con el fin de blo­quear­lo o inhab­il­i­tar­lo, darse a cono­cer, expre­sar un men­saje, por mera diver­sión o sim­ple­mente para causar daño.

Los exper­tos, sin embar­go, entien­den que esta defini­ción cor­re­sponde más bien a los lla­ma­dos crack­ers, ya que un hack­er sería tan sólo alguien apa­sion­a­do por la seguri­dad infor­máti­ca y con grandes conocimien­tos sobre ella.

Por otra parte, des­de hace aprox­i­mada­mente una déca­da han cobra­do cada vez may­or pro­tag­o­nis­mo una serie de gru­pos denom­i­na­dos ‘cib­er­ac­tivis­tas’, que hacen uso de Inter­net para expre­sar o com­bat­ir deter­mi­nadas ide­ologías, ya sea medi­ante téc­ni­cas hack­er (asaltan­do sis­temas de seguri­dad de gob­ier­nos, empre­sas o insti­tu­ciones, de acuer­do con la acep­ción más pop­u­lar), en cuyo caso hablaríamos de hack­tivis­tas, o sim­ple­mente a través del uso de redes sociales, blogs, vídeos o cualquier otro recur­so disponible en la web.

Tres grandes tipos

• Soli­tar­ios. Como explic­a­ba recien­te­mente en la CNN un exper­to en seguri­dad y tec­nología infor­máti­cas, «la may­oría de las per­sonas que hack­ean son gente que sim­ple­mente se entre­tiene, y que no for­ma parte de redes más allá de los foros o los salones de chat». Muchos de estos exper­tos apa­sion­a­dos (geeks) aca­ban inclu­so dan­do el salto hacia el gran públi­co o for­man­do parte de grandes cor­po­ra­ciones. Dos ejem­p­los: Linus Tor­valds, autor del com­po­nente cen­tral del sis­tema oper­a­ti­vo Lin­ux, y Steve Woz­ni­ak, cofun­dador de Apple.
• Activis­tas. Son gru­pos con moti­va­ciones políti­cas o de otro tipo que bus­can pub­li­ci­dad. Anony­mous y LulzSec (Lulz Secu­ri­ty) son los casos recientes más famosos.
• Espías y gob­ier­nos. Aunque son mucho más difí­ciles de ras­trear, iden­ti­ficar y con­fir­mar, los exper­tos no dudan de que exis­ten tam­bién cib­er­ataques orques­ta­dos por gob­ier­nos con­tra otros gob­ier­nos o con­tra disidentes, y cib­er­taques per­pe­tra­dos por empre­sas con­tra otras empre­sas, para obten­er secre­tos indus­tri­ales. El virus lla­ma­do Stuxnet, por ejem­p­lo, pen­etró hace unos meses en el sis­tema del pro­gra­ma nuclear iraní, demor­an­do su pro­gre­so en al menos dos años. Pese a que no se ha con­fir­ma­do su ori­gen, los exper­tos sospechan que, dada su sofisti­cación, tiene que haber algún gob­ier­no detrás. Chi­na es el prin­ci­pal país sospe­choso de cib­er­ataques en el mun­do, tal y como viene denun­cian­do Google des­de 2009. Pekín nie­ga sis­temáti­ca­mente cualquier relación con estas actividades.

Quién es quién

• Anony­mous. Bajo la denom­i­nación de Anony­mous se agru­pan mul­ti­tud de per­sonas anón­i­mas que, en prin­ci­pio sin ningu­na orga­ni­zación defini­da ni afil­iación a aso­ciación algu­na, se unen para realizar protes­tas en Inter­net (foros, chats, Face­book, Twit­ter) con­tra cues­tiones de muy diver­so ámbito, des­de las leyes antipi­ratería has­ta la cien­ci­ología o los gob­ier­nos opre­sores. Las redes sociales ampli­f­i­can su poder y les per­miten blo­quear tem­po­ral­mente el acce­so a algu­nas pági­nas web. El grupo nació en 2003, pero no adquir­ió pro­tag­o­nis­mo inter­na­cional has­ta que en 2010 ini­ció una cam­paña en con­tra de la pro­lif­eración de leyes antipi­ratería. La may­or aten­ción mediáti­ca la obtu­vo con las protes­tas en defen­sa del por­tal de fil­tra­ciones Wik­ileaks y de su creador, Julian Assange. En España han ata­ca­do a insti­tu­ciones que apoy­an la ley Sinde, y se les ha rela­ciona­do con el Movimien­to 15‑M. Su sím­bo­lo es la más­cara del cómic V de Vendet­ta.
• Lulz Secu­ri­ty (LulzSec). Este grupo comen­zó a pub­licar sus activi­dades el mes pasa­do, y sus ataques, que han sido dirigi­dos a Sony, la CIA y numerosas otras insti­tu­ciones y empre­sas, han esta­do moti­va­dos por la diver­sión y no tan­to por la políti­ca: «A vosotros os divierte ver cómo se des­en­ca­de­nan estos líos y nosotros nos diver­ti­mos causán­do­los», ase­gu­raron en un comu­ni­ca­do. Su lema era «Rién­donos de tu seguri­dad des­de 2011». Este domin­go, el grupo se autodi­s­olvió con un comu­ni­ca­do en Twit­ter, en el que los «seis trip­u­lantes» de LulzSec expresa­ban el deseo de que otros ciber­nau­tas tomen el rele­vo y de que «el movimien­to se man­i­fi­este en una rev­olu­ción capaz de con­tin­uar sin nosotros»: «Unidos, jun­tos, podemos aplas­tar a nue­stros opre­sores comunes y dotarnos a nosotros mis­mos del poder y de la lib­er­tad que mere­ce­mos», dicen.
• Enfrentamien­tos y alian­zas. Lo que has­ta hace tan sólo unos días parecía una autén­ti­ca guer­ra entre hack­ers, con acusa­ciones mutuas a través de redes sociales como Twit­ter, acabó con­vir­tién­dose en una supues­ta alian­za cuan­do a prin­ci­p­ios de la sem­ana pasa­da, LulzSec y Anony­mous unieron sus fuerzas para pon­er en mar­cha una serie de ataques con­tra pági­nas web guber­na­men­tales y ban­car­ias, y fil­trar infor­ma­ción con­fi­den­cial en Inter­net. La cam­paña, que tam­poco duró mucho, recibió el nom­bre de Oper­a­tion Anti-Secu­ri­ty y nació con el obje­ti­vo de «destapar cor­rupte­las de altos car­gos». La serie de ataques la iba a lid­er­ar LulzSec, según el pro­pio grupo, que explicó que Anony­mous forma­ba parte del proyec­to. LulzSec, por otra parte, se con­vir­tió asimis­mo en el prin­ci­pal obje­ti­vo de otro grupo de inter­nau­tas, que a través de la web LulzSec Exposed se pro­pusieron ter­mi­nar con ella, hacien­do públi­cas las iden­ti­dades de sus miem­bros y sus actividades.

LAS VÍCTIMAS

Empresas

• El pasa­do 9 de junio de 2011, el gigante ban­car­io esta­dounidense Cit­i­group con­fir­mó que piratas infor­máti­cos habían vio­la­do su red y acce­di­do a los datos del 1% de sus clientes en EE UU y Canadá (unas 210.000 cuen­tas bancarias).
• Google anun­ció el 1 de junio el des­man­te­lamien­to de un «plan de robo de con­traseñas de cien­tos de corre­os elec­tróni­cos de Gmail de altos fun­cionar­ios de EE UU, activis­tas chi­nos, fun­cionar­ios de diver­sos país­es asiáti­cos, per­son­al mil­i­tar y peri­odis­tas». Según Google, el plan esta­ba supues­ta­mente lan­za­do des­de la ciu­dad chi­na de Jinan, aunque el Gob­ier­no de Pekín sal­ió ráp­i­da­mente al paso de estas acusa­ciones, que tildó de «ina­cept­a­bles».
• La empre­sa Lock­heed Mar­tin, uno de los may­ores provee­dores de mate­r­i­al tec­nológi­co mil­i­tar del Gob­ier­no de EE UU, tam­bién denun­ció a finales de mayo que había sufri­do un ataque cibernéti­co en sus sis­temas de información.
• En mayo de 2011, un intru­so accedió al servi­dor de una fil­ial de Nin­ten­do en EE UU, aunque el fab­ri­cante de con­so­las dijo que no hubo daños y optó por no ofre­cer más detalles.
• El pasa­do fin de sem­ana, Sega noti­ficó que había sido obje­to de un ataque en su sitio Sega Pass, man­tenido por la fil­ial euro­pea de la com­pañía, que había impli­ca­do el robo de más de 1,2 mil­lones de datos personales.
• La fir­ma japone­sa Sony ha sido la más afec­ta­da por cib­er­ataques, con al menos media doce­na de asaltos en los últi­mos meses, la may­oría de los cuales se los ha atribui­do el grupo LulzSec. Los ataques le han costa­do a la empre­sa unos 3.200 mil­lones de dólares, sin con­tar los 171 mil­lones de dólares que, según ha anun­ci­a­do, pien­sa inver­tir en reforzar su seguri­dad. En abril robaron nom­bres e infor­ma­ción per­son­al de 77 mil­lones de usuar­ios de PlaySta­tion Net­work, y el ser­vi­cio en línea tuvo que ser inhab­il­i­ta­do; a prin­ci­p­ios de mayo su red Sony Online Enter­tain­ment sufrió una brecha de seguri­dad que podría haber afec­ta­do a 25 mil­lones de cuen­tas, con el robo de 10.700 reg­istros de débito de clientes en Aus­tria, Ale­ma­nia, Holan­da y España; días después se robaron datos de su red provee­do­ra por 1.225 dólares, y a finales de ese mes fueron roba­dos los datos per­son­ales de unos 2.000 clientes de Sony Eric­s­son en Canadá, poco después de que la empre­sa infor­mara de ataques sim­i­lares ocur­ri­dos tam­bién en Gre­cia, Indone­sia y Tai­lan­dia. El ataque más reciente ocur­rió en junio, con­tra el sitio web SonyPic­tures.
• En lo que podría con­sid­er­arse tam­bién una for­ma indi­rec­ta de cib­er­ataque, cuan­do, el pasa­do mes de diciem­bre, Wik­ileaks fil­tró miles de cables con­fi­den­ciales del Gob­ier­no de EE UU, Visa, Mas­ter­Card, Pay­Pal y Ama­zon negaron sus ser­vi­cios a la pági­na lid­er­a­da por Julian Assange, provo­can­do a su vez cib­er­ataques de respues­ta que lograron dejar inac­ce­si­ble durante un tiem­po a la pági­na de MasterCard.
• La tele­visión públi­ca de EE UU (PBS) y la cade­na con­ser­vado­ra de tele­visión Fox, tam­bién de este país, se encuen­tran asimis­mo entre las víc­ti­mas de los cib­er­ataques de LulzSec.

Instituciones y gobiernos

• CIA. LulzSec se atribuyó el pasa­do día 15 un ataque real­iza­do con­tra la pági­na públi­ca de Inter­net de la Agen­cia Cen­tral de Inteligen­cia esta­dounidense (CIA). La pági­na estu­vo sin ser­vi­cio durante unos min­u­tos, tras la apari­ción del men­saje en Twitter.
• Sena­do de EE UU. El mis­mo grupo ase­guró estar tam­bién detrás del ataque sufri­do el pasa­do día 13 por un servi­dor del Sena­do de EE UU a través del cual se da acce­so a la pági­na de infor­ma­ción públi­ca de esta cámara.
• FMI. Un mem­o­rán­dum inter­no del Fon­do Mon­e­tario Inter­na­cional, fecha­do el 8 de junio, informa­ba al per­son­al de que se habían detec­ta­do trans­fer­en­cias sospe­chosas de archivos y que una inves­ti­gación mostró que un orde­nador de escrito­rio «esta­ba com­pro­meti­do y era usa­do para acced­er a algunos sis­temas del Fon­do», según pub­licó el diario The New York Times.
• UE. Las insti­tu­ciones euro­peas fueron obje­ti­vo de ataques ciber­pi­ratas poco antes de la cum­bre de líderes europeos cel­e­bra­da en mar­zo pasado.
• Gob­ier­nos. En febrero, el Gob­ier­no francés sufrió un ataque pre­vio a un encuen­tro en París de los min­istros del G‑20; la sem­ana pasa­da LulzSec efec­tuó un cib­er­ataque con­tra la web de una agen­cia de seguri­dad del gob­ier­no británi­co (SOCA); y el Gob­ier­no de Brasil ha sufri­do en esta últi­ma sem­ana cib­er­ataques durante tres días con­sec­u­tivos, en los que los activis­tas han real­iza­do procla­mas nacional­is­tas y han prometi­do con­tin­uar con los sab­o­ta­jes (una ONG espe­cial­iza­da cal­cu­la que en lo que va del año sitios y por­tales guber­na­men­tales brasileños han sufri­do  más de 700 ataques). Los gob­ier­nos de Turquía, Egip­to, Argelia, Lib­ia, Irán, Chile, Colom­bia o Mala­sia, muchos de ellos denun­ci­a­dos por sus prác­ti­cas cen­so­ras o restric­ti­vas en Inter­net, tam­bién han sido blan­co de ataques informáticos.

LA RESPUESTA

Penas más duras en el marco internacional

Eugene Kasper­sky, uno de los gurús mundi­ales en seguri­dad infor­máti­ca y pres­i­dente de la fir­ma que lle­va su apel­li­do, ase­guró este viernes en Valen­cia que los gob­ier­nos deberán aplicar cri­te­rios «mil­itares» a sus sis­temas para defend­er­se de los cib­er­ataques a sus infraestruc­turas de energía y comu­ni­ca­ciones. «En la era de la ciber­guer­ra» ‑dijo en una entre­vista a Efe- «es nece­saria una audi­toría de la seguri­dad glob­al sobre las infraestruc­turas críti­cas», al tiem­po que ase­gura­ba que cen­trales nuclear­es, plan­tas eléc­tri­c­as, trans­portes, comu­ni­ca­ciones y otros equipamien­tos se han con­ver­tido en un obje­ti­vo cada vez más fácil para los piratas infor­máti­cos, inclu­so si sus siet­mas no están conec­ta­dos a Internet.

De momen­to, gob­ier­nos de todo el mun­do están tratan­do de estable­cer estrate­gias de ciberse­guri­dad ante la cre­ciente pre­ocu­pación por la piratería delic­ti­va y la guer­ra elec­tróni­ca entre estados.

Has­ta aho­ra, el úni­co tex­to vin­cu­lante a niv­el inter­na­cional es la lla­ma­da con­ven­ción sobre ciberdelin­cuen­cia, fir­ma­da en 2001 por el Con­se­jo de Europa, y a la que se han suma­do ya 40 país­es se han suma­do a esta con­ven­ción, entre ellos, Esta­dos Unidos, el Reino Unido, Canadá, Japón y Sudáfrica.

El pasa­do 10 de junio, la Unión Euro­pea acordó endure­cer las penas con­tra aque­l­los que lleven a cabo cib­er­ataques. La nue­va nor­ma­ti­va, que aún tiene que ser acep­ta­da por el Par­la­men­to Europeo, establece que los piratas infor­máti­cos afron­ten sen­ten­cias de al menos cin­co años de cár­cel si se les declarara cul­pa­bles de causar daños graves a sis­temas informáticos.

Tam­bién habrá penas más sev­eras para los autores de ataques medi­ante bot­nets (redes de com­puta­do­ras infec­tadas pro­gra­madas para enviar corre­os basura) y de robos de iden­ti­dad. Inter­cep­tar datos ile­gal­mente se con­ver­tirá en un deli­to en la UE.

Los 27 esta­dos miem­bros del organ­is­mo tam­bién acor­daron aumen­tar la coop­eración poli­cial y judi­cial, cre­an­do una unidad de ciber­crimen que podría unirse a Europol, la agen­cia poli­cial europea.

Esta­dos Unidos, por su parte, anun­ció el pasa­do 19 de junio que está desar­rol­lan­do un «mod­e­lo a escala» de Inter­net, denom­i­na­do Nation­al Cyber Range, que servirá como cam­po de prue­bas de tec­nologías ofen­si­vas y defensivas.

En España es delito

Has­ta hace poco, los ataques de dene­gación de ser­vi­cio no eran un deli­to en España. Sin embar­go, tras la refor­ma del Códi­go Penal, que entró en vig­or el pasa­do 23 de diciem­bre, se han endure­ci­do las leyes sobre deli­tos infor­máti­cos. Aho­ra, los respon­s­ables de un ataque DDoS se expo­nen a duras penas: «El que por cualquier medio, sin estar autor­iza­do y de man­era grave obsta­c­ulizara o inter­rumpiera el fun­cionamien­to de un sis­tema infor­máti­co ajeno, intro­ducien­do, trans­mi­tien­do, dañan­do, bor­ran­do, dete­ri­o­ran­do, alteran­do, suprim­ien­do o hacien­do inac­ce­si­bles datos infor­máti­cos, cuan­do el resul­ta­do pro­duci­do fuera grave, será cas­ti­ga­do, con la pena de prisión de seis meses a tres años».

Detenciones

El 10 de junio la Policía Nacional anun­ció la deten­ción de lo que denom­inó «la cúpu­la» de Anony­mous en España. En con­cre­to, fueron arresta­dos sus «tres máx­i­mos respon­s­ables» en nue­stro país, todos ellos exper­tos en infor­máti­ca y tele­co­mu­ni­ca­ciones. Según la Policía, des­de la vivien­da de uno de ellos se atac­aron los sitios webs de la tien­da Playsta­tion, BBVA, Bankia, ENEL y de los gob­ier­nos de Egip­to, Argelia, Lib­ia, Irán, Chile, Colom­bia y Nue­va Zelan­da. El pasa­do 18 de mayo los detenidos lan­zaron una ofen­si­va con­tra la pági­na de la Jun­ta Elec­toral Cen­tral y pos­te­ri­or­mente tam­bién con­tra las webs de los Mossos d’Esquadra y de la UGT.

El hecho de que la Policía uti­lizase el tér­mi­no «cúpu­la» resultó ser fuente de polémi­ca, al tratarse de una pal­abra uti­liza­da nor­mal­mente al hablar de orga­ni­za­ciones ter­ror­is­tas, y tenien­do en cuen­ta que Anony­mous es una orga­ni­zación descen­tral­iza­da y no jerárquica.

Poco después, el día 13, la policía tur­ca detu­vo a 32 supuestos miem­bros de Anony­mous en este país, como respues­ta a los ataques a varias webs ofi­ciales lan­za­dos por el grupo tras el anun­cio de que Turquía insta­lará fil­tros en Internet.

Y hace unos días, un joven de 19 años fue arresta­do en el Reino Unido bajo sospe­chas de ser quien fraguó los ataques cibernéti­cos con­tra Sony y la CIA, entre otros atribui­dos a LulzSec.

CINCO DATOS

• 8.000 vul­ner­a­bil­i­dades en sis­temas infor­máti­cos son detec­tadas cada año en las admin­is­tra­ciones públi­cas españo­las. Según infor­mó el diario ABC, citan­do fuentes del Cen­tro Crip­tológi­co Nacional, adscrito al Cen­tro Nacional de Inteligen­cia (CNI), en 2008, el 14,9% de estas vul­ner­a­bil­i­dades fueron de «niv­el alto»; al año sigu­iente alcan­zaron el 21,2%, y en 2010 lle­garon al 30,7%. La may­or parte de los ataques, has­ta un 65%, cor­re­sponde a la intro­duc­ción de códi­gos dañi­nos en los sis­temas infor­máti­cos, lo que se conoce como «troy­anos».
• 8.000 mil­lones de dólares perdieron en 2010 las empre­sas y admin­is­tra­ciones públi­cas en Esta­dos Unidos a causa de ataques cibernéticos.
• 4.000 empre­sas aus­tralianas han exper­i­men­ta­do cib­er­ataques proce­dentes de otros país­es en algu­na ocasión.
• 30 «ciber­co­man­dos» com­po­nen actual­mente una unidad pues­ta en mar­cha por el Gob­ier­no chi­no, des­ti­na­da a entre­nar al Ejérci­to Pop­u­lar de Lib­eración en la defen­sa de su infraestruc­tura. Con el nom­bre de «Ejérci­to Azul», estos coman­dos ya han real­iza­do var­ios sim­u­lacros durante los cuales respondieron a bom­bardeos masivos de virus y corre­os elec­tróni­cos basura, así como a la infil­tración de códi­gos en sus redes de comu­ni­ca­ciones lan­za­dos en «misiones sec­re­tas», con el fin de robar infor­ma­ción sobre el movimien­to de sus tropas.
• 5%. Por­centa­je de ataques real­iza­dos con­tra empre­sas que han logra­do causar daños mul­ti­mil­lonar­ios. Sin embar­go, las activi­dades de los hack­ers han hecho que se triplique el número de pól­izas de seguros antipi­ratería ven­di­das a multi­na­cionales, según infor­mó el diario La Nación. Tras los ataques a Google y Cit­i­group, las com­pañías de ciberse­guri­dad ganaron val­or en la Bol­sa: Las acciones de Forti­nent subieron un 0,62% y las de Check Point Soft­ware lle­garon has­ta los 59 dólares.