Aunque la rapidez con la que se propagó el ransomware WannaCry no es nada nuevo, sí que plantea nuevas cuestiones en materia de responsabilidad; concretamente, la responsabilidad personal respecto a cómo debemos protegernos de los ciberataques y, lo que es más importante, la necesidad de exigir tanto a los gobiernos como a los proveedores que asuman su responsabilidad en el desarrollo de tecnologías seguras. Para frenar la próxima epidemia de WannaCry, necesitamos que se aplique a la ciberseguridad el mismo nivel de esfuerzo conjunto que se requirió para hacer que los coches fueran seguros —desde los cinturones de seguridad y los airbags hasta las luces de avería del motor y las cámaras de marcha atrás—, de modo que todos comprendan el papel que les corresponde a la hora de protegerse de futuros ciberataques.
(Imagen: Karen Nadine / Pixabay)
Allá por el año 2010, el virus Stuxnet, dirigido contra Irán, impulsó a muchos expertos en ciberseguridad a adentrarse en el peligroso e impredecible mundo de los ciberataques a escala mundial. Esta semana, con las sospechas centradas en Corea del Norte, el ataque del ransomware WannaCry ha sumido al público en general en este mismo mundo peligroso e impredecible. Este ataque fue tan relevante que incluso las cadenas de noticias locales se hicieron eco de él, con titulares llamativos como «Caos cibernético».
Hemos sido testigos de innumerables ciberataques en el pasado, así que, ¿qué diferencia a este de los demás? Este ataque de ransomware nos ha afectado de forma demasiado personal a muchos de nosotros, sobre todo porque hemos dado por sentado hasta qué punto la tecnología se ha integrado en nuestra vida cotidiana. La mayoría de nosotros actuamos como si «las cosas simplemente funcionaran». No nos damos cuenta de los innumerables sistemas que se utilizan para generar un tono de marcación, hacer funcionar un ascensor o incluso dispensar medicamentos en una sala de urgencias. Cuando un sistema está en funcionamiento, nadie se plantea si cuenta con un sistema operativo actualizado, si tiene instalados todos los parches de software o si utiliza contraseñas difíciles de descifrar. En cambio, hacemos la llamada, nos subimos al ascensor o nos tomamos la pastilla.
Pero, ¿qué ocurre cuando descuelga el teléfono para marcar el 911 y no hay nadie al otro lado? ¿O que el ascensor se quede parado entre dos plantas y el botón de llamada de emergencia no funcione? ¿O se ha tomado una sobredosis de medicación porque han desaparecido sus historiales médicos? A estas alturas, ya es demasiado tarde para pensar en parches y contraseñas. Lo que antes se sabía, ahora se desconoce e incluso resulta francamente aterrador.
En medio del pánico provocado por WannaCry, las víctimas se apresuraban a aplicar parches a su software obsoleto, las empresas se apresuraban a comprobar si estaban siendo objeto de un ataque y la población en general se sentía impotente, temiendo ser la siguiente en sufrir el ataque.
No nos engañemos pensando que el reciente ataque de WannaCry difiere, en su forma y estructura, de los numerosos casos de ransomware que exigían un rescate de 300 dólares en bitcoins que lo precedieron, ni de aquellos que sin duda le seguirán. Lo que sí puso de manifiesto es que no hemos asumido nuestra responsabilidad personal en lo que respecta a nuestra propia seguridad cibernética. Esto debe cambiar. Cada uno de nosotros debe implicarse más y ser más consciente de las tecnologías de las que dependemos a diario.
Entonces, ¿qué estamos aprendiendo ahora que las cosas se han calmado? Por un lado, este ataque podría haberse evitado meses, si no años, antes. Sí, las mejoras tecnológicas desempeñan un papel fundamental en el debate sobre la reducción de los ciberataques generalizados. Sin embargo, son las personas —aquellas que asumen la responsabilidad de estos sistemas— las que deciden cómo se implementan y se protegen estas tecnologías. La falta de responsabilidad personal lleva a los profesionales de las tecnologías de la información a desarrollar software inseguro, a no informar de errores sin corregir e incluso a utilizar software con décadas de antigüedad, en contra de lo que dictaría el sentido común incluso de los administradores de sistemas con menos experiencia.
Nosotros, como sociedad, debemos asumir una mayor responsabilidad personal respecto a nuestra propia seguridad en el mundo cibernético, al igual que lo hacemos en el mundo físico. ¿Conduciría usted un coche durante años sin cambiarle nunca el aceite? Probablemente no. Entonces, ¿por qué utilizaría tecnología con un software obsoleto? ¿Retiraría usted 200 dólares de un cajero automático por la noche en un barrio poco iluminado? Es poco probable. Entonces, ¿por qué visitaría usted páginas web dudosas o abriría correos electrónicos dudosos? Nadie le dirá que no conduzca el coche sin cambiar el aceite, ni que evite los cajeros automáticos por la noche. Uno sabe perfectamente que es una mala idea.
Antes del próximo WannaCry: cómo podemos contribuir cada uno de nosotros
Más allá de nuestras responsabilidades individuales, tenemos la responsabilidad colectiva de velar por el bien común. Del mismo modo que contamos con unas buenas prácticas consensuadas para circular por las calles y autopistas, también necesitamos unas buenas prácticas consensuadas que regulen nuestro comportamiento en el mundo digital. A continuación, les ofrecemos algunos ejemplos:
Public Sector: Government leaders urgently need a crash course in cybersecurity 101. Solo entonces podrán comprender verdaderamente las capacidades (y, francamente, las limitaciones) de los organismos públicos durante una crisis cibernética. ¿Cuentan sus especialistas en ciberseguridad con las competencias y las herramientas necesarias para desempeñar su labor? Si no comprende los principios básicos de la ciberseguridad, ¿cómo puede responder a esta pregunta?
Sector privado: Una buena ciberseguridad comienza desde arriba. Los directores generales deben subsanar las deficiencias en materia de responsabilidad cibernética y adoptar una cultura de responsabilidad, comprometiéndose a sustituir las tecnologías obsoletas por opciones más seguras. En pocas palabras, los sistemas no gestionados no reciben parches, y los sistemas sin parches dan lugar a ciberataques; por lo tanto, los sistemas no gestionados dan lugar a ciberataques. Las empresas deben detectar estos sistemas no gestionados antes de que lo hagan los delincuentes. ¿Colabora con un proveedor externo? Pida a su equipo jurídico que incluya las normas de seguridad en los contratos antes de firmarlos. Además, cualquier empresa que no cuente con un equipo dedicado a la seguridad informática —un equipo que funcione de forma independiente de quienes se encargan de las tareas informáticas en el día a día— está enviando un mensaje claro a sus clientes: la ciberseguridad no es importante para su empresa.
Público en general:. Los ciudadanos deben exigir más a los dirigentes gubernamentales y a los directores generales. La infraestructura que nos proporciona la electricidad y los cajeros automáticos, así como el ancho de banda del espectro que transmite nuestras retransmisiones de vídeo en directo y permite que funcionen nuestros teléfonos inteligentes, los monitores para bebés y los dispositivos Alexa, son, en su conjunto, el resultado de un espíritu de cooperación entre el sector público y el privado. Pero la responsabilidad personal no se limita a eso. Para cada uno de nosotros, la ciberseguridad significa algo más que un simple antivirus y una plegaria. Esto significa aplicar parches a los ordenadores de su hogar constantemente, no solo de vez en cuando, y no hacer clic en «recordármelo más tarde». De este modo, su ordenador no podrá ser secuestrado fácilmente durante la próxima amenaza de ransomware o botnet. Significa aplicar en su hogar las mismas buenas prácticas de ciberseguridad que sigue en el trabajo, y enseñar a sus hijos a ser buenos ciudadanos digitales. Significa ser un buen consumidor y exigir responsabilidades a las empresas cuando no cumplen con sus obligaciones en materia de ciberseguridad. Recompense a las empresas que protegen sus datos y evite aquellas que no lo hacen.
Para frenar la próxima epidemia cibernética tipo WannaCry —ya sea que provenga de Corea del Norte o de algún estudiante universitario en su habitación de residencia— necesitamos el mismo nivel de esfuerzo conjunto que se requirió para lograr que los coches fueran seguros. Del mismo modo que contamos con cinturones de seguridad y airbags, luces de aviso del motor y cámaras de marcha atrás, necesitamos medidas de protección similares en materia de ciberseguridad. Solo así cada uno de nosotros comprenderá su propia responsabilidad a la hora de protegernos a nosotros mismos, a nuestras empresas y a nuestra sociedad frente a futuros ciberataques.
Más información:
- Las cinco preguntas que debe responder para mantener una buena higiene de seguridad (se abre en una nueva pestaña)
- Buscar en el propio sistema los mejores datos sobre amenazas (se abre en una nueva pestaña)
Acerca del autor,: En su cargo de director de seguridad en Tanium, Andre McGregor se dedica a la ciberseguridad. Posee un profundo conocimiento de las técnicas cibernéticas de carácter delictivo y de contrainteligencia que se utilizan para atacar las redes informáticas y las infraestructuras de Estados Unidos. Antes de incorporarse a Tanium, Andre trabajó como agente especial cibernético del FBI en la ciudad de Nueva York, y posteriormente fue ascendido a agente especial supervisor en la sede central del FBI. En el FBI, el señor McGregor fue agente técnico de alto rango y responsable principal de la respuesta ante incidentes en varios casos de intrusiones informáticas a gran escala. Además, desempeñó el cargo de enlace cibernético del FBI ante las Naciones Unidas y de enlace cibernético del FBI ante el DHS, el US-CERT y el ICS-CERT. Antes de incorporarse al FBI, McGregor estudió en la Universidad de Brown, comenzó su carrera profesional en Goldman Sachs y, posteriormente, ocupó el cargo de director de TI en Advogent (Cardinal Health), donde supervisaba todas las operaciones de TI a nivel nacional. En su tiempo libre, Andre también ejerce de asesor técnico y en materia del FBI para la serie «Mr. Robot».
