Mikko Hypponen: Tres tipos de ciberataques

En los años '80, en la Alemania Oriental comunista, si uno tenía una máquina de escribir debía registrarla ante el gobierno. Había que registrar una hoja de texto de ejemplo escrita con la máquina. Y esto para que el gobierno pudiera rastrear el origen de los textos. Si encontraban un escrito con el mensaje incorrecto podrían rastrear la huella hasta el origen de la idea. En Occidente no concebimos que alguien pudiera hacer esto, lo mucho que esto limitaría la libertad de expresión. Nunca haríamos eso en nuestros países.

Pero hoy, en 2011, si uno compra una impresora color láser de cualquier fabricante grande e imprime una página, esa página terminará teniendo unos puntitos amarillos impresos en cada página que siguen un patrón que las hace propias de uno y de su impresora. Eso nos está pasando hoy. Y nadie parece alborotarse mucho por esto. Este es un ejemplo de las formas en que nuestros gobiernos usan la tecnología en contra de nosotros, los ciudadanos. Y es una de las tres causas principales de problemas en la red.

Si vemos lo que pasa en el mundo en línea podemos agrupar los ataques según sus atacantes. Hay tres grupos principales. Están los cibercriminales como el Sr. Dimitry Golubov de la ciudad de Kiev, en Ucrania. El móvil de los cibercriminales es muy fácil de entender. Estos tipos ganan dinero. Usan los ciberataques para ganar mucho dinero, ingentes cantidades. Realmente hay muchos casos de millonarios en línea, multimillonarios, que gananaron dinero con sus ataques. Este es Vladimir Tsastsin, de Tartu, Estonia. Este es Alfred González. Este es Stephen Watt. Este es Björn Sundin. Estos son Matthew Anderson, Tariq Al-Daour etc., etc., etc.

Estos tipos hacen sus fortunas en línea pero lo hacen por medios ilegales mediante troyanos bancarios para robar dinero de nuestras cuentas cuando compramos en línea; o roban nuestras claves para conseguir información de nuestras tarjetas cuando compramos en una computadora infectada. El servicio secreto de EE.UU., hace dos meses, congeló la cuenta suiza de este señor, Sam Jain, y esta cuenta tenía 14,9 millones de dólares cuando fue congelada. El Sr. Jain anda suelto; se desconoce su paradero. Y yo digo que hoy es más probable que cualquiera de nosotros sea víctima de un cibercrimen que de un crimen real. Y es muy obvio que esto va de mal en peor. En el futuro, la mayoría de los crímenes ocurrirán en línea.

El segundo grupo de atacantes en importancia que observamos hoy en día no está motivado por el dinero. Hay otra cosa que los mueve, les motivan las protestas, les motivan las opiniones, les motivan las risas. Grupos como Anonymous han descollado en los últimos 12 meses ocupando un papel destacado en los ataques en línea.

Esos son los tres atacantes principales: los criminales que lo hacen por dinero, los hacktivistas como Anonymous que lo hacen para protestar y el último grupo son los Estados nacionales los gobiernos que atacan. Y entonces vemos casos como el de DigiNotar. Ese es un buen ejemplo de ataque gubernamental contra sus propios ciudadanos. DigiNotar es una autoridad de certificación de los Países Bajos o, en realidad, lo era. Declaró la quiebra el último otoño debido a un sabotaje. Sortearon la seguridad del sitio y perpetraron un ciberataque. La semana pasada pregunté, en una reunión con representantes del gobierno holandés, le pregunté a uno de los líderes si hallaban plausible la muerte de personas a causa del ataque a DigiNotar. Y la respuesta de él fue sí.

Entonces, ¿cómo muere la gente a causa de un ataque de estos? DigiNotar es una autoridad certificante. Venden certificados. ¿Para qué sirven los certificados? Bueno, se necesitan si uno tiene un sitio web con https, servicios encriptados SSL, servicios como Gmail. Ahora todos, o casi todos, usamos Gmail o alguno de sus competidores pero estos servicios son muy populares en estados totalitarios como Irán en los que los disidentes usan servicios extranjeros como Gmail porque saben que son más confiables que los servicios locales y están encriptados en conexiones SSL de modo que el gobierno local no puede espiar sus discusiones. Salvo que intercepten una autoridad certificante extranjera y que emitan certificados apócrifos. Y en el caso de DigiNotar sucedió exactamente eso.

¿Y qué pasó en la Primavera Árabe y esas cosas que han sucedido, por ejemplo, en Egipto? Bueno, en Egipto los manifestantes saquearon la sede de la policía secreta egipcia en abril de 2011 y durante el saqueo del edificio, hallaron muchos papeles. Entre esos papeles estaba esta carpeta titulada "FINFISHER". Y dentro de esa carpeta había notas de una empresa con sede en Alemania que le había vendido el gobierno egipcio herramientas para interceptar a gran escala las comunicaciones de los ciudadanos del país. Le habían vendido esta herramienta por 280 000 euros al gobierno egipcio. La sede de la empresa está justo aquí.

O sea, los gobiernos occidentales le proveen herramientas a los gobiernos totalitarios para que le hagan esto a sus ciudadanos. Pero los gobiernos occidentales también se hacen esto a sí mismos. Por ejemplo, en Alemania, hace sólo un par de semanas se encontró el troyano Scuinst; un troyano usado por oficiales del gobierno alemán para investigar a sus propios ciudadanos. Si uno es sospechoso en un caso criminal bueno, es bastante obvio que su teléfono está intervenido. Pero hoy se va más allá. Se intercepta la conexión a Internet. Usarán incluso herramientas como el troyano Scuinst para infectar nuestra computadora con un troyano para permitirles ver toda la comunicación, y escuchar las discusiones en línea, para obtener nuestros datos.

Cuando pensamos detenidamente en cosas como estas la respuesta obvia debería ser "Bueno, parece algo malo, pero en realidad no me afecta porque soy un ciudadano honesto. ¿Por qué preocuparme? No tengo nada que ocultar". Y ese argumento no tiene sentido. Está en juego la privacidad. La privacidad no se discute. No es una cuestión de la privacidad contra la seguridad. Se trata de la libertad contra el control. Si bien podríamos confiar en nuestros gobiernos hoy en 2011, cualquier derecho que resignemos hoy, será para siempre. ¿Confiaremos ciegamente en cualquier gobierno futuro, en una administración que podríamos tener dentro de 50 años? Estas son las preguntas que nos deben preocupar en los próximos 50 años.