Temas

[Ataques cibernéticos pagados por gobiernos y corporaciones amenazan con marcar la pauta informática de esta década.]

Ataques cibernéticos pagados por gobiernos y corporaciones amenazan con marcar la pauta informática de esta década.

Julián Ferraro
Nación.cl




Los computadores repletan nuestras oficinas cual esclavos, resoplando el cansancio de su labor a través de las hélices que ventilan sus procesadores.

Millones de seres humanos sostienen la vista en el brillo eléctrico de las pantallas mientras teclean. Algunos trabajan, otros se distraen en Facebook o Twitter. En los bolsillos de una aplastante mayoría de chilenos (incluyendo mendigos), aúllan los ringtones de sus dispositivos móviles conectados al mail.

El despertar de esta década está marcado por un cambio radical en nuestro estilo de vida: La omnipresencia de las comunicaciones digitales.

Esa información que creemos protegida, o peor aún, el estado de dependencia que tenemos hacia los aparatos, nos hace vulnerables a quienes poseen conocimientos más allá del usuario promedio. Los gobiernos y las generaciones que no nacieron con un teclado entre las manos se acercan progresivamente a la tecnología debido al boom de las redes sociales, que cada día les facilitan el compartir información, hacer transacciones y organizarse. Al otro lado de la pantalla, alguien sonríe. Es quien tiene el poder de aprovecharse de la falta de información y arruinarlos con tal de cumplir su agenda.

MUNDO INSEGURO

"Hace años que los gobiernos se están preparando para soportar ataques cibernéticos. No es un caso nuevo, dado que en el 2007 se produjeron ataques a Estonia tan graves y virulentos que tuvo que intervenir la OTAN enviando a expertos en seguridad informática con la intención de ayudar a proteger sus sistemas. Hoy en día hay gobiernos que quieren obtener información de otros, ya sea utilizando sus infraestructuras críticas o software malicioso para ese fin", explica Jocelyn Otero Ovalle, directora de marketing en España de la empresa de seguridad informática BitDefender.

"El problema no es si un gobierno será o no atacado, la pregunta es cuándo. Hay precedentes, así que no es una amenaza, es real", sentencia Jocelyn. Reconoce que estamos ante un mundo inseguro.

"La era del hacker ya ha pasado, ya no existen personas con un 'alter ego' para acceder a sistemas informáticos, ahora el hacker está al servicio de empresas y/o gobiernos, cuyo objetivo es controlar el mayor número de infraestructuras y sistemas de información", informa Otero.

Distintos usos del término hacker se pueden debatir, lo cierto es que existen personas adueñándose de cuentas de usuarios, perfiles y contraseñas, información e incluso flujos monetarios.

"Los usuarios deberán tomar más conciencia en la seguridad de la información", recomienda Jocelyn, "no exponiendo sus datos a sitios de poca confianza o ejecutando software que no haya sido lo suficientemente conocido o evaluado por otros usuarios. Quizás pronto sea el momento de confiar en aplicaciones firmadas por una entidad de reconocido prestigio".

"Debemos convencernos de que la seguridad será y es una parte importante de nuestras vidas y habrá que especializarse de alguna forma, bien utilizando tecnología que lo haga por nosotros o bien empezar de verdad a crear conciencia", remata la ejecutiva de BitDefender.

CHILE BAJO ATAQUE

Symantec, empresa orientada a la protección de la información, publicó en abril del año pasado un documento llamado "Informe sobre Amenazas a la Seguridad", en el que establecen que el país que ha recibido más ataques informáticos ha sido Estados Unidos, con una actividad maliciosa del 23%.

Chile no se libra de tener el cuarto lugar de la región con un 7%. Sin embargo, la lista la encabezan Brasil (43%), México y Argentina (estos últimos con 13%). Nuestro país se ganó el tercer lugar en recibir ataques de phishing (estafas a través de sitios falsos) y bots (redes de computadores infectados).

Esto responde a un aumento sostenido de los códigos maliciosos. Si en 2002 existían 20.254 amenazas, en 2009 la cifra ascendió a 2.895.802, según el informe de Symantec.

El 88% de todo el correo electrónico en el mundo fue spam, en Chile se desparramó el 7% del correo basura del Cono Sur y un 1% a nivel global. Todavía se esperan las cifras del año pasado.

DRAGÓN NOCTURNO

Ya hemos hablado sobre Stuxnet, un gusano que atacó centrales nucleares iraníes y que es asociado al ejército de Israel. Sin embargo, más ataques destinados a objetivos específicos están empezando a emerger. La empresa de seguridad informática McAfee acaba de lanzar el informe "Ciberataques contra la energía mundial: Night Dragon (Dragón nocturno)".

El informe de McAfee explica que estamos ante una nueva generación de software malicioso. Si bien hace algunos años Code Red, Nimbda, Blaster, Sasser, SQL Slammer, Conficker, y myDoom hicieron estragos en las redes computacionales, la Operación Aurora, un exitoso ataque a Google y la filtración de datos en WikiLeaks muestran que un nuevo tipo de amenazas específicas y especializadas se están iniciando.

Los atacantes de ahora usan kits de programas que les ayudan a lanzar a amenazas más persistentes e insidiosas.

Una de ellas es Dragón Nocturno, destinado a la explotación de vulnerabilidades de Microsoft Windows, que empieza a aprovechar debilidades de la red externa (extranet) y a través de un sostenido proceso de ataques que involucra distintos programas chinos orientados al hackeo que están disponibles en la red –por ejemplo las del sitio Rootkit.net.cn-, termina instalando una herramienta de administración remota (RAT) en la red de máquinas para extraer documentos confidenciales y correo electrónico.

Dragón Nocturno logró invadir distintos servidores de petróleo, gas y petroquímica, comprometiendo a empresas y ejecutivos de Holanda, Estados Unidos, Kazajistán, Taiwán y Grecia.

"El número de ataques dirigidos y bien coordinados, tales como el Dragón Nocturno, engendrados por un grupo creciente de atacantes malintencionados y comprometidos con sus metas, está aumentando rápidamente. Esos objetivos ya no son solamente las computadoras de la base industrial de defensa, del gobierno y de las Fuerzas Armadas. Ahora, ellos también están en grandes empresas privadas globales", concluye el documento.

Hace unos meses que estábamos esperando que la Subsecretaría de Telecomunicaciones dictara el reglamento de Neutralidad en la Red, tal cual la Ley General de Telecomunicaciones le había encomendado. Hoy, hemos tenido acceso al documento que se encuentra en la Contraloría General de la República (lo cual significa que el documento aún no es oficial ni ha entrado en funcionamiento) y la conclusión, dentro del seno de nuestro grupo, es unánime: se ha presentado uno de los peores escenarios posibles en materia de Neutralidad en la Red.

El reglamento consta de doce artículos dispositivos, entre los cuales se recogen solo algunas de las obligaciones a las que estarán sujetas los ISP, esto es, las obligaciones de publicidad respecto de las cualidades y calidades de sus productos.

Si bien es un tema bastante importante, la parte más compleja del reglamento – y por lejos la más relevante – es aquella que debe señalar las actividades que serán consideradas como contrarias a la Neutralidad en la Red, así como también contrarias a la libertad para acceder y utilizar contenidos y servicios en Internet.

Pues bien, todos nuestros temores se hicieron realidad. Tras las desafortunadas declaraciones del Subsecretario de Telecomunicaciones Jorge Atton, en El Mercurio de 26 de Noviembre de 2010, quedamos muy intrigados respecto de la posición que tomaría el Subsecretario y el Gobierno a la hora de dictar el reglamento de Neutralidad, esto, dado que en sus propias palabras, los ISP podrían realizar actos de bloqueo, interferencia, degradación, etc., – considerados totalmente ilegales y señalado expresamente en la ley – siempre y cuando avisaran a los usuarios de dicha situación, a través de su página web o en la publicidad de los productos!.

El proveedor podría bajar las velocidades a quien intercambia archivos por redespeer-to-peer. Esto estará permitido, pero si lo hace, tiene que informarlo, ya que afectará a los usuarios intensivos de la red – Jorge Atton, Subsecretario de Telecomunicaciones. El Mercurio, 26 de Noviembre de 2010

En base a esas declaraciones, publicamos una columna en Fayerwayer al día siguiente, explicando al público cuales eran los problemas de dichas palabras. Grande sería nuestra sorpresa (o no tan grande) al darnos cuenta, el día de hoy, que dicho razonamiento perjudicial, había sido recogido "tal cual" en el reglamento de Neutralidad, en el tercer inciso de su Artículo 8º, que reza:

Con todo, se considerará como acción restrictiva a la neutralidad en la red toda aquella medida de gestión de tráfico y/o administración de red que tienda a bloquear, interferir, priorizar, discriminar, entorpecer, restringir y/o de cualquier forma obstaculizar el acceso a servicios, aplicaciones y contenidos de la red, que no haya sido expresa, debida y previamente informada a los usuarios por los medios regulados en el presente reglamento o que sea ejecutada de manera arbitraria o discriminatoria. Se reputará arbitraria y/o discriminatoria cualquier acción u omisión que conlleve un tratamiento injustificadamente diferenciado entre proveedores de aplicaciones y/o usuarios.

Esto, en pocas palabras, da una autorización expresa a los ISP para realizar actividades contrarias a la Neutralidad en la Red, siempre y cuando, lo comuniquen en su publicidad.

Desde el punto de vista jurídico, esto presenta tres grandes problemas:

El reglamento estaría haciendo caso omiso a la obligación de señalar CUALES serán las prácticas atentatorias contra la neutralidad en la red y la libertad de utilización de servicios y contenidos.
Las actividades autorizadas por el reglamento, se encuentran expresamente prohibidas por la ley general, por lo que dicha disposición sería ilegal.
Además, el reglamento estaría introduciendo una diferenciación que NO está contemplada en la ley, puesto que la propia Ley General de Telecomunicaciones no establece condición alguna para considerar que dichas actuaciones (arbitrariamente bloquear, interferir, priorizar, etc.) puedan ser consideradas legales. En este caso, SUBTEL estaría considerándolas legales en caso que los ISP informen previamente de este hecho.
Esto, a todas luces, es contrario al principio de Neutralidad y a la legislación vigente por lo que no tiene cabida en el reglamento. Esperamos que Contraloría General de la República pueda martillar esos clavos antes de que el reglamento salga "a la calle".

Además de todo lo antes mencionado, que es de suma importancia resolver lo antes posible, el reglamento también contempla otros errores de fondo, como la prerrogativa señalada en el Artículo 9º, que establece la facultad de los ISP para bloquear contenidos y servicios a petición expresa del usuario.

Esto, tampoco se encuentra contemplado en la ley ni en el mandato reglamentario establecido por el Artículo 24J de la Ley General de Telecomunicaciones, por lo que SUBTEL estaría, nuevamente, excediendo el mandato de la ley al integrar una obligación no contemplada previamente. El único caso que está establecido expresamente en la ley, es aquel en el cual los propios ISP ofrecen sistemas (software) de control parental a los usuarios a solicitud y costa de los mismos. Este escenario, es tratado escuetamente en el inciso segundo del mismo Artículo 9º del reglamento.

¿Qué debemos hacer?
En resumidas cuentas, la señal que estaría enviando el Gobierno a través de SUBTEL, es permitir que las compañías de Telecomunicaciones puedan vulnerar los derechos de los usuarios de Internet – así como los derechos fundamentales de los proveedores de contenido – siempre y cuando, esa vulneración sea comunicada a través de la publicidad de sus productos.

Mientras esto sucede, estamos tratando de ponernos en contacto con SUBTEL, por cuenta propia y a través de los Diputados y Senadores que nos han apoyado estos últimos cuatro años para sacar esta ley a flote. De no mediar alguna corrección por parte de SUBTEL, ya nuestras alternativas se reducen a ejercer acciones en la Contraloría General de la República, el Tribunal Constitucional, o la Corte Suprema.

Trataremos de informar en la medida que se vaya desatando el nudo. Será de suma importancia la participación de ustedes difundiendo nuestro malestar sobre este tema, ya sea en sus propios sitios web, como en redes sociales o en espacios donde podamos poner este problema como tema de discusión!.

Fuente