C OVID-19 ha sido amigo de un phisherman. Millones de profesionales están en casa y en línea, ajustándose a las nuevas rutinas y ansiosos por sus trabajos. Eso los convierte en marcas perfectas: aptos para hacer clic en un correo electrónico que pretende ser de su jefe o de un proveedor que solicita el pago. Los funcionarios encargados de hacer cumplir la ley en muchos países han informado un aumento en el delito cibernético desde que comenzó la pandemia.
Pero según el FBI y el Departamento de Seguridad Nacional, no todos estos ataques provienen de pandillas o individuos que buscan ganar dinero rápidamente. El 13 de mayo, esas agencias advirtieron que los ciber-actores afiliados a China estaban tratando de robar datos y propiedad intelectual relacionados con los codiciosos. China no es la única preocupación. Los hackers rusos pueden investigar las debilidades en los sistemas electorales estadounidenses; Los iraníes han atacado a un farmacéutico estadounidense; Los norcoreanos han ido tras las tiendas de criptomonedas.
Así como los ataques del 11 de septiembre de 2001 impulsaron a Estados Unidos a cambiar su estrategia de lucha contra el terrorismo, las intrusiones repetidas están haciendo lo mismo para su seguridad cibernética. Sin embargo, primero tiene que definir el problema. Los ataques terroristas tienden a involucrar carnicería, un motivo político y una atribución. Los ciberataques tienen una variedad de motivos, incluido el robo (incursiones de Corea del Norte en los bancos), la interrupción digital (los ataques de Rusia de NotPetya en Ucrania y otras infraestructuras), el sabotaje (los ataques de Stuxnet al programa nuclear de Irán, probablemente por parte de Estados Unidos e Israel) y la política. guerra (interferencia de Rusia en las elecciones de Estados Unidos en 2016). A veces, los estados usan actores no estatales para llevar a cabo ataques cibernéticos, de la misma manera que algunos usan poderes terroristas. Los atacantes pueden apuntar a redes del sector privado en bancos, hospitales o sistemas de pago, que a menudo solicitan protección al gobierno.
La defensa es difícil. Los objetivos potenciales son muchos y difusos. Las identidades de los atacantes a menudo son oscuras. Hacen uso de vulnerabilidades a menudo desconocidas hasta que se explotan.
La Ley de Autorización de Defensa Nacional de 2019, que establece el presupuesto del Pentágono, estableció una comisión para repensar la defensa cibernética. La Comisión del Solarium del Ciberespacio, llamada así por el Proyecto Solarium, el esfuerzo de Dwight Eisenhower en 1953 para crear una estrategia duradera de guerra fría, y encabezada por Angus King, un senador independiente de Maine, y Mike Gallagher, un congresista republicano de Wisconsin, tuvieron la desgracia de publique sus recomendaciones el 11 de marzo, justo antes de que Estados Unidos se cierre. La comisión hizo su primera presentación pública a los legisladores a través de video conferencia el 13 de mayo.
La defensa cibernética de Estados Unidos, argumenta, se ve obstaculizada por los límites jurisdiccionales. Los intrusos son ágiles; La defensa de Estados Unidos es pesada. Las responsabilidades están dispersas entre el FBI , la Agencia de Seguridad Nacional ( NSA , la agencia de inteligencia de señales de Estados Unidos), el Comando Cibernético del Pentágono, el Departamento de Seguridad Nacional, la Agencia de Seguridad de Infraestructura y Seguridad Cibernética ( CISA ) y otros.
La comisión recomienda crear un ciberdirector nacional dentro de la Casa Blanca, una función de coordinación muy similar a la del director de inteligencia nacional, que surgió del informe de la Comisión del 11 de septiembre. También recomienda comités permanentes de seguridad cibernética del Congreso y una CISA reforzada. Sin embargo, la Casa Blanca está de acuerdo con un nuevo puesto de seguridad cibernética confirmado por el Senado, y crear nuevos comités del Congreso significaría convencer a los actuales para que renuncien a la jurisdicción.
Sin embargo, es más importante que la estructura del gobierno trabajar estrechamente con el sector privado. La comisión recomienda declarar algunos servidores privados, como los de las industrias de energía, finanzas y telecomunicaciones, infraestructura crítica. Recibirían una mejor supervisión del gobierno a cambio de cumplir con estándares de seguridad más estrictos.
También recomienda construir una plataforma, administrada por CISA con la ayuda de otras agencias, incluida la NSA , donde los organismos gubernamentales y las empresas privadas pueden compartir información sobre amenazas. La contraparte británica de la NSA , GCHQ , tiene un sistema similar. Algunas compañías pueden ser reacias a permitir que una agencia que se ha dedicado a la vigilancia generalizada y sin orden judicial supervise su seguridad, pero King cree que la propuesta "contará con el apoyo de la industria".
Si una forma de detener los ciberataques es detener los golpes, otra es devolver el golpe. Después de la intervención electoral rusa en 2016, los funcionarios estadounidenses se convencieron de que su país era visto como un toque suave porque no lo había hecho lo suficientemente duro. "No nos temen", se lamentó el general Paul Nakasone, jefe de la NSA y del Comando Cibernético, a principios de 2018. En consecuencia, la comisión insta a los piratas informáticos estadounidenses a "contraatacar con velocidad y agilidad".
Sin embargo, en la práctica, el enfoque de Estados Unidos ya ha pasado del castigo a la prevención, no tanto devolver el golpe como golpear primero. En abril de 2018, el Comando Cibernético y la NSA anunciaron una estrategia basada en el "compromiso persistente" y la "defensa hacia adelante". El primero de ellos refleja la creencia de que la competencia en el ciberespacio no es una serie de batallas, sino un mêlée digital constante. El segundo encarna el principio de que para evitar un ataque, debes ir a su fuente. Así como "nuestras fuerzas navales no defienden al permanecer en el puerto", dice el general Nakasone, "nuestras fuerzas también deben operar contra nuestros enemigos en su territorio virtual". En agosto de 2018, el presidente Donald Trump rescindió la orientación de la era Obama y facilitó que el Comando Cibernético operara más allá de las redes del Pentágono sin autorización presidencial.
La postura más agresiva fue puesta a prueba durante las elecciones de mitad de período de Estados Unidos. El Comando Cibernético atacó servidores pertenecientes a la Agencia de Investigación de Internet de Rusia, la compañía que sembró la discordia de las redes sociales en 2016, y envió mensajes de texto y correo electrónico a los operativos rusos advirtiéndoles que Estados Unidos los estaba rastreando, el equivalente digital de la cabeza de un caballo en la cama. "Ahora estamos abriendo la apertura, ampliando las áreas en las que estamos preparados para actuar", señaló John Bolton, entonces asesor de seguridad nacional, el verano pasado.
Sin embargo, llevar la lucha a los rivales presenta desafíos. Internet no tiene líneas de frente limpias. Los ataques desde el ciberespacio controlado por el enemigo pueden dirigirse a través de las redes de aliados, dice Max Smeets, del Centro de Estudios de Seguridad en Zurich. En 2016, el Comando Cibernético irritó a Alemania al borrar la propaganda del Estado Islámico en los servidores alemanes sin pedir permiso. Smeets dice que los adversarios podrían dirigir ataques a través de países en particular con la esperanza de generar cuñas entre Estados Unidos y sus amigos.
Ofendiéndose
Otro problema es que si uno defiende lo suficientemente hacia adelante, puede parecerse mucho a atacar. Se dice que Estados Unidos ha secretado códigos maliciosos en las redes de infraestructura rusas e iraníes. La práctica es similar a enterrar escondites de armas detrás de las líneas enemigas para usar en tiempos de guerra: hace que sea más fácil contraatacar si Rusia, que ha investigado las propias redes de poder de Estados Unidos, cruza una línea. Pero se puede usar el mismo acceso para un ataque no provocado.
Una alternativa es devolver el golpe por otros medios. Estados Unidos y varios aliados de ideas afines se han vuelto más audaces al atribuir públicamente grandes ataques informáticos a China, Rusia, Irán y Corea del Norte. En 2014, la administración Obama acusó a cinco miembros de las fuerzas armadas de China por piratear compañías estadounidenses. La administración Trump ha presentado cargos similares contra los piratas informáticos iraníes, rusos y norcoreanos, incluida una docena de oficiales del GRU , la agencia de inteligencia militar de Rusia, que intervino en las elecciones de 2016. Aunque pocos funcionarios estadounidenses esperan que los piratas informáticos extranjeros aparezcan en el muelle, las herramientas legales todavía se consideran útiles por varias razones.
Uno es la vergüenza. A la mayoría de los países no les gusta que los atrapen en el acto. En segundo lugar, los oficiales de inteligencia rusos preferirían evitar una lista de sanciones que cortaría los viajes de compras a París y los internados en Gran Bretaña. Tercero, la evidencia forense presentada dentro de estas acusaciones, incluso hasta las búsquedas en Google realizadas por oficiales individuales de GRU , es una forma poderosa para que Estados Unidos insinúe su alcance.
La exposición también ayuda a establecer normas, definiendo lo que se considera más allá del límite en el ciberespacio. Estados Unidos y sus aliados argumentan que las leyes de guerra existentes, incluidas ideas como la proporcionalidad y las distinciones entre combatientes y civiles, se aplican en el mundo digital (cómo esto cuadra con los presuntos ataques estadounidenses como Stuxnet es menos claro). Rusia, China, Cuba y otros temen que esta línea de pensamiento pueda legitimar las represalias estadounidenses.
Abundan los dobles raseros. Estados Unidos acusó a los oficiales rusos de piratear la Organización para la Prohibición de las Armas Químicas, pero la NSA se ha amotinado en instituciones internacionales. Y los acuerdos prácticos no han sobrevivido al contacto con la realidad. Se cree que un acuerdo en 2015 entre Barack Obama y Xi Jinping, presidente de China, para prohibir el espionaje comercial se ha desmoronado.
Estas divisiones se desarrollan en las Naciones Unidas, donde un grupo de expertos, favorecido por Estados Unidos y sus aliados, trabaja en paralelo a un grupo más grande, dominado por Rusia. "Lo que realmente hemos visto es una especie de fractura del proceso", dice Adam Segal, del Consejo de Relaciones Exteriores. "Hay algunas ideas interesantes que se filtran, pero nunca se formalizarán o centralizarán de ninguna manera importante". Entonces el ciberespacio sigue siendo un salvaje oeste. ■
Este artículo apareció en la sección de Estados Unidos de la edición impresa bajo el título "Policing the Wild West"