Search

En tiempos de ciber-inseguridad


Columna publicada en Cooperativa

El reciente ataque informático al Banco de Chile nos debe llamar a una profunda reflexión sobre las actuales capacidades de Chile para defender su infraestructura crítica de la creciente industria del cibercrimen. Los delitos evolucionan mientras el mundo recién asume la revolución tecnológica y la economía digital, aún cuando la transferencia transfronteriza de datos se constituye como parte relevante de los negocios globales. Los ciberdelincuentes inundan la red, ya no provistos de armas de fuego pero sí con altas dosis de tecnología y con los conocimientos adecuados para vulnerar incluso complejos sistemas de seguridad de Estados, instituciones financieras o empresas estratégicas. En la economía digital, los datos constituyen un patrimonio valioso y, por tanto, son altamente apetecidos por el crimen organizado.

Estamos viviendo un cambio de escenario: las sucursales bancarias ya no son asaltadas con pasamontañas, ahora se accede al corazón de las instituciones mediante la introducción de malwares. Así,los forajidos toman control de los sistemas, desviando transferencias y sustrayendo millones de datos desde las tarjetas bancarias, para luego ser transados en el mercado paralelo del hampa internacional y la deep web.

El crimen organizado opera con un alto nivel de conocimientos y capacidades tecnológicas, aptas para identificar y aprovecharse de las vulnerabilidades de los sistemas de ciberseguridad. Una vez que logran acceder a bancos o instituciones financieras, inician un control “puertas adentro” de sus sistemas informáticos. En la red, deambulan cientos deciberdelincuentesllamadosmulas que, a través del phishing,realizan el hurto hormiga virtual,extrayendo distintas cantidades de dinero de cientos de cuentas corrientes y transfiriéndolas a terceras cuentas, obviamente no autorizadas por el titular.

Tal y como ocurre en los atracos físicos, los ciberdelincuentes realizan una“mise en scene”(puesta en escena) destinada a distraer a las empresas de seguridad de sus víctimas, afectando los servicios al cliente, los accesos a distancia y los sistemas de reclamos. Ello provoca que la principal atención de la autoridad y de la empresa víctima se concentre en la pronta reparación y restitución de estos servicios. Mientras, “las mulas”tienen el tiempo suficiente para lograr sus lucrativos objetivos.

El emblemático caso “Target 2013” es material de estudio en Harvard Business School. Gracias a este golpe criminal, 40 millones de números de tarjetas y 70 millones de direcciones de correo de clientes fueron robados a una empresa, creando la peor crisis por vulnerabilidad de sistemas de ciberseguridad. Hace aproximadamente 2 años, una banda internacional atacó bancos en Suiza, Bangladesh y otros países, generando millonarias pérdidas. Al momento de la captura, la banda de cibercriminales poseía 800 millones de dólares en bitcoins. Y sólo hace un par de semanas, 6 bancos de México fueron atacados por una banda de cibercrimen que, mediante un APT (Advanced Persistent Threat), logró controlar los sistemas internos y crear órdenes de transferencia internacional por montos superiores a los 400 millones de pesos mexicanos.

Lo peor es que estos ataques “volumétricos” crecen a diario en el mundo financiero, causando estragos en empresas de bienes o servicios. Es más, tal es la magnitud del flagelo que las Naciones Unidas han incorporado recientemente a los ataques de cibercrimen dentro de las 5 principales amenazas a empresas en el mundo, haciendo un llamado a actualizar las técnicas preventivas de esta modalidad criminal.

¿Se imagina usted a Chile bajo un ataque simultáneo a los grandes bancos o empresas del retail? ¿O a las empresas distribuidoras de energía, la principal empresa productora de cobre o la red de seguridad del Estado? Lamentablemente, el cibercrimen es parte del desarrollo de la era digital y debemos prepararnos a la brevedad para enfrentar esta nueva realidad.

Necesitamos adecuar nuestras instituciones, definir responsabilidades y diseñar una estrategia de Estado con vocación de estabilidad. Debemos crear normas que obliguen a invertir en gobiernos corporativos que incorporen a la ciberseguridad y exigir el mejoramiento de los estándares en seguridad informática. Necesitamos autoridades que conozcan de estos temas, que sean capaces de ser contrapartes reales de las víctimas de ciberataques para así realizar eficientes auditorías de sistemas y procesos para pronto mejorar los estándares de seguridad. Es urgente legislar sobre normas que obliguen a las instituciones de infraestructura crítica a informar oportunamente a las autoridades y a los potenciales afectados las medidas destinadas a disminuir los impactos de los ataques.

Por ello es que hago un llamado al Gobierno para que convoque a un equipo multidisciplinario, capaz de materializar una política nacional de ciberseguridad, a fin de realizar una evaluación de nuestra infraestructura crítica y diseñar, en el corto plazo, un plan de inversiones que permita a Chile seguir en la senda de la digitalización pero en óptimas condiciones de seguridad, tanto para el Estado como para sus industrias y, principalmente, para las y los ciudadanos.