(Este artículo se actualizó el September 16, 2024.)
Los Juegos Olímpicos de París del mes pasado —y los Juegos Paralímpicos, que concluyen esta semana— fueron considerados por muchos un éxito, no solo por el idílico escenario que ofrece la ciudad, sino también por las complejas medidas de ciberseguridad que pasaron desapercibidas.
Según la ANSSI, la agencia de ciberseguridad del Gobierno francés —que trabajó desde una ubicación secreta durante los Juegos—, se produjeron más de 140 ciberataques contra los Juegos, incluidos 119 «incidentes de seguridad» de bajo impacto y 22 intrusiones en los sistemas de información por parte de actores malintencionados entre el July 26 y el August 11. Los ataques se dirigieron principalmente contra organismos públicos, así como contra infraestructuras deportivas, de transporte y de telecomunicaciones. Un tercio de ellos provocó un tiempo de inactividad limitado. Ninguno de ellos alteró el desarrollo de la competición.
Los expertos y analistas se reunirán para analizar los Juegos Olímpicos de París durante los próximos meses. Lo que ya está claro es que las autoridades francesas han acertado en muchas cosas. Si bien sus esfuerzos sin duda marcarán el rumbo de la ciberseguridad en futuros eventos deportivos mundiales (como los Juegos Olímpicos de Los Ángeles en 2026), las lecciones aprendidas también pueden servir como un manual de estrategias no oficial para cualquier empresa.
Es cierto que la mayoría de las organizaciones no pueden contratar personal como lo hacen los Juegos Olímpicos. El equipo de seguridad francés estaba compuesto por 15 miembros del Comité Organizador de París 2024 (COJOP); unos 100 miembros adicionales aportados por empresas colaboradoras; más de 200 evaluadores de penetración, cazadores de fallos y otros hackers éticos contratados para poner a prueba el sistema mediante ejercicios de «red teaming» y simulacros de mesa; decenas de miles de voluntarios que prestaron su apoyo justo antes y durante el evento; y un (sin duda, muy agotado) director de seguridad de la información.
Dicho CISO, Franz Regul, lleva cuatro años en el cargo, colaborando con el Comité Olímpico Internacional (COI) y con organismos gubernamentales. Se reunió con los responsables de seguridad de los Juegos Olímpicos de Verano de Tokio 2020 y de los Juegos Olímpicos de Invierno de Pekín 2022 , evaluó sus experiencias y modificó algunas medidas de defensa cibernética para adaptarse a la evolución tecnológica. En lugar de basarse en una red centrada principalmente en centros de datos —una estrategia utilizada en Tokio—, Regul optó por un entorno basado en la nube « » ().
«También optamos por un sistema menos centralizado, con una infraestructura operativa y miembros del equipo repartidos por toda Francia», explicó Regul justo antes de los Juegos, en una entrevista concedida a Infosecurity Magazine.
Regul y su equipo se enfrentaron a «el panorama de amenazas más complejo, el mayor ecosistema de actores maliciosos y el mayor grado de facilidad con el que estos podían llevar a cabo ataques» de todas las Olimpiadas, según International Data Corporation (IDC), la reconocida empresa de inteligencia de mercado. Los ataques comenzaron meses antes de que llegaran los deportistas o los espectadores, con varias campañas de denegación de servicio distribuida (DDoS) y , así como intentos de atacar la infraestructura y la administración de los Juegos.
IDC estima que los ingresos por servicios de ciberseguridad en Francia aumentarán en 94 millones de dólares en 2024 (y en 57 millones de dólares en el resto de Europa) como consecuencia de los Juegos Olímpicos, lo que supondrá un incremento de algo más de dos puntos porcentuales en el gasto total en servicios de ciberseguridad.
Así que sí, estoy de acuerdo: la mayoría de los CISO nunca dispondrán del presupuesto de Regul ni tendrán acceso a los recursos del Gobierno. No obstante, el enfoque múltiple de París merece ser imitado, y es posible hacerlo, independientemente del alcance de su programa de ciberseguridad.
En este artículo, analizamos los componentes clave de una ciberdefensa digna de una medalla, teniendo presente a la cantante francesa Yseult, quien interpretó «My Way» en la ceremonia de clausura de París. Al menos en lo que respecta a la ciberseguridad, seguir el camino de y el de no es mala idea.
1. Confíe en la supervisión de amenazas en tiempo real
Durante los Juegos Olímpicos, un ataque de ransomware de « » que tuvo gran repercusión mediática contra el Grand Palais (una sede olímpica) y otros 40 museos franceses acaparó los titulares . En una nota de rescate, los ciberdelincuentes afirmaron haber obtenido información financiera de los clientes de las tiendas de regalos y otros establecimientos comerciales de estos recintos, y amenazaron con hacer públicos dichos datos en un plazo de 48 horas.
«. Hemos optado por un sistema menos centralizado, con una infraestructura operativa y miembros del equipo repartidos por toda Francia.»Franz Regul, responsable de seguridad de la información (CISO), Comité Organizador de París 2024 (COJOP)
Las autoridades reaccionaron con una rapidez asombrosa, gracias a un sistema de vigilancia de amenazas de última generación, que se basaba en datos en tiempo real de . Los equipos de ciberseguridad también utilizaron marcos de trabajo de « », como MITRE ATT&CK , para prepararse ante posibles ciberataques.
¿Y en cuanto a ese ataque de ransomware? Las autoridades detectaron que, al parecer, no se produjo ninguna extracción de datos en ese momento; según se informa, no se pagó ningún rescate y las instalaciones permanecieron abiertas al público (y a las competiciones olímpicas) ese mismo día.
2. Manténgase informado gracias a la información sobre amenazas
En los meses previos a los Juegos, los equipos de inteligencia sobre amenazas identificaron más de 300 sitios web falsos de venta de entradas diseñados para sustraer datos personales a consumidores desprevenidos. Una unidad especializada formada por 200 gendarmes cerró más de 50 establecimientos y emitió advertencias a muchos otros.
«Los actores maliciosos están creciendo, su alcance es cada vez mayor y están utilizando nuevas herramientas.»Sherrod DeGrippo, directora de estrategia de inteligencia sobre amenazas, Microsoft
«Los actores maliciosos están ganando en envergadura, su alcance es cada vez mayor y están aprovechando nuevas herramientas», afirma Sherrod DeGrippo, director de estrategia de inteligencia sobre amenazas de Microsoft, en un episodio reciente de « » ( ) de «», el podcast complementario de «Focal Point» ( ), «» y «Let’s Converge» (). DeGrippo describe los pasos más adecuados para crear un equipo de inteligencia sobre amenazas, las ventajas de incorporar la inteligencia artificial y el tipo de información que causará una buena impresión en su CISO y en el consejo de administración.
Aunque el equipo de inteligencia sobre amenazas de una empresa media no será tan numeroso como la unidad de la Gendarmería francesa, puede resultar enormemente eficaz si se apoya en una diversidad . A la hora de contratar, busque personas con perfiles diversos, distintos niveles de experiencia y preferencias ,, aconseja DeGrippo.
«Créame», dice ella, «si cuenta con alguien que se dedica a algo en lo que es bueno y que le gusta, tendrá éxito».
3. Aprovechar la tecnología de IA
Los responsables olímpicos utilizaron la inteligencia artificial para proteger datos sensibles y sistemas de información críticos, y el Gobierno francés promulgó una ley que permite la videovigilancia asistida por inteligencia artificial en París. Unas cámaras especiales realizaban un escaneo en tiempo real para detectar movimientos específicos o inusuales de la multitud, comportamientos sospechosos, incendios y bolsos abandonados.
Dado que las amenazas a la seguridad están aumentando hasta superar la capacidad de los analistas humanos, la inteligencia artificial (IA) de se está convirtiendo rápidamente en un requisito imprescindible para cualquier programa de ciberseguridad, dada su capacidad para procesar grandes cantidades de datos y tomar decisiones fundamentadas. La inteligencia artificial puede identificar los patrones de referencia del comportamiento normal y, a continuación, detectar anomalías en el tráfico de red y en el comportamiento de los usuarios.
[Lea también: Guía definitiva sobre ciberseguridad basada en la IA: ventajas, riesgos y beneficios]
Pero tengan la seguridad de que, según insisten los expertos, los conocimientos y la supervisión humanos seguirán siendo fundamentales. El mejor uso de la IA generativa comienza con una buena gobernanza. Un ejemplo claro: el uso generalizado de la IA en París incluía medidas de protección; su nueva ley sobre IA no permitía el tratamiento de datos biométricos ni el uso de técnicas de reconocimiento facial (controvertidas y sin eficacia demostrada).
4. Luchar contra la desinformación
Ya el año pasado, unos piratas informáticos con sede en Rusia crearon sitios web de noticias falsas y un largometraje documental de , narrado con una voz falsa generada por IA que se asemejaba a la del actor Tom Cruise, todo ello como parte de una campaña de desinformación destinada a empañar la reputación del COI y a difundir rumores sobre posibles actos de violencia en los Juegos Olímpicos. Para hacer frente a estas acciones, Francia creó una agencia gubernamental, VIGINUM, un equipo militar de ciberseguridad compuesto por 50 personas, con el fin de rastrear y sacar a la luz la injerencia extranjera en los Juegos Olímpicos y en las elecciones francesas.
Con el auge de los «deepfakes» generados por IA , combatir las noticias falsas sobre su marca resulta cada vez más difícil. Los responsables de las empresas deberán destinar recursos presupuestarios y de personal para que los departamentos de marketing puedan realizar un seguimiento adecuado de las noticias en línea y las redes sociales. Tenga en cuenta que los ciberdelincuentes no solo se centran en las multinacionales con grandes recursos económicos; las campañas de desinformación y de información errónea también afectan a las pymes , lo que obliga a los pequeños comercios familiares a esforzarse por reparar su reputación dañada.
¿La buena noticia? Las estrategias tradicionales de ciberseguridad pueden ayudar a detectar más rápidamente la tecnología «deepfake» —piense, por ejemplo, en la formación actualizada sobre phishing , en la formación sobre y en la búsqueda de amenazas —, lo que contribuye a frustrar estas novedosas operaciones de influencia.
5. Fomente la formación de su personal
La formación periódica y exhaustiva del personal se considera una parte esencial —y a menudo aburrida— de la rutina de ciberseguridad de cualquier organización. El equipo de Regel llevó a cabo una serie de campañas de formación y sensibilización, en las que se ponían de relieve los peligros de , la ingeniería social y otras formas en que los piratas informáticos se infiltran en las redes, y en ocasiones se incentivaba a sus trabajadores con premios y obsequios.
Otros nuevos enfoques en los programas de formación incluyen vídeos de formación en materia de seguridad inmersivos y de estilo hollywoodiense, como los que se pueden ver en , que incorporan técnicas narrativas cinematográficas e incluso elementos de suspense para captar la atención de los trabajadores. Algunas investigaciones indican que esto podría ayudar a los empleados a asimilar mejor las lecciones sobre seguridad y a recordarlas durante más tiempo.
6. Mantenga informados (de forma clara y sencilla) a los trabajadores y a los clientes
En la página web Olympics.com, una sección dedicada a la ciberseguridad dirigida a trabajadores, deportistas y asistentes ofrece información sobre cómo evitar las estafas y cómo actuar ante la sospecha de que su cuenta oficial de los Juegos Olímpicos haya sido pirateada. Además, ofrece recomendaciones sobre contraseñas, , el phishing y las actualizaciones de dispositivos.
Lo mismo puede y debe hacerse con los trabajadores y los clientes de cualquier organización. Todos los sitios web deberían contar con páginas de seguridad de fácil acceso que incluyan instrucciones básicas (pero fundamentales) sobre qué hacer si sospecha que se ha encontrado con un problema de ciberseguridad.
