No, el Foro Económico Mundial no publica blogs sobre fútbol (fútbol, para algunos de ustedes), al menos todavía. Este artículo trata sobre la guerra cibernética no tan fría que se libra entre los Estados Unidos de América y la República Islámica de Irán. Según se afirma, esto comenzó con Stuxnet, un programa malicioso personalizado descubierto en julio de 2010. Se dirige contra las centrales nucleares iraníes, supuestamente causando meses de retraso en el programa nuclear iraní. Le siguió FLAME, descubierto en mayo de 2012, un conjunto de herramientas reconfigurable para robar información del teclado, la pantalla, el micrófono, los dispositivos de almacenamiento, la red, el USB… lo que se le ocurra. Una vez más, Irán fue el objetivo principal, y el Ministerio de Petróleo iraní informó de que algunas de sus instalaciones resultaron afectadas.
El primer gol iraní llegó el 15 de agosto de 2012, a las 11.08 a. m., cuando un virus informático, llamado Shamoon, fue liberado en la red de Aramco, la compañía petrolera estatal saudí. Shamoon reemplazó archivos en decenas de miles de PC con la imagen de una bandera estadounidense en llamas. El gol del empate, mediante un ataque similar, llegó un par de semanas después contra RasGas, un productor de gas natural catarí. Otros goles se atribuyen a este partido, y seguramente algunos aún están por descubrirse.
¿Por qué debería importarnos? ¿Por qué debería alguien del Consejo de Robótica y Dispositivos Inteligentes escribir sobre esto? Bueno, algunos programas maliciosos se llaman virus y bacterias por una razón: provocan dolores de cabeza y son contagiosos (¡pandemia!). Esto hace que la guerra cibernética se parezca a la guerra biológica tradicional, con un matiz (¡desafortunadamente!). El desarrollo de armas es más barato, fácil y rápido. En la mayoría de los casos, las armas pueden ser fácilmente duplicadas por otros. No se necesitan instalaciones visibles desde satélites ni recursos rastreables por agencias internacionales de vigilancia. Hablemos de la proliferación de armas. Y lo peor es que no tengo claro en qué medida son aplicables los Convenios de Ginebra en el ciberespacio. No es que alguien cumpla los Convenios de Ginebra de todos modos, pero aun así . . .
¿Y qué? Bueno, dos palabras: «daños colaterales». Imaginen los siguientes escenarios hipotéticos: un programa malicioso altera el sistema de vigilancia de seguridad de una central nuclear, afecta la red de control del tráfico aéreo, interrumpe las cadenas de suministro, manipula los resultados electorales (como si eso no hubiera ocurrido fuera del ciberespacio), se dirige contra dispositivos médicos implantables, derriba redes de comunicación, reconfigura controladores industriales… ¿Les parecen rebuscados algunos de estos escenarios? ¡Algunos ya han ocurrido, aunque la mayoría no en el contexto de la guerra cibernética! Ahora imaginen que los Estados están detrás de esto, con los recursos a su disposición y el nivel de sofisticación que ya estamos experimentando con Stuxnet, FLAME y sus mutaciones.
Preguntas que surgen: ¿qué tan dispuestos estamos a convivir con tecnologías «accionables» vulnerables a ataques informáticos (robots, dispositivos inteligentes, etc.) que vivan con nosotros, actúen sobre nosotros y conduzcan nuestros vehículos? ¿Quién es responsable? ¿Los fabricantes, los proveedores, las organizaciones de normalización? ¿Cuál es la relación coste-beneficio de la seguridad?
La verdadera pregunta es: ¿qué se puede hacer? No estoy del todo seguro, pero se necesita más de lo siguiente: concienciación y educación de los desarrolladores y usuarios de tecnología, cooperación y respuesta (CERT), normalización (ITU-T, 3GPP, entre otras muchas), legislación e investigación (programación segura, endurecimiento, detección, mitigación).
Una cosa es segura: esto no es un juego y no terminará en 90 minutos.
Autor: Imad Elhajj es profesor asociado de la Universidad Americana de Beirut, Líbano, y es miembro del Global Agenda Council on Robotics and Smart Devices.
Imagen: Un analista examina código en el laboratorio de malware de un centro de defensa en ciberseguridad del Laboratorio Nacional de Idaho REUTERS/Jim Urquhart