Este artículo se actualizó el 4 de enero de 2020.
Un nuevo año trae nuevas alarmas ante la posibilidad de una ciberguerra.
Esta vez, tras la sofisticada y considerable brecha de seguridad de Solarwinds, proveedor de gestión de redes para la mayoría de las empresas de Fortune 500 y organismos del Gobierno de EE. UU., los funcionarios amenazan con tomar represalias ante una «declaración virtual de guerra» debido a las «invasiones» en el ciberespacio.
Esto sigue a años de afirmaciones similares según las cuales los gobiernos atacan a civiles en tiempos de paz, como se señaló durante la conferencia de ciberseguridad RSA de 2018 en San Francisco. Estos ataques no se llevan a cabo con tanques ni aviones de combate, sino con bytes y bots, y apuntan a nuestras redes eléctricas, nuestra infraestructura e incluso a nuestra información financiera privada y otros datos.
Cada vez hemos visto más informes sobre incursiones cibernéticas, atribuidas a Estados nación, en infraestructuras críticas y sistemas financieros. También hemos visto nuevos intentos de influir en las instituciones políticas internas de los países. También se ha informado que las naciones están acumulando programas y vulnerabilidades de redes, supuestamente para utilizarlos en tareas de espionaje o en caso de un conflicto habilitado por internet.
Aunque algunas afirmaciones sobre la ciberguerra sean exageradas —y casi con toda seguridad lo sean las ideas de un «ciberapocalipsis» inminente—, la rápida adopción de nuevas tecnologías como instrumento de política estatal genera ambigüedad y da lugar a riesgos que debemos comprender. Junto con este entorno tecnológico en rápida transformación, el entorno jurídico y normativo internacional puede describirse, sobre todo, como confuso. Aunque los Estados y los organismos internacionales suelen afirmar que el derecho internacional se aplica en el ciberespacio, muy pocos han podido señalar específicamente qué significa eso, y de ningún modo está garantizado que exista consenso sobre su aplicación caso por caso.
Así que, antes de preocuparnos por estar en una ciberguerra, el primer paso debería ser aclarar cómo podría ser una ciberguerra y qué pueden hacer al respecto los gobiernos, las instituciones, las empresas y la ciudadanía.
¿Qué es una «ciberguerra»?
La idea de una ciberguerra ha causado tanta alarma porque es nueva y ambigua. Como ocurre con muchas tecnologías nuevas, carecemos de normas y definiciones aceptadas que aclaren las intenciones, las acciones y sus consecuencias. Incluso existe una controversia considerable entre las principales naciones acerca de si el derecho de los conflictos armados debería aplicarse a las actividades en internet.
Para complicar aún más las cosas, el espionaje, la delincuencia y el hacktivismo se han agrupado de una forma que casi nunca se da en el mundo físico. A veces se define todo ello como ciberguerra, ya sea por pereza semántica o para magnificar la supuesta amenaza.
Para tomarnos en serio la amenaza de la ciberguerra, debemos reconocer que no toda actividad perjudicial en línea debe llamarse «ciberguerra», del mismo modo que no todas las acciones entre Estados se definen como «guerra».
Una definición razonable debe tener en cuenta formas específicas de agresión y los resultados que se pretenden: la «ciberguerra» no es delincuencia, no es espionaje, no es propaganda y no es terrorismo.
Debido a la ambigüedad en este ámbito, las definiciones de ciberguerra suelen ser descripciones vagas de «daños a computadoras o redes», otra forma de decir «cosas que preferiríamos que no se hicieran en el espacio conectado en red». Esas ideas carecen del rigor necesario para ser útiles. Hace falta una definición más específica de la acción agresiva que queremos evitar.
Por tanto, se entiende mejor que el término «ciberguerra» se refiere a un acto de agresión cometido a través de una red digital, con la intención de causar daños en el mundo real, ya sea contra objetivos civiles o militares, para obligar a un Estado soberano a actuar o a abstenerse de actuar.
Como corolario, el actor debe ser otro Estado, ya que acciones similares cometidas por una persona probablemente se denominarían ciberterrorismo, del mismo modo que se considera terrorista a un actor no estatal que ataca los bienes físicos de una nación, independientemente del arma que utilice.
¿Estamos en una ciberguerra?
Examinar casos de agresión en el espacio digital ayuda a contextualizar la ciberguerra. Los ciberataques más eficaces que conocemos fueron Stuxnet, utilizado contra Irán, y el ataque NotPetya contra Ucrania.
Stuxnet, un gusano informático, fue el primer caso ampliamente conocido de código malicioso que causó daños reales en el mundo (aunque menores). A diferencia de las incursiones digitales anteriores, Stuxnet sí pretendía lograr un efecto similar al que una nación habría conseguido en el pasado mediante la guerra cinética: inutilizar la infraestructura o la capacidad de fabricar armas del enemigo. Debido a la sofisticación del malware y a su propósito claramente geopolítico, y no delictivo, el ataque se ha atribuido a un Estado nación (o a varios Estados que actuaron conjuntamente).
Otro ejemplo de código bélico es el ataque de «falso ransomware» NotPetya que devastó a empresas ucranianas. Al principio, el ataque parecía una sofisticada operación de ransomware, en la que delincuentes toman el control de la red de una organización y amenazan con borrar o cifrar datos críticos si no reciben un rescate. Sin embargo, como NotPetya pasó directamente a dañar los sistemas y borrar datos, en lugar de esperar un pago o robar información, la mayoría de los investigadores considera que el malware es un arma en la guerra que continúa en Ucrania.
Otros casos célebres que se mencionan una y otra vez en las conversaciones sobre ciberguerra, como los ciberataques contra Estonia de 2007, atribuidos a Rusia, o el supuesto robo de propiedad intelectual china en Estados Unidos, se parecen más al vandalismo y al espionaje por sus métodos y efectos.
Aunque todos estos ejemplos de ciberguerra y de posibles ciberguerras parezcan menores en comparación con la guerra tradicional, son señales de un giro preocupante en la política estatal de las naciones en el ciberespacio.
En primer lugar, esos ataques —difíciles de atribuir, sin fronteras y repentinos— muestran cómo las amenazas cibernéticas erosionan el poder soberano. Al fin y al cabo, desde el Tratado de Westfalia hasta la era digital, los soberanos han mantenido algunos atributos básicos e inmutables. Como mínimo, esos atributos incluyen la capacidad de proteger las fronteras de una nación y de ejercer cierto grado de control sobre las actividades que tienen lugar dentro de ellas. Cuando un agresor puede utilizar redes sin fronteras para lanzar ataques que no se pueden interceptar ni impedir, esos atributos, y por tanto la propia soberanía, quedan en entredicho.
En segundo lugar, el uso de redes digitales para llevar a cabo ataques amenaza considerablemente la innovación. Al fin y al cabo, internet ha sido un motor de crecimiento sin parangón. Pero las amenazas cibernéticas, reales o imaginarias, utilizan esas mismas redes. La tentación, entonces, es limitar la conectividad o crear redes de jardines vallados en un intento por garantizar un mayor control o seguridad.
¿Qué podemos hacer al respecto?
En primer lugar, es importante poner el riesgo en perspectiva: la mayoría de los ataques que perjudican a la gente común, las empresas y las organizaciones están motivados por la delincuencia, no por la geopolítica. Por ello, fomentar un internet seguro y confiable contribuye en gran medida a reducir los riesgos más graves y frecuentes.
Además, las mismas prácticas de gobernanza y las mejores prácticas son eficaces contra la mayoría de las amenazas, independientemente del actor: tanto en tiempos de guerra como de paz, hay que cerrar la puerta y evitar invitar a entrar a los ladrones.
El Centro de Ciberseguridad del Foro Económico Mundial se dedica a crear las alianzas, herramientas y capacidades necesarias para hacer frente a las ciberamenazas. El Centro actuará especialmente contra la ciberdelincuencia y ofrecerá un espacio compartido para comprender nuevas áreas de amenaza, como el internet de las cosas o la inteligencia artificial. El Centro también es una plataforma neutral para que los gobiernos colaboren con el sector privado a fin de dar forma a la gobernanza de la ciberseguridad.
Es importante señalar que hay numerosos esfuerzos para crear una cultura de seguridad y confianza, y reforzar o desarrollar normas contra los ciberataques que hasta ahora han faltado. Podría decirse que incluso hay demasiados esfuerzos contrapuestos para lograr el mismo resultado. Lo importante no es el número de intentos, sino la voluntad de todos los actores —gobiernos, empresas y ciudadanía— de participar juntos en la construcción de nuestra cultura digital compartida.
Al fin y al cabo, los espacios digitales, sin fronteras y con garantías de anonimato, están plagados de posibilidades de malentendidos, sobre todo entre adversarios que quizá no estén plenamente al tanto de las actividades de los hackers secretos de otros países.
Cuanto más podamos hacer para mejorar la seguridad en general, detener la ciberdelincuencia y reducir así la relación entre señal y ruido en la atribución, y colaborar para establecer normas contra el uso de las redes digitales como campos de batalla, menos probable será una ciberguerra.
