La Madre de todos los ciberataques

Mayo 12 de 2017

El viernes 12 de mayo de 2017 quedará registrado en los blogs, Wikipedia y cualquier elemento que permita registrar información; en especial, en las trazas de auditoría de muchas empresas del soberbio ataque, sin precedentes, causado por un código malicioso, que, por su característica de ataque y efecto, es catalogado como: "ransomware". El ataque, entre sin entrar en detalles, fue en "casi" 100 países y más de 45.000 empresas.

Este, ya muy popular ataque, excesivamente rentable para quienes lo diseñan y usan, puede hacer vivir a cualquier ser humano computista, la peor de sus pesadillas, en virtud que, de ser víctima de un ransonware, recibirá un mensaje que no podrá acceder a sus valiosos datos a menos que realice un pago como costo de rescate por su valiosa información, y, de no recibir este pago, los datos serán destruidos en un plazo, que los ciberdelicuentes hayan definido. Es importante aclarar que el pago del rescate se hace en criptomonedas, a través de billeteras electrónicas, donde la traza de este tipo de pagos y registros, en la actualidad se lleva a cabo con el más alto nivel de confidencialidad, es decir, entre dos personas. De allí la alta efectividad e incentivo que produce que este delito, sea el que mayor evolución haya tenido en los últimos años. Explicar más de esto es aburrido.

Razón para escribir esta entrada en el blog

Luego de más de un año sin escribir nada, realmente pienso que no vale la pena escribir y escribir, a menos que sirva para algo. Sin embargo, en este momento me motiva dejar registro en este blog que lo que pasó en este ciberataque, ha sido advertido desde los años en que yo me inicie en en el mundo de la seguridad de la información. Eso fue en 1994. Recuerdo bien que ese momento, porqué lo que yo vendía no eran "test de penetración" o "ataques" para determinar que tan bien se encontraba la seguridad de la red. Eso lo hacia otro consultor de excelentísimo nivel, con gran experiencia que trajo desde otra prestigiosa empresa, que proveía herramientas de clase mundial para hacer ese trabajo. Mi tarea, nada fácil, era visitar compañías, la mayoría instituciones financieras, para promover lo importante que era sensibilizar a las personas en la seguridad de la información.  El objetivo era desarrollar programas de sensibilización para que la gente tuviese mayor conciencia y menor propensión a caer en trampas cibernéticas, entiéndase en ese momento de los "virus" y de la ingeniería social. Es obvio que hace 23 años vender lo que pretendía vender era sumamente difícil. Recuerdo que nunca pude vender un taller en forma única, más si, vendí varios "risk assessment" y en ellos se incorporaba la parte de sensibilización. Adicionalmente yo no daba los talleres de sensibilización, no tenía la imagen de "duro" para mostrarles en la cara a aquellos incrédulos, que podían vivir el apocalipsis cibernético. Eso lo hacía otro consultor que traíamos del exterior, con cara de haber vivido todas las guerras. Por supuesto no hablaba español.

La P%$* Cultura

Han pasado un par de décadas desde que me prometí no abandonar esta profesión. Creo en ella. No todas las personas que me conocen en el ámbito profesional saben que he estado en este mundo desde entonces. Me relacionan más con riesgo operacional y riesgo tecnológico. La razón sigue siendo la misma. Nunca nos hemos caracterizado por ofrecer soluciones de seguridad en hardware o software. Siempre hemos querido movernos en el mundo de la sensibilización de la seguridad de la información, en la estrategia y los planes. El motivo fundamental a no cambiar fue demostrado ayer. Cuando se está leyendo en detalle las noticias del evento del 12 de mayo y se identifica que los miles de millones de dólares que se han gastado en protección de los activos de información se vino abajo simplemente porque un anexo de un correo electrónico, que contenía el código malicioso, fue activado por un "clic" de un usuario de cualquiera de esas, más de 45.000 empresas, produjo el mayor ciberataque jamás ocurrido en la historia del blah, blah, blah, solo se le puede venir a la mente a uno este pensamiento: la p%$* cultura.

La levedad de las conciencias

Leer los análisis de muchos artículos de la prensa en línea, refiriéndose al tema, no provoca más que profunda preocupación de la cantidad de argumentos sin base y sin razón, que escriben muchos "conocedores" del tema. A priori se podría pensar que hasta se sienten culpables por formar parte de los tantos miles de haber presionado ese clic para ver que venía en el anexo de su correo. Pero no se debe ser rudo con ellos. Realmente hacen un trabajo de sensibilización, aunque pudiese ser mejorado. De alguna manera trasmiten al mundo el caso, de cómo ocurrió, tal vez en forma muy ligera qué lo causó. Lo realmente dramático son los comentarios que le agregan algunos suscriptores, en los foros y artículos de periódicos en línea. Esto lleva a pensar que el Armagedón cibernético aún no se ha materializado. Por ejemplo, muchos culpan a la mayor plataforma ofimática que es usada en el 98% de todas las organizaciones en el mundo. Ciertamente, el código malicioso saca provecho de dichas vulnerabilidades, pero de allí culpar la plataforma provee señales altas de insensatez. Algunos otros mencionan prohibir legalmente el uso de las criptomonedas. No sé cual es peor, esta o la anterior; y por último, alguien se atreve a decir que hay que desconectarse. muy irónico este, sobre todo que tiene cuenta en Facebook, Twitter y se evidencia que opina a diario en dichos foros. Y así otros cientos de "expertos" opinando acerca de qué hacer y qué no. Realmente lleva a concluir que han pasado dos décadas en las que se ha vendido mucho hardware y software, pero nada de cultura. No estamos siquiera en la línea base en lo que a sensibilización se refiere, estamos por debajo. Para el ransomware no hay una herramienta que funciones por si sola. Debe funcionar en tándem con otras cosas, posiblemente con más herramientas. Diría un proveedor, no muy lejos de la realidad. Pero lo cierto, es que el ingrediente más importante de todas estas soluciones es la cultura. Puede que exista un triángulo virtuoso (deformando el circulo) en el que la cultura, la criptografía y los respaldos de la información puedan ser una posible solución combinada para la recuperación del desastre, pero de nuevo, se requiere no ser tan ligero de conciencia en la importancia que reviste el tema.
Para finalizar una breve anécdota
Hace unas cuantas semanas, me encontraba de viaje y me conseguí con un gran amigo que está cargo de una empresa que brinda outsourcing de servicios de seguridad (mssp); y me pregunta en cuanto le vendería un firewall de última generación (él sabe que no vendo eso). Le contesté que se lo vendería en 72.000US$. Reflexionó y me pregunta a continuación. En cuánto le vendería un programa de sensibilización a sus clientes y le contesté que se lo vendería en 72.000US$. Me contestó: ¿Qué?, ¿Porqué?, ¿No piensas que es mucho dinero? Mi argumento fue que el firewall sin duda lo protegería, pero más lo protegería un programa de entrenamiento ante eventos que le ayudarían a minimizar los impactos, mejorar la seguridad y estar prestos a una rápida recuperación. Eso no lo hace un firewall. Por supuesto no me compró nada, pero reconozco que tampoco he sido un buen vendedor.

La Crisis, los Valores y los Riesgos..,

Hace unos momentos a una representante de una escuela considerada por mi como excelente por sus profesores, alumnos, padres y en si mismo, en su conjunto; sufrió un incidente en donde un representante se apropio de su teléfono inteligente sin ningún tipo de temor o vergüenza de que pudiera ser atrapado en tan "extraño" acto, el cual en cualquier otro contexto puede considerarse un robo vulgar de un dispositivo de los cuales, se roban cientos a diario; y en ocasiones hasta con desenlaces fatales.

Sin embargo, el asunto no es el simple robo, sino en dónde ocurrió y quién cometió tal acto. Todo ello porque la acción pudiese traer consecuencias inconmensurables. El riesgo al que se expuso este  señor, por un aparato que aun que de cierto valor, no revela las costosas consecuencias que pudiesen traerle a él y a su representado en dicho comunidad educativa. No imagino el bullyng que pudieran emprender con este muchacho sus compañeros al saber que su papá cometió este delito; si no es que amenacen con suspenderlo por culpa de una estupidez cometida por su padre. Y resalto la estupidez, porque fue perfectamente grabado con las cámaras de seguridad del lugar.

Qué me motiva a escribir acerca de esto?

Hace aproximadamente dos años que no escribo nada relativo a riesgos y a su gestión que no sean estudios o análisis para organizaciones o instituciones de formación que me requieren con relativa frecuencia, algunos con fines de lucro otros por colaboración para el desarrollo de esta práctica. Creí yo en su momento, que el motivo de dejar de escribir fue que poco o nada de esto interesa en modo teórico. Muchos quieren resolver la gestión de riesgos en modo práctico y generalmente se decantan por esta vía. Los resultados son mixtos, logran algunos objetivos, relativamente exitosos, pero con costos muy elevados. Otros, simplemente implementan las prácticas de riesgo y sólo buscan lograr el cumplimiento. Esto último, si la organización está sujeta a regulaciones relativas a la gestión de riesgos.

Por tanto motivado a lo anterior no debo negar que me fue abordando un hastió que me llevó a abandonar los escritos y si alguna vez tuve intención de hacer un libro o ensayo acerca del tema, creo que esto fue aletargando y luego extinguiendo cualquier interés al respecto.

Pero sucedió el evento con que abrí este escrito. Me asombró de sobremanera tal situación. Como dije antes, por donde ocurrió y quien cometió este acto. Inmediatamente lo relacioné a la ética, a los valores, a los riesgos, la crisis y quién sabe que más elementos que la frustración; y porqué no, el malestar de que ocurran estas cosas en lugares que yo considero sagrados. Lo increíble de este evento es que hizo que me trasladará hasta el 12 de noviembre de 2011 donde ocurrió un evento en esa misma escuela. En ese momento y fui el protagonista. Allí ocurrió una situación que produjo que escribiera un escrito denominado La consecuencia de hacer las cosas por hacerlas; en ese instante vi comprometido los valores, la ética y las consecuencias de hacer las cosas sin interés o pasión. Aunque las situaciones son bastante distintas, la de aquel entonces y esta de hoy; tienen en común la respuesta perfecta del porque deje de escribir.

Realmente deje de escribir porque la gente desea asumir riesgos, no administrarlos. La gente desea  exponerse a cualquier riesgo. Arriesgar los valores, su prestigio, su honorabilidad para obtener  bienes materiales. A la gente le importa nada las consecuencias que le pueda traer a ellos; pero sobre todo son extremadamente egoístas; pues no le importa las consecuencias que puedan traerle a los suyos; como por ejemplo, someter al hijo a cuestionarlo y hasta ofenderlo por los actos poco decentes cometidos por su padre en el colegio.

En realidad, en este momento donde me encuentro y el contexto que me rodea hace que no me sienta motivado a ser un evangelizador en gestión de riesgos que haga que la gente que haga las cosas bien, porque la verdad es que creo firmemente que no les importa correr riesgos innecesarios, el modelo está afectado y el entorno no está castigando por muy mal que se porten. En pocas palabras no hay pena, no hay ley; la gente correrá el riesgo, hasta que los atrapen.