La ciberguerra no solo está llegando a Occidente. Ya está aquí.
En May 10, los gobiernos de EE. UU. y Europa declararon oficialmente que la invasión de Ucrania por parte de Rusia comenzó con un ciberataque patrocinado por el Estado contra infraestructuras críticas de comunicaciones, un ataque que se extendió desde Ucrania hasta las redes de Internet por satélite de toda Europa. Se trata de un anticipo de las perturbaciones a escala mundial, según han advertido las autoridades, que ponen en riesgo infraestructuras críticas como los servicios públicos, la producción alimentaria y los servicios de emergencia.
De hecho, existen pruebas sólidas de que este tipo de ataques ya han comenzado.
Varias empresas de energía eólica que están impulsando la rápida transición de Alemania para dejar de depender de la energía rusa han sufrido recientemente ciberataques que han dejado fuera de servicio algunos sistemas. De manera extraoficial, los gobiernos occidentales han atribuido a los servicios de inteligencia militar rusos la responsabilidad de un alarmante ataque informático que dejó fuera de servicio a Viasat, una importante empresa de satélites con sede en California a la que recurren Ucrania, las empresas de energía eólica y muchas otras empresas europeas para obtener servicios de Internet.
Los ataques de Estados-nación contra infraestructuras críticas son, por supuesto, anteriores a la guerra. La North American Electric Reliability Corporation (NERC) ha constatado un aumento del 170 por ciento en la actividad de ransomware dirigida a empresas eléctricas, que ha pasado de 2019 a 2020. Además, en un episodio reciente de « » (60 Minutes), , Jen Easterly, directora de la Agencia de Seguridad Cibernética
y de Infraestructuras (CISA), afirmó que Rusia
tiene, casi con toda seguridad, la intención de atacar directamente las infraestructuras de EE. UU.,
y que las organizaciones —y todos nosotros— debemos prepararnos para lo inevitable.
¿Se avecina un «fin del mundo cibernético», en el que unos piratas informáticos patrocinados por el Estado paralicen los servicios públicos de forma masiva y dejen a la población a oscuras? Aunque quizá aún no sea momento de entrar en pánico, los expertos coinciden en que es hora de reforzar las medidas de precaución, sin demora.
Redes eléctricas, infraestructuras críticas: un blanco fácil para un ciberataque
Un cliente del sector energético comentó recientemente a Tyler Costello, vicepresidente regional de ventas de Tanium, que había registrado un aumento del 40 % en la actividad cibernética maliciosa con respecto al año anterior. «Pero su presupuesto de seguridad no aumentó un 40 %», afirma Costello. «Y no pueden recaudar fondos como lo hace una entidad privada, ya que están sometidos a una estricta regulación». «Existen numerosas variables que hacen que las empresas de servicios públicos de sean especialmente vulnerables a un ciberataque».
«Las infraestructuras críticas se encuentran actualmente en el punto de mira. Tenemos que prestar mucha atención a esto.»Tyler Costello, vicepresidente regional de ventas de Tanium
Una de las principales vulnerabilidades de la red eléctrica es la enorme extensión de su superficie de ataque. «La dependencia de la tecnología operativa [OT] es mayor que nunca», afirma Kenneth Mendelson, director general sénior del área de seguridad nacional de Guidepost Solutions, una organización internacional dedicada a las investigaciones de seguridad, el cumplimiento normativo y la consultoría. Los sensores del «Internet de las cosas» ( , IoT) son ya habituales en los sectores de la fabricación, los servicios públicos y otras operaciones de infraestructuras críticas, pero su seguridad sigue siendo irregular.
Los sistemas SCADA (control de supervisión y adquisición de datos) , que se utilizan en entornos industriales de baja complejidad , también gestionan todo tipo de procesos, desde la generación de energía hasta las tuberías. En un principio se diseñaron para ser autónomos —en parte porque en aquella época no existía Internet—, pero se han visto empujados a la era digital, estuvieran preparados para ello o no. Estos sistemas siguen siendo vulnerables a ataques que, en ocasiones, son incluso primitivos, y constituyen algunas de las vulnerabilidades más fundamentales a las que se enfrentan hoy en día las empresas de infraestructuras.
Uno de los ataques más destacados contra los sistemas SCADA tuvo lugar en 2015 , precisamente en Ucrania, donde un atacante interrumpió el funcionamiento de un sistema de generación eléctrica y dejó sin suministro eléctrico a 225,000 hogares en pleno invierno. No había nada especialmente singular en la infraestructura ucraniana que lo hiciera posible. Los expertos han señalado que esta metodología podría, sin duda, reproducirse en otros países.
El ataque « 2015 Ukraine» fue el primer caso documentado públicamente de un ataque contra una red eléctrica, pero no fue la última vez que una empresa de servicios públicos se vio afectada. Se han producido brechas de seguridad en empresas de suministro de agua , y la debacle de Colonial Pipeline —que provocó el corte del suministro de combustible en todo Estados Unidos— sigue teniendo un fuerte impacto un año después del ataque informático. En una encuesta de Siemens titulada « » ( ), realizada a 2019 empresas, el 56 % de las empresas de servicios públicos afirmaron haber sufrido un ciberataque durante el año anterior.
«Las infraestructuras críticas se encuentran en el punto de mira en estos momentos», afirma Costello. «Da mucho miedo, sobre todo porque se sabe que son débiles». Rusia podría arrasar con gran facilidad la ciudad de Nueva York, Boston o cualquier otro lugar. «Tenemos que prestarle mucha atención a esto».
Los expertos en guerra cibernética advierten: «Esto está ocurriendo»
La buena noticia es que las organizaciones de Estados Unidos, en particular, han mostrado un gran interés por la seguridad de las infraestructuras, imponiendo normativas y multas severas a los proveedores de infraestructuras críticas que incumplan unas normas de seguridad cada vez más estrictas. La NERC, una «organización autorreguladora» no gubernamental, puede imponer multas a los proveedores de electricidad al por mayor que incumplan las normas, de hasta 1 millón de dólares por infracción al día. El récord actual en materia de sanciones se remonta al año 2019, cuando se impuso una multa de 10 millones de dólares a una empresa regional de servicios públicos desconocida —presuntamente Duke Energy— por 127 infracciones normativas distintas.
«. Este es uno de los mejores recursos disponibles para cualquier organización que se enfrente a estas amenazas.»Kenneth Mendelson, director general sénior del área de seguridad nacional de Guidepost Solutions
«Otra cosa que ha cambiado es que ahora existe un recurso que antes no existía: la CISA», afirma Mendelson, de Guidepost Solutions. «Este es uno de los mejores recursos de los que dispone cualquier organización que se enfrente a estas amenazas». No solo ofrecen un resumen de cada nueva amenaza, sino también sugerencias para mitigarla, enlaces a parches y mucho más. «Todo profesional de la seguridad de la información debería añadir a sus favoritos [su página web], ya que resulta increíblemente útil y oportuna».
Costello coincide: «La iniciativa de la CISA “ ” Shields Up está realmente concienciando a la gente». «Por fin, la gente está pasando de pensar “Esto va a suceder” a pensar “Esto
está sucediendo”».
Practicar una buena higiene cibernética
Algunos de los mejores consejos tácticos para proteger las infraestructuras críticas pasan por aplicar medidas básicas de higiene cibernética y llevar a cabo tareas de . «Haga un inventario de todo lo que esté conectado a su red», afirma Mendelson, «porque no se puede proteger lo que no se ve». Asimismo, recomienda aislar los dispositivos SCADA de la red corporativa. Un diseño descuidado puede dar lugar a una segmentación de la red y a cortafuegos configurados de forma incorrecta. Y añade: «Muchas personas creen que están desconectadas cuando, en realidad, no es así».
El ataque informático a la planta de tratamiento de agua de Oldsmar (Florida) es un ejemplo de intrusión que se podría haber evitado con unas mejores prácticas de seguridad cibernética. Aunque existían sistemas para evitar una catástrofe, la fuga podía haber envenenado a miles de personas con altos niveles de lejía, el ingrediente principal de los desatascadores líquidos.
«[Oldsmar] fue un ejemplo de aislamiento inadecuado de las comunicaciones de datos y de autenticación deficiente desde la sala de control de la planta de tratamiento de agua hacia Internet», afirma Bill Moore, director ejecutivo y fundador de Xona Systems, empresa especializada en seguridad de las tecnologías operativas (OT). Las instalaciones de Oldsmar no utilizaban la autenticación multifactorial, lo que agravó el problema. En un análisis publicado en por «», la CISA señaló que el software TeamViewer para Windows, basado en el protocolo de escritorio remoto (RDP) de uso generalizado, constituía una vulnerabilidad crítica que permitía a los piratas informáticos infiltrarse en la planta de tratamiento. Moore señala que el RDP es la principal vulnerabilidad que los ataques de ransomware de siguen aprovechando hasta la fecha.
Reducción del riesgo cibernético mediante una infraestructura más eficaz
Una solución ambiciosa consiste en replantearse por completo la forma en que el mundo aborda las infraestructuras. Riggs Eckelberry es director ejecutivo y fundador de OriginClear, una empresa emergente tecnológica que pretende revolucionar el sector del agua. La oferta de OriginClear incluye un mercado de futuros, una plataforma «como servicio» y pequeños sistemas modulares prefabricados de tratamiento de agua para empresas que deseen garantizar un suministro de agua exclusivo. Su objetivo es facilitar el «abastecimiento de agua por cuenta propia» y liberar a los consumidores de la red de suministro, que se encuentra obsoleta y vulnerable.
«Existen graves problemas en el sector del agua», afirma Eckelberry. «El antiguo modelo centralizado se está desmoronando y no cuenta con la financiación suficiente por parte del Gobierno federal». «La fragilidad cibernética es muy real».
Para Eckelberry, la descentralización es una de las soluciones al riesgo cibernético, ya que distribuye la superficie de ataque entre lo que podrían ser cientos de miles de instalaciones mucho más pequeñas y menos críticas. Si un nodo deja de funcionar, el daño queda limitado. Además, afirma, estos sistemas se están diseñando teniendo en cuenta la seguridad desde el principio, en lugar de depender de actualizaciones que remiendan un código SCADA obsoleto.
Eckelberry afirma que el concepto de independencia de las empresas de servicios públicos no es nuevo. Reflexione sobre cómo los sistemas solares en tejados, el almacenamiento en baterías e incluso los sistemas de recogida de agua de lluvia han proporcionado a los consumidores un mayor nivel de seguridad en un mundo en el que los cortes de electricidad y el racionamiento de agua están en
aumento.
Dicho esto, cualquier solución aislada parece cada vez más un mero parche. Según Costello, de Tanium, los problemas en el sector de los servicios públicos son «enormes», entre los que se incluyen los sistemas heredados, los dispositivos dispersos y las limitaciones de recursos. «Y además tienen a los rusos pisándoles los talones», afirma. «Han estado utilizando los dedos de las manos y de los pies para taponar el dique, pero se están quedando sin dedos».
