El COVID-19 demuestra que el mundo corre un gran riesgo de sufrir disrupciones por pandemias, ciberataques o puntos de inflexión ambientales.
Debemos prepararnos para una pandemia cibernética global similar al COVID que se propagará más rápido y más lejos que un virus biológico, con un impacto económico igual o mayor.
La crisis del coronavirus ofrece ideas sobre cómo los líderes pueden prepararse mejor para estos riesgos cibernéticos.
La mayor parte del mundo vive actualmente en condiciones de vida muy atípicas como consecuencia del COVID-19. En el punto álgido de la pandemia, más de 2.000 millones de personas estuvieron sometidas a algún tipo de confinamiento, y el 91% de la población mundial, es decir, 7.100 millones de personas, vive en países con controles fronterizos o restricciones de viaje debido al virus.
Sería reconfortante pensar que esto es solo un “bache” que interrumpe un estado de cosas esencialmente estable, y que el mundo volverá a la “normalidad” una vez que la medicina y la ciencia hayan domado el virus.
Reconfortante, pero erróneo.
El COVID-19 no es el único riesgo capaz de alterar rápida y exponencialmente nuestra forma de vivir. La crisis demuestra que el mundo es mucho más vulnerable a perturbaciones por pandemias, ciberataques o puntos de inflexión ambientales de lo que indica la historia.
Nuestra "nueva normalidad" no es el COVID-19 en sí, sino los incidentes similares al COVID.
Y una pandemia cibernética es probablemente tan inevitable como una futura pandemia de enfermedad. El momento de empezar a pensar en la respuesta es, como siempre, ayer.
Para iniciar ese proceso, es importante examinar las lecciones de la pandemia de COVID-19 – y utilizarlas para prepararnos ante un futuro ciberataque global.
Lección #1: un ciberataque con características similares a las del coronavirus se propagaría más rápido y más lejos que cualquier virus biológico.
El índice de reproducción, o R0, del COVID-19 se sitúa entre dos y tres sin ningún distanciamiento social, lo que significa que cada persona infectada transmite el virus a un par de personas más. Esta cifra afecta a la velocidad con la que puede propagarse un virus; el número de personas infectadas en el estado de Nueva York se duplicaba cada tres días antes del confinamiento.
En cambio, las estimaciones del R0 de los ciberataques es de 27 o superior. Uno de los gusanos informáticos más rápidos de la historia, el gusano Slammer/Sapphire de 2003, duplicaba su tamaño aproximadamente cada 8,5 segundos, alcanzando más de 75.000 dispositivos infectados en 10 minutos y 10,8 millones de dispositivos en 24 horas. El ataque WannaCry de 2017 explotó una vulnerabilidad de los sistemas Windows antiguos para paralizar más de 200.000 ordenadores en 150 países; fue detenido mediante parches de emergencia y el descubrimiento accidental de un “interruptor de apagado”.
El equivalente cibernético del COVID-19 sería un ataque autopropagable que utilizara uno o más exploits de “día cero”, técnicas para las que aún no existen parches ni firmas específicas de software antivirus. Lo más probable es que atacara todos los dispositivos que ejecutan un mismo sistema operativo o aplicación común.
Dado que los ataques de día cero rara vez se descubren de inmediato, Stuxnet utilizó cuatro exploits de día cero distintos y permaneció oculto en los sistemas durante 18 meses antes de atacar – tardaría un tiempo en identificar el virus y aún más en detener su propagación. Si el vector fuera una aplicación de redes sociales popular con, digamos, 2.000 millones de usuarios, un virus con un índice de reproducción de 20 podría tardar cinco días en infectar más de 1.000 millones de dispositivos.
Lección #2: el impacto económico de un apagón digital generalizado sería de la misma magnitud, o mayor, que el que estamos viendo actualmente.
Si el ciber-COVID reprodujera la patología del nuevo coronavirus, el 30% de los sistemas infectados serían asintomáticos y transmitirían el virus, mientras que la mitad seguiría funcionando con un rendimiento gravemente degradado: el equivalente digital a estar en cama una semana. Mientras tanto, el 15% sería “borrado”, con pérdida total de datos, lo que exigiría reinstalar completamente el sistema. Por último, el 5% quedaría “inutilizado”, es decir, el propio dispositivo dejaría de funcionar.
El resultado final: millones de dispositivos quedarían fuera de línea en cuestión de días.
La única forma de detener la propagación exponencial del ciber-COVID sería desconectar por completo todos los dispositivos vulnerables entre sí y de internet para evitar la infección. Todo el mundo podría sufrir un confinamiento cibernético hasta que se desarrollara una vacuna digital. Quedarían bloqueadas todas las comunicaciones empresariales y las transferencias de datos. El contacto social se reduciría a las personas localizables mediante visitas presenciales, línea telefónica fija de cobre, correo postal o radio de onda corta.
Un solo día sin internet costaría al mundo más de 50.000 millones de dólares. Un confinamiento cibernético global de 21 días podría costar más de 1 billón de dólares.
El confinamiento cibernético también plantearía desafíos inéditos para las economías dependientes de lo digital. Durante los incendios forestales de Australia de 2020, los cortes de energía y los daños en la infraestructura de telefonía móvil dieron a los ciudadanos una valoración renovada de las radios FM con batería. Pero si el ciber-COVID devastara un país, ¿qué emisoras de radio seguirían funcionando sin sistemas digitales de grabación y transmisión? ¿Podrían estados como Noruega, que ha completado su transición a la radio digital, volver atrás?
Lección #3: la recuperación tras la destrucción generalizada de los sistemas digitales sería extremadamente difícil.
Reemplazar el 5% de los dispositivos conectados del mundo requeriría alrededor de 71 millones de dispositivos nuevos. Sería imposible que los fabricantes aumentaran rápidamente la producción para satisfacer la demanda, sobre todo si se viesen afectados los sistemas de fabricación y logística. En cuanto a los sistemas que sobrevivieran, habría un cuello de botella significativo en la aplicación de parches y en las reinstalaciones.
La concentración geográfica de la fabricación de productos electrónicos generaría otros desafíos. En 2018, China produjo el 90% de los teléfonos móviles, el 90% de los ordenadores y el 70% de los televisores. Las acusaciones cruzadas sobre el origen y el motivo del ciberataque, así como la competencia por ser los primeros en recibir suministros, provocarían inevitablemente tensiones geopolíticas.
Qué hace el Foro Económico Mundial en materia de ciberseguridad
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la ciberresiliencia y a abordar retos que requieren respuestas colectivas.
¿Cómo podemos prepararnos para el ciber-COVID?
La pandemia de COVID-19 ofrece información sobre cómo los líderes pueden prepararse para un riesgo de “cola gruesa”:
1. Los ciberataques generalizados y sistémicos no solo son posibles o plausibles; deben preverse. Como hemos visto con el COVID-19, incluso un breve retraso en la respuesta puede causar daños exponenciales.
2. Nueva Zelanda ha demostrado con su éxito en la lucha contra la pandemia que las actuaciones tempranas y decididas, junto con una comunicación clara y coherente, aumentan la resiliencia. Es imposible prepararse para todos los riesgos potenciales, pero tanto el sector público como el privado deberían invertir en ejercicios de escenarios para reducir el tiempo de reacción y valorar la gama de opciones estratégicas en caso de que se produzca un ataque.
3. El COVID-19 ha puesto de manifiesto la importancia de la coordinación internacional e intersectorial entre las partes interesadas. La cooperación entre los líderes del sector público y del privado también es fundamental, sobre todo en lo que respecta a la mitigación. El Centro para la Ciberseguridad del Foro Económico Mundial es solo un ejemplo de organización que aborda los desafíos sistémicos de ciberseguridad y mejora la confianza digital entre instituciones, empresas y particulares.
4. Del mismo modo que el COVID-19 ha llevado a particulares y organizaciones a recurrir a sustitutos digitales de las interacciones físicas, los líderes gubernamentales y empresariales deberían pensar en lo inverso. Los planes de «reversión digital» y de continuidad son esenciales para garantizar que las organizaciones puedan seguir operando en caso de pérdida repentina de herramientas y redes digitales, como Maersk aprendió durante el ciberataque NotPetya de 2017, que inutilizó 49.000 portátiles e impresoras y borró todos los contactos de sus teléfonos sincronizados con Outlook. Una parte necesaria de la transformación digital es disponer de información sensible e importante almacenada y accesible en formato físico impreso.
Pero quizá la lección más importante: el COVID-19 era un riesgo conocido y previsto. Lo mismo ocurre con su equivalente digital.
Preparémonos mejor para ese.
