El conflicto en Ucrania registró menos ciberataques de los previstos y más ataques cinéticos.
La ausencia de una intensa dinámica cibernética en el conflicto se debe al escaso impacto de esos ataques, pese a la creencia generalizada sobre la magnitud de su peligro potencial.
La reversibilidad de los ciberataques limita en parte el riesgo que plantean, aunque su amenaza aún puede ser considerable, sobre todo cuando se combinan con otras formas de intervención.
El conflicto en Ucrania ha desafiado las expectativas en muchos sentidos, especialmente las de la comunidad de ciberseguridad.
La «ciberguerra» que muchos esperaban no llegó a materializarse, ya que estas operaciones no lograron tener ningún impacto estratégico, y el ámbito cibernético de la ofensiva rusa quedó relegado en gran medida a un segundo plano.
Asimismo, aunque el «Ejército de TI» ucraniano acaparó titulares, los hackers voluntarios internacionales y ucranianos que afirman ayudar al Ministerio de Defensa nacional a atacar infraestructuras y sitios web rusos han demostrado aportar poco más que contribuciones marginales. El conflicto ha seguido siendo predominantemente cinético, y parece poco probable que eso cambie.
Sin embargo, este resultado plantea una pregunta sencilla pero importante: ¿por qué el ciberespacio no ha desempeñado un papel más relevante en el conflicto de Ucrania? La respuesta podría aportar claves para futuros conflictos en los que preocupe una participación cibernética desproporcionada u otras formas de guerra híbrida.
El debate sobre el papel del ciberespacio en los conflictos no es nuevo, pero aún no se ha producido su «momento Pearl Harbor». El politólogo Thomas Rid afirma que la «ciberguerra» no ha ocurrido y probablemente no ocurrirá, mientras que otro académico del campo, Lorenzo Franchesci-Biccherai, dice que ese término «se usa en situaciones equivocadas» y probablemente da lugar a «exageraciones».
Hay pocos precedentes que cuestionen las opiniones de Rid y Franchesci-Biccherai. Solo un puñado de operaciones cibernéticas ha captado la atención del público; por ejemplo, la Operación Juegos Olímpicos dirigida contra instalaciones nucleares iraníes y la Operación Sinfonía Resplandeciente contra la organización terrorista ISIS. Pero no hay ningún caso claro en el que hayan inclinado la balanza como parte de una estrategia de guerra híbrida, y mucho menos por sí solas.
Ciberataques reversibles
Francamente, los ciberataques no tienen mucho impacto, por contraintuitivo que parezca, dadas las situaciones catastróficas que suelen citarse, como la posibilidad de piratear armas nucleares o de paralizar por completo el sistema financiero. Aunque esto último fuera posible, pronto se haría patente la limitación fundamental de las operaciones cibernéticas: la reversibilidad.
La principal diferencia entre las operaciones cibernéticas y sus alternativas cinéticas es que, cuando se producen ataques cinéticos, lo que queda fuera de servicio suele permanecer así durante más tiempo. Para comprender este punto, conviene considerar la reversibilidad —o permanencia— de los ataques a lo largo de un espectro.
En un extremo se encuentra la permanencia de los ataques nucleares. Los ataques físicos o cinéticos pueden tener distintos grados de permanencia. Por ejemplo, reparar los daños importantes que los bombardeos de artillería causan a los edificios puede llevar años, especialmente si el conflicto se prolonga durante años y aumenta el número de estructuras que deben repararse. Incluso los daños causados por armas ligeras pueden durar un tiempo, como muestran las ciudades bosnias de Mostar y Sarajevo. La magnitud de los daños por sí sola puede dificultar la reparación (y reducir la reversibilidad).
En cambio, se ha demostrado que los daños cibernéticos son relativamente reversibles. Por ejemplo, Colonial Pipeline, el mayor oleoducto de Estados Unidos, que sufrió un ataque de ransomware en mayo de 2021, estuvo fuera de servicio solo durante cinco días, frente a varios parques eólicos de Ucrania que sufrieron daños físicos y llevan meses afectados, y podrían seguir así más tiempo mientras continúe el conflicto.
Podría sostenerse que las operaciones cibernéticas representan una amenaza para la seguridad económica, más que para la seguridad militar, lo que abre la posibilidad de una guerra indirecta. Sin embargo, los datos del conflicto en Ucrania ponen en duda esta postura.
Como referencia, el director ejecutivo de la empresa de tecnologías limpias IB Centre Inc., Vitaliy Daviy, señala que el conflicto ha provocado el cierre o la destrucción del 60% de las empresas industriales de Ucrania, mientras que Kosatka Media estima que se ha dañado entre el 30% y el 40% de la capacidad de energía renovable.
Ha quedado claro que la amenaza que plantean las operaciones cibernéticas difiere de lo que se esperaba antes del conflicto en Ucrania. Por supuesto, esto no significa que el ciberespacio no plantee ninguna amenaza ni que deban restarse importancia a los riesgos cibernéticos.
Thomas Johansmeyer, responsable de Property Claim Services (PCS) de Verisk
Además, PCS, el equipo que dirijo en la empresa de datos y análisis Verisk, estima que los ciberataques probablemente representarán menos del 1% de las pérdidas aseguradas de todos los sectores derivadas del conflicto; la mayor parte corresponderá a categorías como la marítima, la energética y la industrial. Por último, las pérdidas económicas por daños físicos podrían alcanzar los 127.000 millones de dólares, según la Escuela de Economía de Kiev.
La reversibilidad de los ciberataques debe convertirse en una consideración fundamental de la ciberseguridad. Esto se aplica tanto a una campaña de ciberguerra como a un ataque individual e independiente contra un objetivo comercial.
Más allá de la disuasión
Confiar en la disuasión como estrategia está desfasado. Aunque sin duda hacen falta medidas preventivas en ciberseguridad, la reversibilidad deja claro que invertir en la recuperación también es crucial. Poder acelerar la recuperación tras un ataque reversible contribuye a volver a la normalidad a tiempo y con un costo controlado. En este contexto, la seguridad es tanto posterior como previa al incidente.
Ha quedado claro que la amenaza que plantean las operaciones cibernéticas difiere de lo que se esperaba antes del conflicto en Ucrania. Por supuesto, esto no significa que el ciberespacio no plantee ninguna amenaza ni que deban restarse importancia a los riesgos cibernéticos.
El potencial de causar interrupciones, perjuicios económicos y otros daños persiste y puede evolucionar, especialmente cuando se combina con otras formas de intervención, desde la guerra cinética hasta la «confrontación informativa».
Sin embargo, el debate sobre la evolución de las ciberamenazas debe incluir una reflexión sobre cómo la reversibilidad limita el riesgo. Esta es una de las razones por las que el ámbito cibernético ha tenido poca relevancia en el conflicto actual, y también puede aportar claves para conflictos futuros.
Las opiniones expresadas pertenecen al autor y no necesariamente representan las de otras personas, salvo que se indique lo contrario. PCS, una empresa de Verisk, proporciona datos y análisis principalmente a los mercados mundiales de reaseguros y valores vinculados a seguros (ILS). PCS recopila información sobre pérdidas declaradas en determinados eventos, que abarca, en promedio, aproximadamente el 70% del mercado. Toda referencia al conjunto de los sectores se basa en esta investigación y en la opinión del autor sobre las tendencias del sector, y no representa necesariamente la opinión de otras personas del sector.
