JP Morgan Chase. Sony Pictures. Target. Anthem Healthcare. Fiat Chrysler. Todas estas empresas han sufrido ciberataques de gran repercusión en los últimos 20 meses, lo que ha socavado la confianza de sus clientes y empleados y las ha obligado a gastar más para mejorar sus defensas.
Pero para John Strand, estos ataques han sido muy buenos para el negocio. Un experto en ciberseguridad con sede en las remotas Black Hills de Dakota del Sur, Strand se especializa en un nuevo enfoque para proteger a las empresas de los piratas informáticos, conocido como “defensa activa”, una alternativa agresiva a depender simplemente de las contraseñas y los cortafuegos tradicionales.
“Ha habido ataque tras ataque tras ataque. Mi negocio se ha disparado. Siento que debería enviar a los chinos una tarjeta de Navidad para darles las gracias por un año maravilloso”, dijo.
Las empresas como la de Strand utilizan tácticas para atraer a los piratas informáticos hacia trampas o para rastrear sus pasos y descubrir el origen de un ataque. Pero hay otras que ofrecen métodos más controvertidos –y probablemente ilegales– para «contraatacar» a los ciberdelincuentes. Algunas recurren en silencio a estas tácticas, mientras que otras quieren hacerlo pero temen infringir la ley. Sea legal o no, algunos afirman que contraatacar es necesario ante la amenaza.
Tras una oleada de ataques devastadores, las empresas y los gobiernos están organizando una respuesta para reforzar sus defensas y encontrar formas más activas de neutralizar las amenazas de los atacantes. Pero la ventaja técnica está del lado de los atacantes, mientras que las consideraciones legales y políticas limitan hasta dónde pueden llegar las posibles víctimas.
Alrededor del 46% de las empresas estadounidenses ha aumentado sus presupuestos de ciberseguridad en los últimos dos años, y la mitad afirma que gastará más en los próximos dos, según informa el Ponemon Institute, un centro de investigación en ciberseguridad.
“Hay un nivel de interés sin precedentes por la defensa activa y una frustración con el enfoque reactivo”, afirma James Lyne, director global de investigación de Sophos, especialista en seguridad web.
El aumento de la defensa
Con fondos de la Agencia de Proyectos de Investigación Avanzada de Defensa (DARPA) de EE. UU., Strand ayudó a crear un conjunto de 20 trucos y trampas para frustrar a los ciberdelincuentes. Las descargas del kit Active Defense Harbinger Distribution casi se han duplicado en los últimos dos meses, hasta una media de unas 500 a la semana. Sus sesiones de «defensa activa» en la próxima conferencia de seguridad Black Hat, en Las Vegas, ya están agotadas. Según Strand, tras cada gran ciberataque se produce un «enorme repunte» del interés por la defensa activa.
La avalancha de ciberataques ha demostrado lo vulnerable que es todo sector, desde los bancos hasta los minoristas, desde las empresas de entretenimiento hasta los proveedores de atención sanitaria. Quieren reforzar sus defensas para proteger los datos de los clientes, la propiedad intelectual y la información financiera, que son el sustento de su negocio y un tesoro para los piratas informáticos.
Lyne mostró cómo las técnicas de defensa activa podían usarse para rastrear a un pirata informático en una charla TED de 2013. Accedió a los servicios en la nube utilizados por un grupo de piratas, encontró sus números de teléfono y utilizó la información GPS para localizar con precisión su edificio de oficinas. Incluso logró encontrar fotos de la fiesta de Navidad de los piratas.
Pero encontrarlos fue la parte fácil. “A pesar del robo de millones de dólares, los ciberdelincuentes no han sido arrestados y, en este momento, quizá nunca lo sean”, dijo. “La mayoría de las leyes son nacionales, a pesar de las convenciones sobre ciberdelincuencia, mientras que internet no tiene fronteras y es internacional por definición.”
Despliegue al honey badger
Los especialistas en ciberseguridad clasifican las principales tácticas de defensa activa como las tres A: molestia (annoyance), atribución (attribution) y ataque (attack). Sin embargo, solo dos de las tres A se consideran dentro de la legalidad.
La molestia consiste en rastrear a un pirata informático y llevarlo a un servidor falso, haciéndole perder el tiempo y haciendo que sea fácil de detectar. Una nueva generación de start-ups se especializa en crear trampas para centros de datos, entre ellas dos empresas israelíes, TrapX y Guardicore.
La atribución utiliza herramientas para rastrear el origen de un ataque hasta una ubicación específica, o incluso hasta un pirata informático concreto. Las dos herramientas más populares del kit ADHD son técnicas de atribución: el «honey badger», que localiza el origen de un ataque y registra su latitud y longitud con una imagen satelital, y las balizas, que se colocan en documentos para detectar cuándo y dónde se accede a los datos fuera del sistema del usuario.
Pero es la tercera A, el ataque, la más controvertida. Para «contraatacar», una empresa accede al ordenador de un presunto pirata informático para borrar sus datos o incluso para vengarse. Ambos pasos se consideran ilegales.
Justicia por propia mano
Strand ha visto a empresas tan frustradas que quieren contraatacar. Un banco malasio se puso en contacto con él para que le ayudara a localizar a unos piratas informáticos, pero rechazó el trabajo porque temía contribuir a la «justicia por propia mano».
“No aceptamos casos así. No quiero abrir un periódico y descubrir que se ha puesto precio a la cabeza de un pirata informático en otro país”, dijo. “Me aterra lo que algunos bancos, no necesariamente bancos de EE. UU., sino algunos bancos internacionales, hacen para disuadir a los atacantes.”
Chris Hoff, director de tecnología de seguridad de Juniper Networks, está integrando elementos de la defensa activa en sus productos. “El sucio pequeño secreto es que, si no hubiera preocupaciones éticas ni legales, todo el mundo querría un botón de «bomba desde la órbita»”, afirma.
En cambio, los abogados especializados en seguridad se han visto obligados a trazar una línea entre lo que es una «defensa activa» legalmente aceptable y el «contraataque» ilegal, utilizando un caso que tiene poca relevancia evidente en el mundo de los ciberataques a gran escala.
En 2011, una profesora de Ohio usó un portátil que no sabía que había sido robado para mantener chats sexuales por webcam con su amante. Absolute Software, que vigilaba la propiedad robada en nombre de su dueño, localizó el portátil, interceptó sus comunicaciones y tomó capturas de pantalla de sus momentos más privados en internet.
Susan Clements Jeffrey demandó a Absolute Software y ganó, ya que el juez dictaminó que, incluso si el portátil había sido robado, la empresa no podía entrar en él para supervisar su uso. Sobre la base de este precedente, los abogados especializados en ciberseguridad han concluido que las empresas corren el riesgo de infringir la ley si entran en otra red, incluso si es solo para borrar sus propios datos robados.
Sin embargo, algunas empresas eluden estas restricciones de la legislación estadounidense situando sus unidades de ciberdefensa en países con pocas leyes que regulen internet. Y algunas empresas de ciberseguridad fuera de EE. UU. también atacan a piratas informáticos en nombre de sus clientes estadounidenses, afirma David Cowan, inversor en start-ups de seguridad de Bessemer Venture Partners.
“Si no tuviéramos las leyes restrictivas que tenemos, creo que los bancos estarían atacando de forma mucho más agresiva las fuentes de sus amenazas. He visto situaciones en las que proveedores [fuera de EE. UU.] han atacado, como cortesía, a piratas informáticos en nombre de sus [clientes estadounidenses] sin cobrar nada por ello.”
En el Reino Unido, añade Lyne, la mayoría de los abogados han concluido que la ley es similar a la de EE. UU. Sin embargo, existe «bastante distancia respecto a la claridad jurídica», y algunos abogados de empresas consideran que inyectar código en un sitio web para rastrear la dirección IP de un atacante es legal, pero que insertar código que recopile más información es malicioso. Mientras no exista una ley internacional clara y coordinada, el alcance de la defensa activa de las empresas depende del «número de abogados que tengan y del tamaño y la madurez de su equipo de seguridad».
Antiguos funcionarios gubernamentales reconocen la frustración de las empresas a las que se les dice que dependan del FBI o de las agencias de inteligencia para responder.
Howard Schmidt, antiguo asesor de ciberseguridad de la Casa Blanca del presidente Barack Obama y del expresidente George W. Bush, afirma que existe un «gran debate» sobre si las empresas deberían poder contraatacar. “Hay una tremenda frustración.”
Si a una persona le roban el coche y lo encuentra abandonado, legalmente puede volver a subirse a él, afirma. “En ciberseguridad no funciona así. Hacer eso es un delito grave. Necesitas a un organismo que lo haga por ti.”
Sin embargo, muchos expertos en ciberseguridad ven serios problemas en permitir que las empresas contraataquen. Determinar con exactitud quién cometió el ataque es difícil, por lo que las empresas corren el riesgo de atacar a usuarios inocentes. “En el fondo de todo esto está la cuestión de la atribución”, afirma Hoff. “La mayoría de las personas no pueden hacerlo.”
Lyne añade que los piratas informáticos son “muy buenos aprovechando la ley” al utilizar redes legítimas que los abogados no autorizarán a sus empresas a atacar. “Ningún abogado va a autorizar el uso de técnicas ofensivas contra el servidor web de Joe Bloggs, el vendedor de flores cuyo ordenador casualmente está distribuyendo algún malware desagradable.”
Contraatacar también podría agravar el problema, provocando ataques más graves y azuzando a posibles adversarios en la comunidad de hackers, a medida que los seguidores de un ciberdelincuente se suman a la lucha.
En un raro intento público de represalia, la empresa israelí Blue Security trató de dar la vuelta a la tortilla hace casi una década, respondiendo a los correos electrónicos de spam con una avalancha de tráfico electrónico diseñado para desbaratar a los atacantes. El contraataque provocó una respuesta rápida y devastadora: los sistemas de Blue Security fueron víctimas de un enorme ataque de denegación de servicio que los dejó fuera de línea, lo que obligó a la empresa a abandonar sus mal concebidas contramedidas y, finalmente, a cerrar.
Para las empresas que sienten ganas de pasar a la ofensiva, es un recordatorio de lo peligrosas que se han vuelto las fronteras cibernéticas. “En el Salvaje Oeste era habitual librar tus propias batallas porque tenías miedo del sheriff. Pero en algún momento, esa no es una forma escalable de preservar la justicia”, afirma Cowan.
¿Cuál es el papel del gobierno?
Cuando Obama celebró su primera cumbre de ciberseguridad en Silicon Valley el pasado mes de febrero, firmó una orden ejecutiva destinada a fomentar el intercambio de información entre las empresas y el gobierno. Esa idea llevaba años en la agenda, mucho antes del reciente aumento de los ataques, pero algunos afirman que podría ayudar a crear un marco legal para una defensa cibernética más activa.
Si las empresas se sintieran más cómodas compartiendo información con el gobierno, podrían llevar a cabo los elementos de molestia y atribución de la defensa activa y, después, entregar la información descubierta a las fuerzas del orden, que asumirían la responsabilidad del contraataque.
“Personalmente, me sentiría mucho más cómodo sabiendo que el Departamento de Seguridad Nacional, el Departamento de Defensa y el FBI forman parte de la solución para proteger nuestras centrales nucleares. No creo que deban quedar abandonados a su suerte”, afirma Cowan.
Además de la orden ejecutiva y de un proyecto de ley sobre intercambio de información, el Departamento de Justicia se está poniendo en contacto con los asesores jurídicos generales para tratar de que se sientan más cómodos entregando al gobierno datos que podrían estar relacionados con sus clientes o proveedores.
John Carlin, fiscal general adjunto para la Seguridad Nacional del Departamento de Justicia, admite que las leyes sobre defensa activa no avanzan al mismo ritmo que el aumento de los ataques. “En ciberseguridad en general, la tecnología y los cambios de política son increíblemente rápidos. Casi todos los problemas a los que nos enfrentamos en ciberseguridad son áreas en las que se busca aclarar la ley”, dijo.
Sin embargo, algunos abogados van más allá del intercambio de información y presionan para que se permita a las empresas emprender más acciones. Ben Wittes, miembro sénior de la Brookings Institution y coautor de A Future of Violence, coincide en que las leyes que atan a las empresas dan ventaja a los atacantes. “El lado ofensivo nunca piensa en la legalidad, pero el lado defensivo tiene montones de abogados diciendo: ‘No puedes hacer eso, no puedes hacer eso, no puedes hacer eso’”, afirma. “En un entorno en el que no se puede recurrir de forma fiable al gobierno para protegerse, la ley debería ser relativamente más permisiva con las medidas razonables que se tomen para protegerse.”
Wittes afirma que redactar leyes con disposiciones de autodefensa sería difícil. Pero sugiere que las autoridades legales podrían terminar simplemente haciendo la vista gorda ante las defensas cibernéticas de las empresas, incluso cuando parezcan cruzar la línea. “Creo que la respuesta no es legalizarlo, sino tolerar mucha autodefensa activa”, dijo. “Se hace bastante. Nadie dice que esté bien. Pero nadie es procesado por ello.”
¿Ha leído?
Cómo prepararse para un ciberataque
5 principios económicos de la ciberseguridad
¿Cómo podemos evitar que la ciberdelincuencia obstaculice nuestro estilo de vida móvil?
Para mantenerse al día con la Agenda, suscríbase a nuestro boletín semanal.
Autora: Hannah Kuchler es corresponsal del Financial Times en San Francisco, donde cubre las redes sociales y la ciberseguridad. Este artículo se publica en colaboración con The Financial Times. La publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Imagen: Uno de los mayores ciberataques ralentiza los servicios de internet a nivel mundial después de que una organización que bloquea contenido “spam” se convirtiera en objetivo. REUTERS/Kacper Pempel
