¿Se han puesto a pensar en lo que se puede lograr hoy en día a nivel tecnológico?

¿Se imaginan una plataforma dedicada a juegos en línea Sony PSN que fuera vulnerada para obtener datos e información confidencial y personal de sus clientes?

 

¿Podrían pensar que la sede del Departamento de Defensa de una potencia mundial fuera vulnerada para extraer información en CD o USB flash memory? Wikileaks Y ahora piensen que Lockheed Martin & Northrop Grumman 2 de sus mayores proveedores de industria aeroespacial y de defensa fueran víctimas de ciberataques.

 

¿Cuánta credibilidad puede perder PBS una cadena televisiva‎ por publicar una historia falsa, asegurando que una persona que murió hace casi 15 años está vivo? ¿Cuántos caso de Phishing contra tarjetahabientes de muchos bancos? Y no me refiero a los bancos en otros países, sino aquí también en México y América Latina.

Imaginen que a Honda una automotriz le robaran los datos personales de 283,000 clientes… ahora imagina que uno de esos 283,000 clientes fueras tú…

¿Qué pasaría un mundo donde RSA una compañía que se dedique a la criptografía y a la seguridad, fuera vulnerada?, o donde grupos hacktivistas Anonymous o LulzSec se la vivan realizando diferentes ataques a servidores de gobiernos, corporaciones, políticos, bancos, etcétera o incluso haciendo hijacking cuentas de correo electrónico Gmail, bases de datos de divisiones del FBI (Federal Bureau of Investigation) InfraGard.

Life’s a Glitch, Then You Die

Por un momento conciban en su mente a Stuxnet un virus-gusano que permita controlar procesos industriales. Y todo esto es ¿realidad o fantasía?  Hace unos meses comentábamos en un panel de discusión del B:Secure Conference que la noticia de Stuxnet marca un hito en la historia de la seguridad informática. Stuxnet es un gusano (worm) que reprograma los sistemas industriales de los sistemas SCADA de Siemens de control y monitoreo de procesos, pudiendo afectar infraestructuras críticas como plantas nucleares. Comenté en el mismo panel, que esta situación me recordaba un capítulo de la famosa serie de dibujos animados
Los Simpsons (Life’s a Glitch, Then You Die) cuando Homero olvida parchar algunos dispositivos el 31 de diciembre de 1999 previo al “año 2000” (¿recuerdan el famoso Y2K bug?). El resultado de su olvido:  un caos cibernético mundial. Las computadoras se contaminan en todo el planeta, todos los electrónicos y electrodomésticos comienzan a funcionar mal. Aviones cayendo del cielo; los microondas, refrigerados o tostadores se vuelven en contra de la gente y el restaurante giratorio de Springfield se convierte en una nave. ¿Una exageración? Tal vez, ¿pero y  todo esto fuera posible?


A partir de este momento necesitaré aún más imaginación. Por un momento piensen en que los virus, códigos maliciosos, gusanos, ataques de día cero y bombas lógicas han evolucionado tanto que ahora las compañías de luz, agua, gas pueden ser controladas de manera remota por una o un par de  personas detrás de una computadora. Podrían cortar el suministro del liquido, podrían exceder el flujo del combustible, o en la caso de la energía eléctrica, podrían provocar picos bajos o altos en la energía, causando estragos en aparatos. ¿Cuánto tiempo podríamos estar sin energía eléctrica?   Imaginen que el tráfico terrestre, marítimo y aéreo, es contralado por un worm provocando cambios inesperados, choques, accidentes, catástrofes humanas.  Presas de aguas que liberen flujo inapropiado, causando inundaciones. Autos funcionando incorrectamente debido a que las computadoras de los mismos han sido contaminadas. No hay líneas telefónicas fijas ni celulares o los números son intercambiados. Las tablas de ruteo del tráfico de internet han sido modificadas. Los cajeros automáticos no dan dinero y las tarjetas de crédito han sido bloqueadas.

Increíble ¿no? Tal vez estoy describiendo el guión de una película de ciencia ficción o fantasía. Pero déjenme les digo que si en algunos (muchos) años estas situaciones comienzan a hacerse realidad, Stuxnet habrá marcado un ‘parteaguas’ en lo que a ciberseguridad se refiere. Al final, gran parte de estos sistemas son controlados por equipos de cómputo que pueden ser vulnerados. ¿Aún creen que estoy exagerando? Podría ser, sin embargo, recuerdo cuando mi abuela me platicaba que ella soñaba de niña con una caja mágica que calentara la comida o que lavara la ropa. Hoy en día el horno de microondas y la lavadora son aparatos eléctricos de uso doméstico muy común. La tecnología avanza todos los días y difícilmente lo dejará de hacer. El uso que le dé la gente marcará la diferencia. Y me refiero a que el malware también irá evolucionando, así como las defensas para éste. Las guerras son también escenarios donde la tecnología es aprovechada para diferentes medios. Y así como hoy hay ataques extremistas con bombas explosivas; probablemente en un futuro puedan haber ataques extremistas con bombas lógicas, causando también mucho daño en sistemas críticos o vitales para la sociedad o humanidad.  <<O tal vez ya existan>>

Actos de guerra & Apocalipsis digital

Hubo una noticia que leí recientemente donde el Departamento de Defensa de los Estados Unidos han declarado que los ciberataques son un acto de guerra, con lo cual podrían responder a este tipo de ataques con la fuerza militar tradicional. Y esta situación me inquieta porque, ahora que EUA quiere atacar militarmente a ‘hackers’ estén donde estén. Me pregunto que pasa con las botnets, las cuales son conjuntos de computadoras infectadas  robots o bots, que  son controlados por un Bot herder (en otras palabras por un hacker) para actividades maliciosas, usualmente.  ¿Atacará entonces el gobierno a “inocentes”? ¿Serán bajas militares (casualties, como le dicen ellos)?

Si por alguna razón mi computadora se infecta de con algún malware que permita dar el control a un hacker en alguna parte de la orbe, mientras guía un ataque DDoS (denegación de servicios distribuido) en el que mi maquina participe (obvio sin que yo lo sepa), ¿qué pasará? ¿Rastrearán mi dirección IP hasta llegar conmigo y me atacarán? ¿Lo harán así con los cientos o miles de PC infectadas y controladas por alguien más? Ojalá replanteen, no sólo la declaración, sino la estrategia.

La intensión de este texto no fue redactar un sueño dramatizado y exagerado. El propósito es cobrar conciencia de las nuevas tendencias que virus como Stuxnet, están marcando. Así mismo recordar que el cibercrimen evoluciona y las áreas que lo combaten deberán evolucionar a la par o incluso, más rápido. Las personas que estamos en el medio de la seguridad de la información y de riesgos jugamos papeles importantes desde ya.  ¡Cibercontramedidas!

 

Mind the Information Security Gap!

Alberto Ramírez Ayón, CISM, CISA, CRISC. Síguelo en @cyberpostpunk

Image: Idea go / FreeDigitalPhotos.net

Image: Danilo Rizzuti / FreeDigitalPhotos.net

Descargar artículo en formato PDF