Ciberseguridad, una responsabilidad de todos

Zero Latency es uno de nuestros proyectos más importantes, si no el que más, orientado a lograr una posición diferencial que nos aporte ventajas competitivas. Con este proyecto, vamos a aumentar nuestra dependencia de la tecnología y, con ello, asumimos también mayores riesgos en este ámbito, ya que nuestro negocio depende en mayor medida de la disponibilidad de estos sistemas. Cuando diseñábamos nuestras estructuras sobre mesas de dibujo, nuestro mayor problema podía ser un incendio. Ahora tenemos otros enemigos ocultos dentro de estas tecnologías.

Cuando aparecieron los primeros virus, no estaban diseñados para causar daños. Su objetivo principal era ser lo más visibles posible: al igual que los grafiteros de hoy en día, buscaban popularidad. Los que ya tenéis una edad recordaréis virus como el de la "pelota rebotadora". Una pelota aparecía en la pantalla de MSDOS, rebotando entre las letras. Era molesto, pero no iba más allá.

También estaban los primeros "hackers". Personas que se conectaban a centrales telefónicas para tener "tarifas ilimitadas", u otros que querían ver qué se escondía detrás de los ordenadores sin mucha intención de hacer el mal. Todavía recuerdo aquella película, "Juegos de guerra", en la que el protagonista buscaba un juego y casi termina provocando una guerra nuclear.

Desde entonces hasta hoy, todo esto ha evolucionado mucho.

Estos actores (llamados "actores de amenazas") se han profesionalizado y se han convertido en "corporaciones" que solo buscan maximizar sus beneficios.  

Y en este caso, no les importa cuánto daño puedan causar si logran maximizar sus resultados. Existen de dos tipos: organizaciones criminales privadas —que buscan beneficio económico— y organizaciones patrocinadas por estados que buscan atacar infraestructuras críticas para socavar economías y objetivos geoestratégicos.

Actualmente, la empresa líder del sector privado de "actores de amenazas" es LockBit. Seguro que habéis oído en la prensa los problemas de suministro de combustible que ocurrieron en mayo de 2021 en la costa este estadounidense (Colonial Pipeline), o los problemas que hubo a principios de este año con el servicio postal británico (Royal Mail) y el Hospital Clínic de Barcelona, entre muchos otros.

El procedimiento de LockBit consiste en copiar la información y dejarla cifrada para que no se pueda acceder a ella, exigiendo después dinero, normalmente en criptomonedas, para poder recuperarla y también para su "no divulgación", es decir, para no publicarla en internet. Como sabéis, el software malicioso que utilizan para esto se llama "Ransomware". Y si no lo sabéis, es porque aún no habéis completado la "Formación en Seguridad II". Por favor, solicitadla a vuestro departamento de Recursos Humanos, ya que creo que es muy importante para todos vosotros.

LockBit está considerado un grupo de Ransomware-as-a-Service (RaaS), lo que significa que posee una variante de ransomware y vende el acceso y su uso a sus afiliados a cambio de una tarifa fija y una parte de los beneficios obtenidos por el afiliado, que es quien realmente lleva a cabo el ataque.

El precio que piden por la recuperación y/o por la no divulgación y venta depende de quién seas, qué información hayan obtenido, si creen que eres capaz de recuperarla sin su ayuda y si consideran que eres demasiado sensible como para que no la publiquen.

Operan de forma similar a las empresas convencionales. Se anuncian, publican ofertas de trabajo, recompensan a quienes les ayudan a mejorar su software... Si pagas, se aseguran de que recuperes tus archivos —cuidan su "credibilidad"— hasta el punto de tener una línea de soporte para ayudarte. Si es necesario, se conectan a tus ordenadores para recuperar los datos ellos mismos. Si no pagas, intentan vender tus datos y publicitan su venta al mundo, para que todos sepan lo que le ocurre al que no paga.

Una víctima conocida fue un hospital infantil en Canadá (SickKids Hospital). La organización LockBit se disculpó tras el ataque, esforzándose al máximo por una pronta recuperación y explicando que su afiliado no había seguido sus reglas, su "código ético", con este ataque.

¿Y por qué todo esto? Fácil, necesitamos vuestra ayuda.

Imaginad que yo, un usuario de Aernnova que solo tiene acceso a la información que necesito para trabajar (diseños de un cliente, datos personales de empleados de Aernnova, datos financieros o de proveedores), tengo la desgracia de caer en sus redes. Posiblemente mi información sea primero copiada en sus servidores y luego cifrada para impedirnos el acceso. En el mejor de los casos, se puede eliminar el malware, recuperar la información de una copia almacenada en otro lugar y no se habrá sustraído información sensible no pública. Pero, ¿y si no es así? Seguro que recordáis el caso de una empresa del sector que estuvo parada más de un mes con todos sus empleados en casa y la producción paralizada. Sin entrar en los problemas reputacionales que esto pudo causarles y las consecuencias de la posible filtración de información con las correspondientes reclamaciones económicas.

Nosotros, vuestros compañeros de CMIT, intentaremos asegurarnos de que vuestros equipos no tengan fallos de seguridad e instalaremos software que intentará detener el malware en caso de que intente ejecutarse. También nos aseguramos de que los archivos solo sean vistos o accedidos por quienes necesitan acceder a ellos, para evitar riesgos. Haremos copias de seguridad por si ocurre lo peor y nos aseguraremos de que nadie desde fuera pueda acceder a ellas. Pero esta es una guerra entre actores desiguales: los "actores maliciosos" son muchos y están bien organizados. Se estima que, con la penúltima versión de su Ransomware, LockBit ganó varios cientos de millones de dólares. Su incentivo económico para atacarnos es muy fuerte y tenemos muchos puntos de entrada a la caja fuerte, que son nuestros datos, los de nuestros empleados y los de nuestros clientes.

Y ahí es donde entráis vosotros. Es en esta defensa donde os queremos. Necesitamos que os fijéis en qué enlace hacéis clic, qué programa ejecutáis, con quién intercambiáis información. En la formación de seguridad que habéis recibido (o que seguramente recibiréis en breve) hemos intentado daros una pequeña guía sobre qué tener en cuenta. Pero, básicamente, es una cuestión de sentido común. Nadie nos va a regalar millones ni nos va a avisar por correo electrónico de que vamos a ir a la cárcel.

Si no esperáis el "paquete", aseguraos de que es para vosotros antes de hacer clic. Intentad acceder vosotros mismos escribiendo la dirección de vuestro banco y no haciendo clic en el enlace: seguro que el banco os ha dicho cientos de veces que no piden contraseñas. Si no lo esperáis, por favor, desconfiad. Nos jugamos mucho. Sabemos que esto empieza a parecer paranoia, pero, por favor, desconfiad antes de hacer clic.

Gracias por vuestra ayuda.