La ciberguerra no solo llega al oeste. Ya está aquí.
El May 10, los gobiernos de EE. UU. y Europa declararon formalmente que la invasión de Rusia a Ucrania comenzó con un ciberataque patrocinado por el estado a la infraestructura de comunicaciones crítica, un ataque que se extendió de Ucrania a redes de Internet satelital en toda Europa. Es un anticipo de interrupciones a escala global, advirtieron los funcionarios, con infraestructura crítica como servicios públicos, producción de alimentos y servicios de emergencia en riesgo.
De hecho, hay evidencia sólida de que estos tipos de ataques ya han comenzado.
Una serie de empresas de energía eólica que alimentan la rápida transición de Alemania de la energía rusa han experimentado recientemente ciberataques que han desconectado algunos sistemas. Sin precedentes, los gobiernos occidentales asignaron culpa a los servicios de inteligencia militar rusos por un ataque alarmante que deshabilitó a Viasat, una importante empresa satelital con sede en California que Ucrania, las empresas de servicios públicos de energía eólica y muchas otras empresas europeas utilizan para el servicio de Internet.
Por supuesto, los ataques de estado-nación a la infraestructura crítica anteceden a la guerra. La North American Electric Reliability Corporation (NERC) encontró un aumento del 170 por ciento en la actividad de ransomware dirigida a empresas de energía de 2019 a 2020. Y en un episodio reciente de 60 minutos, Jen Easterly, directora de la Agencia de Seguridad de Infraestructura
y Ciberseguridad (Cybersecurity and Infrastructure Security Agency, CISA), dijo que Rusia
casi seguramente planea atacar la infraestructura de los EE. UU. directamente,
y que las organizaciones, y todos nosotros, necesitamos prepararnos para lo inevitable.
¿Hay un día de los delitos cibernéticos en el horizonte, donde los hackers patrocinados por el estado cierran las empresas de servicios públicos en masa y dejan a las personas sentadas en la oscuridad? Aunque es posible que no sea momento de entrar en pánico, los expertos están de acuerdo en que es momento de aumentar las precauciones, pronto.
Redes de energía, infraestructura crítica: preparación para un ciberataque
Recientemente, un cliente de energía compartió con Tyler Costello, vicepresidente regional de ventas de Tanium, que había visto un aumento del 40 % en la actividad cibernética maliciosa con respecto al año anterior. “Pero su presupuesto de seguridad no aumentó en un 40 %”, dice Costello. “Y no pueden recaudar dinero como lo hace una entidad privada, porque están muy reguladas. Existen muchas variables que hacen que las empresas de servicios públicos estén particularmente preparadas para un ciberataque”.
“La infraestructura crítica está en la mira en este momento. Realmente tenemos que prestar atención a esto”.Tyler Costello, vicepresidente regional de ventas de Tanium
Entre las principales debilidades de la red de energía se encuentra el tamaño gigante de la superficie de ataque. “Existe una mayor dependencia de la tecnología operativa [operational technology, OT] que nunca”, dice Kenneth Mendelson, director ejecutivo sénior de la práctica de seguridad nacional de Guidepost Solutions, una organización global de consultoría, cumplimiento e investigaciones de seguridad. Los sensores de Internet de las cosas (IoT) ahora son comunes en las operaciones de fabricación, servicios públicos y otras operaciones de infraestructura crítica, pero su seguridad sigue siendo irregular.
Los sistemas industriales débiles de SCADA (control de supervisión y adquisición de datos) también gestionan todo, desde la generación de energía hasta las tuberías. Inicialmente, fueron diseñados para ser autónomos, en parte porque no había Internet en ese momento, pero se los ha impulsado a la era digital, estén listos o no. Los sistemas siguen siendo vulnerables a veces incluso a ataques primitivos y representan algunas de las vulnerabilidades más fundamentales que enfrentan las empresas de infraestructura en la actualidad.
Uno de los ataques más notables a los sistemas SCADA tuvo lugar en 2015 en, de todos los lugares, Ucrania, donde un atacante interrumpió un sistema de generación eléctrica y derribó energía a 225,000 hogares en invierno. No había nada particularmente único sobre la infraestructura ucraniana que lo hiciera posible. Los expertos han notado que esta metodología ciertamente podría repetirse en otros países.
[Leer también: Por qué los ciberdelincuentes apuntan a pequeñas empresas de servicios públicos]
El ataque de Ucrania 2015 fue el primer derribo de una red eléctrica documentado públicamente, pero no fue la última vez que una empresa de servicios públicos fue víctima. Las empresas de servicios públicos de agua han sido violadas, y la debacle de Colonial Pipeline, que cerró los suministros de combustible en los EE. UU., continúa teniendo un fuerte impacto un año después del ataque. En una encuesta de Siemens de 2019, el 56 % de las empresas de servicios públicos dijeron que habían enfrentado un ciberataque el año anterior.
“La infraestructura crítica está en la mira en este momento”, dice Costello. “Es particularmente aterrador porque se sabe que son débiles. Rusia podría derribar fácilmente la ciudad de Nueva York, Boston o algún otro lugar. Realmente tenemos que prestar atención a esto”.
Los expertos en ciberguerra advierten: “Esto está sucediendo”
La buena noticia es que las organizaciones en los EE. UU., en particular, se han interesado mucho en la seguridad de la infraestructura, imponiendo reglamentaciones y multas estrictas para los proveedores de infraestructura crítica que no cumplen con los estándares de seguridad cada vez más estrictos. NERC, una “organización autorreguladora” no gubernamental, puede multar a los proveedores de electricidad en grandes cantidades que no cumplen con los estándares hasta 1 millón de dólares por violación por día. El registro actual de una sanción se remonta a 2019, cuando se cobró una multa de 10 millones de USD contra una empresa de servicios públicos regional desconocida, supuestamente Duke Energy, por 127 violaciones regulatorias separadas.
“Este es uno de los mejores recursos disponibles para todas las organizaciones que enfrentan estas amenazas”.Kenneth Mendelson, director ejecutivo sénior de la práctica de seguridad nacional, Guidepost Solutions
“Otra cosa que ha cambiado es que ahora hay un recurso que no existía anteriormente: CISA”, dice Mendelson de Guidepost Solutions. “Este es uno de los mejores recursos disponibles para todas las organizaciones que enfrentan estas amenazas. Proporcionan no solo un resumen de cada nueva amenaza, sino también sugerencias para la mitigación, enlaces a parches y más. Cada operador de seguridad de la información debe marcar [su sitio web], porque es increíblemente útil y oportuno”.
Costello coincide: “La iniciativa Shields Up de la CISA realmente está despertando a las personas. Las personas finalmente están cambiando de “Esto va a suceder” a “Esto
está sucediendo”.
Practicar una buena higiene cibernética
Algunos de los mejores consejos tácticos sobre la protección de la infraestructura crítica implican un trabajo fundamental de higiene cibernética . “Inventario de todo lo conectado a su red”, dice Mendelson, “porque no se puede asegurar lo que no se puede ver”. También recomienda aislar los dispositivos SCADA de la red corporativa. El diseño descuidado puede conducir a la segmentación de la red y a firewalls configurados incorrectamente. Agrega: “Muchas personas creen que están fuera de línea cuando en realidad no lo están”.
El hackeo de la planta de tratamiento de agua de Oldsmar, Fla., es un ejemplo de una interrupción que podría haberse evitado con una mejor higiene cibernética. Aunque había sistemas implementados para evitar catástrofes, la filtración tenía el potencial de envenenar a miles de personas con altos niveles de lejía, el principal ingrediente del limpiador de drenaje líquido.
“[Oldsmar] fue un ejemplo de aislamiento inadecuado de la comunicación de datos y autenticación débil desde la sala de control de la planta de agua hasta Internet”, dice Bill Moore, director ejecutivo y fundador de Xona Systems, que se centra en la seguridad de OT. La instalación de Oldsmar no empleó autenticación multifactor, lo que complicó el problema. En un análisis, CISA dijo que el software Windows TeamViewer basado en el protocolo de escritorio remoto (Remote Desktop Protocol, RDP) ampliamente utilizado era una debilidad crítica que permitió a los hackers infiltrarse en la planta de tratamiento. Moore señala que RDP es la principal debilidad que los ataques de ransomware explotan hasta el día de hoy.
Reducir el riesgo cibernético a través de una mejor infraestructura
Una solución ambiciosa es repensar la forma en que el mundo aborda la infraestructura por completo. Riggs Eckelberry es director ejecutivo y fundador de OriginClear, una empresa emergente de tecnología que busca interrumpir la industria del agua. La oferta de OriginClear incluye un mercado de futuros, una plataforma como servicio y sistemas de tratamiento de agua pequeños, prefabricados y modulares para empresas que desean garantizar suministros de agua dedicados. Su objetivo es hacer agua “hágalo usted mismo” y liberar a los consumidores de la antigua y vulnerable red de servicios públicos.
“Hay problemas importantes en la industria del agua”, dice Eckelberry. “El modelo antiguo y centralizado se está desmoronando y está subfinanciado por el gobierno federal. La fragilidad cibernética es muy real”.
Para Eckelberry, la descentralización es una respuesta al riesgo cibernético, porque propaga la superficie de ataque a cientos de miles de instalaciones mucho más pequeñas y menos críticas. Si un nodo falla, el daño está contenido. Además, dice, estos sistemas se están diseñando con seguridad desde el principio en lugar de depender de actualizaciones a un mosaico de código SCADA antiguo.
[Leer también: CISO: hablar sobre el riesgo cibernético para que los CEO escuchen]
Eckelberry dice que el concepto de independencia de servicios públicos no es nuevo. Considere cómo los sistemas de recolección de energía solar, almacenamiento de baterías e incluso agua de lluvia en el techo han dado a los consumidores un mayor nivel de seguridad en un mundo en el que los apagones y
el racionamiento de agua están en aumento.
Dicho esto, cualquier solución individual se ve cada vez más como un espacio de detención. Los problemas son “masivos” en el sector de servicios públicos, según Costello de Tanium, incluidos los sistemas heredados, los dispositivos dispersos y las limitaciones de recursos. “Y luego tienen a los rusos cayendo sobre ellos”, dice. “Han estado usando los dedos de las manos y los pies para tapar el dique, pero se están quedando sin dedos de las manos y los pies”.
