Sustentar la toma de decisiones en contextos inciertos es la mayor virtud de la Inteligencia, por tal razón la anticipación de escenarios de riesgos generados por la vulnerabilidad relacionada al uso de las Tecnologías de la Información y Comunicación, TIC así como el incremento del uso de sistemas de almacenamiento en la nube (Cloud computing), o el aumento de las transacciones bancarias digitales y la creación de las criptomonedas, a la par de la vulnerabilidad de la infraestructura crítica a ciberataques o la manipulación a través de algoritmos de la percepción de la realidad individual a través de campañas de desinformación constituyen nuevas variables para el análisis de seguridad; estos escenarios se correlacionan a su vez con la coyuntura, por ejemplo, a raíz de la pandemia, se detectó un cuantioso registro de dominios relacionados con el COVID-19 con la finalidad de phising, ya que los ciberdelincuentes se vieron obligados a redireccionar sus actividades criminales hacia la intrusión en videoconferencias, servicios de transmisión de datos, transferencias de pagos, portales de empleo, entre otros (Quirós en Cointelegraph.com, 2020).
Tan sólo por citar el caso de México, de acuerdo con el Instituto Nacional de Estadística, Geografía e Informática (INEGI) en 2019 se registraron 80.6 millones de usuarios de internet, de los cuales el 95.3% se conectaron a través de un celular inteligente (smarthphone), el 33.2% lo hizo por medio de una computadora portátil, el 28.9% utilizó una computadora de escritorio, el 23.4% a través de un televisor con acceso a Internet (Smart TV) o algún dispositivo conectado a ésta, el 17.8% por medio de una Tablet y un 8.4%a través de una consola de videojuegos (INEGI, 2020) a su vez, la consultora McKinsey&Company, se tiene proyectado que para 2025 México tendrá 300 millones de dispositivos conectados, lo cual supone un crecimiento del 70% del total de dispositivos. De acuerdo al estudio ¿Cómo usan los mexicanos las redes sociales? elaborado por la UNAM, los mexicanos pasan hasta 8 horas al día en internet (UNAM, 2019), y de acuerdo con el 14º Estudio de los Hábitos de los Usuarios de Internet en México 2018 elaborado por la Asociación de Internet.mx en promedio cada usuario de internet posee 5 redes sociales, de las cuales Facebook posee el 98% de los usuarios, WhatsApp el 91% y Youtube el 82% (Asociación de Internet.mx, 2018), hecho que las ha convertido en las principales fuentes de información para los mexicanos. Los datos precedentes evidencian para los profesionales de la seguridad e Inteligencia de seguir muy de cerca el desarrollo de los entornos digitales y de las vulnerabilidades en el ciberespacio que se ha convertido en una dimensión paralela a la realidad física y que requiere de medidas proactivas.
Generalmente existen dos conceptos que van de la mano es este tema: ciberseguridad y ciberresiliencia. Por Ciberseguridad se entiende a las acciones para reducir la probabilidad de sufrir un ciberataque, por su parte la Ciberresiliencia es la capacidad de enfrentar ciberataques a largo plazo sin que éstos afecten la capacidad de operación diaria. Ambas facetas se aplican a personas y organizaciones y se desarrollan en tres esferas interrelacionadas en función del sector público, el sector privado y la sociedad. En las tres esferas los riesgos cibernéticos constituyen las posibles afectaciones para gobiernos, empresas y miembros de la sociedad debido a fallas o vulnerabilidades de las tecnologías de la información que utilizan y puede tener graves consecuencias económicas, perjuicios en el prestigio institucional e incertidumbre en la toma de decisiones. Los ataques cibernéticos, entendidos como “Intentos no autorizado por la vía digital de acceder a un sistema de control, dispositivo electrónico y/o red informática, con el propósito de sabotear su funcionamiento, extraer información y recursos o extorsionar a usuarios y organizaciones” (McKinsey&Company/COMEXI, 2018, p.16), los cuales entran en una amplia gama de objetivos y cobertura, difieren en sus capacidades y motivaciones, pueden ser intencionales o accidentales y pueden tener un impacto individual o sistémico, e inclusive, pueden ser auspiciados por terceros.
Ciberseguridad en servicios e instalaciones de gobierno
En la esfera del sector público el avance en las tecnologías del gobierno digital ha facilitado la cantidad y rapidez de trámites burocráticos en los tres órdenes de gobierno, pero simultáneamente ha incrementado la vulnerabilidad al robo de identidad de información confidencial personal, de esta forma las bases y sistemas críticos de datos como los padrones de electores, números de seguridad social, registros de los historiales de salud de hospitales públicos, registros y números de contribuyentes de impuestos, registro de pasaportes, registros de reconocimiento biométrico y registros de propiedades son algunos ejemplos de sistemas de datos estratégicos resguardados por los Estados y cuya penetración puede incentivar los robos de identidad y generar en consecuencia la desconfianza de los ciudadanos respecto al gobierno.
De igual forma las instalaciones estratégicas y la infraestructura crítica son de alta vulnerabilidad a un ataque cibernético en tanto que la coordinación de sus operaciones y seguridad sean sistematizados y digitalizados, éstas pueden ser las instalaciones y comunicaciones militares y navales, los servicios eléctricos, los puertos y aeropuertos, la red de agua potable, las presas, las redes de telecomunicaciones, los sistemas de satélites, la red de ductos petroleros, los yacimientos estratégicos como los de uranio o litio, los sistemas de conteo de votos en elecciones, etc. y que pueden ser el objetivo principal de ciberataques con intención de sabotaje por cuestiones económicas o políticas.
También en los últimos años el crimen organizado ha utilizado el ciberespacio, especialmente las redes sociales, como medio de comunicación con las organizaciones rivales y con el gobierno a través de la publicación de videos con comunicados, demostración de poder de fuego, ejecuciones y amenazas para difundir desinformación y pánico entre la población, así como un medio de reclutamiento y para llevar a cabo una diversidad de delitos que han repuntado a raíz del confinamiento por la Pandemia de COVID-19, en este punto debemos considerar la posibilidad de que el crimen organizado también puede ser patrocinador de ciberataques. En este sentido, las recomendaciones al sector público enfatizan los siguientes aspectos:
- Adopción de tratados internacionales como el Convenio sobre la Ciberdelincuencia de Budapest de 2001.
- Creación e implementación de una Estrategia Nacional de Ciberseguridad
- Consideración de la ciberseguridad como asunto de seguridad nacional.
- Legislación en materia de ciberseguridad.
- Definición y penalización de los delitos cibernéticos.
- Creación de agencias de ciberseguridad en el gobierno federal.
- Creación de armas militares y de una sección de estado mayor enfocados al ciberespacio.
Ciberseguridad empresarial
En lo respectivo al sector privado, el sistema financiero es considerado uno de los mayores sistemas críticos que dependen del mundo digital debido a las transacciones que todos los días se realizan a través de banca electrónica sumado a la creación de las criptomonedas que anticipan la posibilidad de transacciones directas sin mediación bancaria e incluso sustituir el intercambio de dinero físico.
Los ciberataques pueden ser auspiciados por la competencia con la intención de dañar a una empresa a través de sus sistemas o su personal, así como en su imagen y relación con sus clientes, de igual forma un ataque puede estar dirigido a una entidad o a un conjunto del mismo ramo. Las ventanas de oportunidad para los atacantes dependen de la identificación de vulnerabilidades y diseñan ataques específicos. Un ataque puede ser desde el exterior o a través de los empleados o exempleados con acceso a información privilegiada o por ensayo con un ataque de prueba antes de un ataque mayor o prolongado, por lo cual es recomendable que las medidas de resiliencia sean coordinadas con todos los departamentos y personal de la empresa. Las recomendaciones orientadas a empresas consideran:
- Capacitación de la totalidad de los empleados en materia de cultura de ciberseguridad y limitar el acceso a sistemas críticos a los empleados.
- Fusión de la estrategia de ciberseguridad a las estrategias de negocio.
- Establecimiento de un Jefe de Seguridad de la Información (Chief Information Security Officer, CISO).
- Implementación de políticas de contraseñas de alta seguridad para los empleados y su renovación periódica, especialmente para aquellos con acceso a información estratégica para la empresa.
- Evaluar el nivel de vulnerabilidad a un ataque cibernético, así como de las medidas de prevención y mitigación con las que se cuentan.
- Actualización constante de software y uso de programas antivirus, encriptación de datos y firewalls.
- Llevar una bitácora de amenazas cibernéticas en la organización y en las empresas de la competencia.
- Implementación y actualización de sistemas de detección temprana y de respuesta oportuna a los intentos de ataque.
- Considerar la aplicación de técnicas de seguridad informática como el Pentesting (penetration+testing) o test de penetración que está diseñado para determinar el alcance de los fallos de seguridad de un sistema o bien el establecimiento de programas de recompensas para la identificación de vulnerabilidades (Bug bounties) donde la empresa invita a hackers u organiza concursos para identificar fallas en sus sistemas.
- Elaboración de planes de emergencia y de resolución de crisis para mitigar los impactos negativos en la empresa.
- Considerar la cooperación con otras organizaciones para los casos de ataques sistémicos.
Ciberseguridad individual y colectiva
En la esfera social, la manipulación a través de algoritmos con el objetivo de saturar los historiales con noticias derivadas de campañas de desinformación o fake news apuntando hacia una tendencia determinada, puede influenciar en la percepción de las noticias que llegan a los individuos a través de aplicaciones o redes sociales y como consecuencia afectar su capacidad individual para tomar decisiones de una manera objetiva y que pueden conducir a episodios de violencia social, algunos ejemplos de los alcances de estas campañas se ilustran en el documental The Social Dilemma, en el cual se muestra la manera en la que las redes sociales están diseñadas para ser adictivas gracias al uso de técnicas de psicología de la persuasión, así como del uso de incentivos (como el patrón de notificaciones) que facilitan que el usuario pase el mayor tiempo posible en la aplicación, generando codependencia, gracias a lo cual un individuo es más vulnerable a la manipulación de sus preferencias de consumo e incluso en sus opiniones políticas debido la sobreexposición sistemática orquestada por sofisticados algoritmos que construyen una realidad individualizada saturada de información relacionada a un objetivo auspiciado por un tercero.
Para el investigador de la UNAM Luis Ángel Hurtado, la rapidez con la cual se difunden las noticias falsas en las redes también puede ser considerada como un atentado a la libertad de expresión, contra el derecho a la información y la democracia, cada individuo puede ser víctima de desinformación difundida por sus conocidos, por ejemplo, tan sólo en WhatsApp el 63.3% de las noticias falsas son reenviadas por familiares y el 61% son reenviadas por amigos (UNAM-DGCS, 2019).
En el caso de Twitter, de acuerdo con el investigador Carlos Piña de la Universidad Veracruzana, las campañas coordinadas o Astroturf tienen la intención de influenciar en la opinión pública y contrarrestar cualquier tipo de defensa o resistencia a las mismas y en aras de su identificación, el investigador establece una taxonomía de cuentas que se encuentran interactuando de forma simultánea, así tenemos: 1) Orgánico, cuenta que genera contenido original con tiempos de interacción variados; 2) Bot, que es una cuenta totalmente automatizada que genera tuits de forma persistente y presenta patrones de comportamiento; 3) Cyborg, cuenta controlada por una parte orgánica y otra parte bot con tiempos de interacción variable y 4) Sock Puppet, manipulada y coordinada de falsa identidad, con contenido altamente sesgado y comportamiento anómalo (Piña en @Piniisima, 17:45 del 4 de julio de 2020) así como del uso de cuartos de retweets (retweets rooms) integrados por cuentas falsas que se dedican a amplificar campañas coordinadas a través de uso excesivo de retweets, no obstante gracias a las técnicas y programas de ciencias de redes y observación del patrón “más retweets que likes”, es posible su identificación y denuncia.
En las redes sociales cada vez son más frecuentes las campañas de linchamiento digital (ataques, insultos, acoso, difamación, censura, etc. contra individuos y/o figuras públicas a través de redes sociales) o prácticas enmarcadas en la cultura de la cancelación (cuando un personaje público hace declaraciones o tiene comportamientos considerados como ofensivos y se vuelve objetivo de un boicot digital para afectarlo en su carrera profesional) en contra de figuras públicas y periodistas a través de redes sociales, esto constituyen nuevas formas de violencia cibernética y pueden estar relacionadas al ciberacoso (Cyberbullying). Las recomendaciones hacia los individuos de la sociedad incluyen:
- Incentivar la creación de organizaciones civiles que fomenten la cultura de ciberseguridad y orienten a las víctimas que la han visto vulnerada.
- Campañas de gobierno e iniciativa privada para incentivar la adopción de medidas individuales de ciberseguridad y ciberresiliencia.
- Denuncia oportuna de delitos a las autoridades cibernéticas correspondientes.
- Verificar la legitimidad y veracidad de las fuentes de información que se recibe a través de redes sociales, incluyendo las noticias compartidas por amigos y familiares.
- Concientizar a niños y jóvenes sobre las consecuencias de las prácticas relacionadas al ciberacoso (Cyberbullying).
- En el caso de las universidades y centros de investigación públicos y privados, el incremento de la oferta académica en áreas de ciberseguridad e incremento de presupuestos para la investigación.
Sin duda la necesidad del empleo del análisis de Inteligencia se constituye como una herramienta fundamental para identificar y prevenir los riesgos cibernéticos para disminuir las vulnerabilidades en el ciberespacio y para diseñar protocolos de ciberseguridad y estrategias de ciberresiliencia en los escenarios de riesgo, principalmente en los sectores de gobierno e iniciativa privada, así como contar con medidas de mitigación de ataques exitosos, evaluar la magnitud del daño e identificación del atacante. De igual manera en la dimensión social la construcción de escenarios de riesgo en el ciberespacio es una herramienta útil para identificar los riesgos de escenarios de violencia social derivados del posicionamiento y viralización de campañas de desinformación, principalmente en la elaboración de protocolos de manejos de crisis a nivel sistémico, así como para prevenir en el nivel individual los ciberdelitos como el robo de identidad.
síguela en @palomamendozac
Fuentes consultadas:
- Asociación de Internet.mx, 14o Estudio sobre los Hábitos de los Usuarios de Internet en México 2018, mayo 2018. Disponible en:
- https://irpcdn.multiscreensite.com/81280eda/files/uploaded/Estudio%20de%20los%20Ha%CC%81bitos%20de%20los%20Usuarios%20de%20Internet%20en%20Me%CC%81xico%20AIMX%202018.pdf
- Instituto Nacional de Estadística, Geografía e Informática (INEGI), (2020). Encuesta Nacional sobre Disponibilidad y Uso de Tecnologías de la Información en los Hogares (ENDUTIH) 2019. México. Disponible en: https://www.inegi.org.mx/programas/dutih/2019/
- McKinsey&Company/Consejo Mexicano de Asuntos Internacionales, COMEXI (2018). Perspectiva de ciberseguridad en México. Junio de 2018. Disponible en: https://consejomexicano.org/multimedia/1528987628-817.pdf
- Quirós, Fernando. “Ciberataques: ¿Por qué México se ha convertido en un país de alto riesgo?, en Cointelegraph.com, 24 de julio de 2020. Disponible en: https://es.cointelegraph.com/news/cyber-attacks-why-has-mexico-become-a-high-risk-country
- Universidad Nacional Autónoma de México (UNAM), (2019). Mexicanos pasan en promedio entre 2 y 4 horas diarias en WhatsApp”, Boletín UNAM-DGCS-408, 9 de junio de 2019. Disponible en: https://www.dgcs.unam.mx/boletin/bdboletin/2019_408.html