Los hacker se van de pícnic

(este artículo fue publicado originalmente en el diario Cinco Días el día 20 de junio de 2017)

El idioma castellano está plagado de términos que vienen del inglés, especialmente en el mundo de la economía y la empresa. La Real Academia Española de la Lengua (RAE), hace ya unas décadas, pasó de rechazar radicalmente estos extranjerismos a incorporarlos al diccionario, eso sí con mesura y con la grafía española. Esa apuesta por la utilitas de la RAE ha llevado, por ejemplo, a que la palabra pícnic esté admitida en el castellano como una “excursión para merendar o comer sentados en el campo”. A pesar de su novedad, otro anglicismo como hacker, también aparezca en nuestro diccionario como sinónimo de pirata informático.

Tras el ciberataque global de hace unas semanas nadie duda que la ciberseguridad es la principal amenaza que tienen hoy las corporaciones. Wannacry ha sido la punta del iceberg que ha permitido al mundo conocer lo que no se ve. Cada día, según Gartner,  se producen 161.000 ataques; solo en 2015 Estados Unidos sufrió pérdidas en intermediarios financieros causadas por ataques informáticos valoradas en más de 5.000 millones de dólares, conforme a datos de la SEC. Este virus, como en el cuento, nos ha permitido ver que el rey está desnudo y lo que todos nos temíamos ya es una realidad: somos vulnerables ante una de las industrias del mal más rentables, el cibercrimen. Muchos millennials han optado, frente a la precariedad, por altos ingresos a cambio de vender su pericia informática en el Internet más oscuro. Aunque tarde, las corporaciones se han dado cuenta de que los más jóvenes son los únicos que tienen las herramientas para frenar a esos nuevos piratas en la red.  El hacker bueno no es sólo una de esas nuevas profesiones de las que se habla, sino que además empiezan a ser los profesionales más demandados.

Las empresas y la RAE tendrán que ir acostumbrándose a términos, otra vez anglosajones, como ransonware o phishing, porque millones de usuarios padecen esos crímenes y como certificaba la última memoria de la Fiscalía nuestro país está a la cabeza de este funesto ranking global.

Conviene recordar que detrás de estos ataques no solo hay motivaciones crematísticas sino que el terrorismo campa por sus respetos en la llamada deep web, otro término del idioma de Shakespeare para referirse al internet más oculto y opaco, donde operan estos delincuentes.

Los hackers acumulan no solo maldad sino talento a raudales para diseñar los más sofisticados algoritmos que bloquean cualquier sistema de cualquier institución. Pero todo lo anterior no supone que tengamos que rendirnos ante esta nueva amenaza. Más bien al contrario porque como nos recuerda un reciente estudio de Symantec, detrás de una gran mayoría de ataques existe imprudencia de las víctimas. Al menos uno de cada cuatro ataques tiene su origen en brechas originadas por empleados que no siguieron fielmente las políticas de identificación. Sorprende que a pesar de que la ciberseguridad esté en la agenda de las empresas desde hace por lo menos un lustro, la clave más utilizada en los últimos tres años es 123456 y dos de cada tres personas no han cambiado nunca su clave. Precisamente por eso se ha acuñado un acrónimo, idéntico a esa bucólica merienda con la que empezábamos este artículo: PICNIC. Se trata de las iniciales de problem in chair, not in computer. Directivos que usan sus teléfonos  profesionales para temas personales. Consejeros que permiten que sus nietos jueguen online con sus tabletas corporativas. Portátiles olvidados en taxis y restaurantes con wifis activadas. En general, dispositivos móviles de la alta dirección que no han pasado jamás ningún control de seguridad y que están inermes ante troyanos que les activen en remoto la cámara o la grabación de voz. Empieza a ser un consenso que estos problemas en la silla están en el origen de más de la mitad de los ataques informáticos. 

Olvídense, por tanto, de esa imagen de piratas expertos en computación encerrados en sus guaridas buscando sofisticados agujeros de vulnerabilidad. Hoy los hacker se van tranquilamente de pícnic. O lo que es lo mismo, a la vista de la novísima acepción del término pícnic,  los delincuentes se aprovechan de nuestra indolencia y falta de concienciación para obtener pingües beneficios e inmenso daño. No queda otro remedio para luchar contra el cibercrimen que invertir en tecnología y recursos sofisticados como España con la creación del INCIBE o las acertadas estrategias del Departamento de Seguridad Nacional, pero también tenemos que fomentar la formación y sensibilización en el puesto de trabajo y la responsabilidad dentro de la empresa.

KPMG ha preguntado a más de mil consejeros delegados en Europa y la ciberseguridad es una de sus mayores preocupaciones, comparable con la problemática de cómo fidelizar clientes. Las compañías deben, por tanto, redoblar sus esfuerzos en la concienciación de los empleados en temas de seguridad informática. Tener dispositivos separados para el uso personal y el profesional, certificar periódicamente la seguridad de los móviles corporativos o  propiciar la encriptación de la información que sale de los entornos de la propia compañía son solo algunos ejemplos. Sin olvidarnos de que la utilización de las redes sociales en el puesto de trabajo debe estar limitada a fines puramente profesionales. 

No hay duda. Si se siguen prácticas muy básicas de protección y seguridad en el entorno laboral se reducirán radicalmente el número de ataques. Está en nuestra mano.

Iñaki Ortega es director de Deusto Business School

Luis Sánchez de Lamadrid es director general de Pictet España 

El Padrino IV

(este artículo se publicó originalmente en el periódico ABC el domingo 22 de mayo de 2016)

Mucho se ha escrito sobre una cuarta parte de la saga cinematográfica de “El Padrino” que supo reflejar  como nunca antes el funcionamiento de la mafia.  De hecho periódicamente surge el rumor de que Francis Ford Coppola ha empezado ya a grabarla con una estrella del cine americano con apellido italiano, ora Leonardo DiCrapio ora Sofía Loren, como protagonista recogiendo el testigo de Robert de Niro o Al Pacino.  Pero desde la muerte en 1999 del guionista que escribió los libretos de las películas, Mario Puzo, una nueva entrega sobre la familia Corleone, es muy improbable.

Los orígenes de la mafia, que significa en vernáculo “lugar de refugio” se sitúan en el siglo XIX en Sicilia coincidiendo con la creación de la Italia moderna. Ese  vacío de poder y la necesidad de defender del vandalismo el floreciente negocio de los cítricos en aquella isla fueron su caldo de cultivo. Pese a la bondad de la causa que hizo que apareciese la Cosa Nostra, nombre con el que se conoce a la mafia en esas latitudes, pronto esta sociedad secreta derivó en  una de las organizaciones más criminales de la historia gracias a su aterrizaje en Estados Unidos. Hoy nadie duda que la extorsión, los robos y los asesinatos son las herramientas que usa la mafia para sembrar el terror y conseguir sus fines que no son otros que manejar el poder a su antojo.

Los hackers o piratas informáticos también tienen un origen idílico pero como los mafiosos no han tardado en dar muestras de su gran capacidad para hacer el mal, aunque como pasó en el siglo pasado con la Camorra, algunos, cegados por la leyenda romántica se empeñan en verles un aura salvadora o incluso en minusvalorar sus efectos. Es conocido como hasta hace una década a los hackers les movía la fama. Parece ser que en los años 70 varios expertos en computación crearon en el entorno del Instituto Tecnológico de Massachusetts -MIT- una comunidad cuyos fines era ayudarse mutuamente a programar de forma doméstica. Rápidamente sus miembros encontraron fallos de seguridad en los sistemas cercanos y se propusieron, como divertimento, demostrar al mundo esos agujeros y de paso agrandar su ego.

Pero coincidiendo con la universalización de internet y la llegada del nuevo siglo toda cambió y los hackers pasaron de buscar la fama a buscar el dinero ajeno.  Hoy cada minuto se crean 3000 nuevos malware, contracción de las palabras inglesas malicious y software, que podemos traducir como códigos malignos, un programa informático  que tiene por objetivo infiltrarse en una computadora sin el consentimiento de su propietario. Llevan años causando estragos no solo entre empresas y particulares sino también en infraestructuras críticas, como el reciente ataque a una central nuclear iraní o al sistema eléctrico de Ucranuia. Todos los informes especializados y las memorias oficiales de delitos de los países desarrollados alertan de su crecimiento exponencial y ya lidera el ranking de las más importantes amenazas de nuestros días.

Se empezó con las famosas cartas nigerianas en las que un correo electrónico te avisaba de que eras beneficiario de una extraña herencia que te exigía pagar unas costas previas para poder disfrutarla. Luego llegó el phising donde alguien suplanta la personalidad de tu banco y acabas tu mismo dándole las claves de tus cuentas para que te robe. Ahora el uso masivo de redes sociales, la proliferación del comercio y la banca electrónica y especialmente la irrupción de una nueva moneda, virtual pero aceptada como medio de pago, el bitcoin, han traído una versión más perfeccionada de estos ataques informáticos, son los llamados ramsomware, otra contracción de palabras para referirse a un programa informático de rescate. Un día mientras trabajas con tu ordenador aparece en la pantalla un mensaje que anuncia que tu equipo queda bloqueado hasta que pagues un rescate, si no lo haces nunca más podrás volver a ver esas fotos tan queridas que están en tu disco duro o el trabajo de años se echará a perder. El rescate se pagará por internet en bitcoins y en ese momento recibirás una contraseña que desbloqueará todo y que te permitirá volver a usar tu dispositivo. En caso contrario, los hackers no solo destruirán tus archivos sino que, para evitar que les denuncies a la policía, te chantajearán con difundir orbi et orbi que eres un consumidor de material pedófilo. La realidad es que esta extorsión crece como la espuma pero son muy pocos los que se atreven a denunciar y los valientes que lo hacen ven como la Policía se encuentra inerme para luchar contra estos nuevos criminales a los que se pierde la pista en países como China o Rusia.

Hoy el cibercrimen es quizás la empresa más rentable del mundo y por eso cada vez es más difícil ponerle freno. Los sistemas antivirus apenas repelen una fracción de estos programas y las agencias de seguridad de los países más poderosos del mundo reconocen que luchan contra un enemigo que tiene cada vez más dinero y más gente preparada a su servicio. Conviene, por tanto, dedicar unas líneas a explicar que el cibercrimen es ya una industria como la automoción o la banca. Una industria criminal pero lucrativa y en expansión. Con diferentes productos como los “troyanos” o la “denegación de servicio”, con trabajadores como las llamadas “mulas” o los “pitufos”, y hasta con software al servicio de los “clientes” que mejora la eficiencia de los ataques. Con sus propios buscadores, como Tor, y un internet oculto, deep web, con miles de páginas privadas no indexadas por google, imposible de rastrear, donde nadie te impide contratar un kit para elaborar un código malicioso que se salte todos los cortafuegos y te garantice, como asegura el proveedor, rentabilidades del 1500% de tu inversión, vía extorsiones en la red. Poco extraña por tanto que según datos del FBI en Estados Unidos el 70% de los sistemas han sido infectados por estos malwares y que muchos de estos vienen ya de serie en muchos dispositivos. En España hemos sufrido según datos oficiales más de 7000 “incidentes” en infraestructurar críticas y somo el tercer país del mundo con más ataques después del Reino Unido y Estados Unidos. Ante este panorama, desengañémonos, las agencias de seguridad de las grandes potencias poco puede hacer y simplemente nos queda aspirar a minimizar daños concienciando a empresas y particulares para que por ejemplo hagan copias de seguridad. Inevitablemente a lo largo de nuestra vida vamos a ser hackeados así que solo nos quedará dar una respuesta rápida al ataque.

Pero queda una posibilidad, conseguir crear una industria de ciberseguridad, un ejército de empresas y hacker buenos que luchen, con sus propias armas, en su terreno, para vencerles y así alimentar toda una economía del bien que genere importantes beneficios que se reinviertan para innovar en nuevos productos y servicios más potentes que los del mal. Todavía estamos muy lejos de lograrlo pero la aparición de una serie de startups, con talentosos emprendedores también en nuestro país como blueliv o countercraft, son la esperanza de que está guerra puede ganarse.

Si Mario Puzo hubiera vivido unos años más para llegar hasta nuestros días y terminar de escribir El Padrino IV sin duda tendría a toda la cuarta generación de los Corleone, a los bisnietos de Vito, ya no en un restaurante manejando los hilos del narcotráfico o el juego ilegal sino  trabajando a destajo, desde cualquier playa paradisiaca, en la deep web, robando bancos online, chantajeando cibernéticamente a inocentes o boicoteando los servidores de los aeropuertos de medio mundo a cambio de rescates pagados en criptomoneda. Serían la misma mafia de siempre pero usando las nuevas armas de mal en el siglo XXI, el cibercrimen.

Iñaki Ortega es profesor de Deusto Business School y ha lanzado en Madrid este curso el Programa de Innovación en Ciberseguridad (PIC) con título propio de la Universidad de Deusto