Por Cristian Aránguiz

-¿Por qué Chile y Perú son tan atractivos para las los hackers internacionales? 

-Primero, habría que mencionar que el cibercrimen es una industria que ha crecido tanto en el mundo, que es una industria de gran productividad y de crecimiento exponencial, solo comparable, en ganancias, a grandes compañías como Twitter, Facebook, Youtube o Linkedin. O a cualquier negocio basado en información, que trata volúmenes exponenciales y que estos se duplican cada año. El cibercrimen tiene similares cifras de expansión a una compañía transnacional. El año pasado se calculó sus ingresos en unos US$3 mil billones, y al año 2021 se espera que sean US$6 mil billones (según datos de Interpol). Los números anteriores sobrepasan cualquier industria criminal, incluyendo la falsificación o la venta de drogas.

La evolución de esta nueva industria ha hecho que en lugares como OpenDeep y la dark web, lugares de acceso restringido para la población en general, se comercien servicios ilegales, solicitudes para crear sitios web falsos, aperturas de ofertas para el ciberataque a la banca o peticiones de clonaciones de tarjeta de crédito internacional. Y una de las novedades dentro de los nuevos servicios es que hoy existen cerca de 6.300 marketplaces destinados a la venta de servicios ilegales para el cibercrimen, donde muchos de ellos están destinados en especial para su uso en Chile y Perú.

-¿De qué se tratan esos marketplaces y cuáles son esos recursos que ofrecen para ciberatacar? 

-Podríamos decir que son una especie de Mercado Libre, pero de recursos y servicios donde puedes, ya sea contratar o hacerte de una herramienta para cometer un delito informático. Nosotros contabilizamos sobre 45 mil productos que se podrían adquirir, con un valor que va desde los US$15 hacia arriba. Por ejemplo, con solo US$30 podrías perfectamente comprar un ransomware para distribuir, y por otros US$15 otra herramienta para poder expandir y propagar ese ransomware. Con esos dos elementos puedo ya estar en condiciones de atacar en cualquier parte del mundo.

-¿Esta disponibilidad de herramientas ha aumentado el interés en ser eventualmente un hacker?

-Exacto, no solo se ha producido una profesionalización en el cibercrimen, a nivel de trabajo ‘con contrato’, sino también ha aumentado el interés por ser un hacker amateur, porque incluso puedes tercerizar algunos servicios.

Por otro lado, contra empresas más grandes hay grupos de cibercriminales con coordinaciones mayores, muy estudiosos, personas académicamente muy preparadas. Ese tipo de hackers están años estudiando organizaciones para poder realizar ataques específicos.

EN PAÑALES

-¿Por qué estos hackers prefieren mercados como el peruano o el chileno, dejando de lado economías mayores como Brasil o México? 

-Los ciberataques, cuando poseen herramientas sofisticadas, parten poniendo su interés en países con un gran mercado financiero, como Estados Unidos, pero una vez que ahí se dan cuenta del ataque y se comienza la operación de bloqueo a esa acción, los cibercriminales se mueven luego a países donde se ha invertido menos en medidas de prevención digital. Generalmente la brújula apunta hacia Europa o Asia, para después seguir camino a Brasil o México. Pero ahora estos países han suscritos importantes medidas de política digital y adoptado leyes de protección de datos, las que han elevado su escala de seguridad. Por ello, los ciberataques han encontrado nuevas posibilidades en mercados en desarrollo, como Chile o Perú.

-Si los nuevos blancos están definidos, ¿cuál ha sido la estrategia de defensa de la industria en Perú y Chile?

-Está el dato de que por el lado chileno las empresas invierten el 0,07% del PIB en ciberseguridad, las peruanas el 0,06%, pero un país desarrollado invierte 0,21% de su PIB, es decir, triplica lo que se invierte en Chile y Perú. Esa inversión ha procurado costear mejores herramientas que den la posibilidad de tener elementos de detección temprana.

-¿Cuál sería el mejoramiento prioritario en Chile en términos de ciberseguridad?

-Primero, hay que comentar que la ciberseguridad en el Perú está en pañales, mientras que en Chile lleva ciertos avances, aunque ambos están muy lejos de un nivel siquiera medio de protección. Por ejemplo, Mario Farren, el "zar" de la ciberseguridad en Chile, y reciente nombrado asesor presidencial en dicha materia, ha declarado que su país en una escala de 1 a 7, tiene nota 4 en mecanismo de defensa digital, es decir, puso una calificación que está al borde de lo insuficiente. La actual legislación chilena es del año 1993, con una pequeña actualización en 1999; y si vemos la ley de delitos informáticos, la 19.223, que ha tenido diversas modificaciones para una mejor actualización, se ha quedado en eso. Esa ley de comienzos de los 90 ni siquiera tenía contemplado el uso de smartphones.

-¿Y su ley de protección de datos?

-Pasa algo muy similar, ya que data de 1999 la ley 19.628, y que está totalmente desactualizada. Ahora, tanto gobiernos como el chileno y el peruano están en conjunto mirando hacia lo que se ha estado haciendo en Europa, con la implementación y puesta en marcha de la GDPR (General Data Protection Regulation). Un modelo con una normativa más ciber consciente.

Ahora, en Perú, se han tomado con más premura el asunto de dar impulso a leyes que vayan en el camino de una mejor protección digital, movidos principalmente por el dinamismo del ecosistema de emprendimiento y la economía. Los esfuerzos se han centrado en poner en marcha la ley 29.733, de protección de datos personales, y con ello, han ido modificando una serie de artículos, no solo para mejorar la defensa de los datos de los usuarios.

JUEGO INFINITO

-Los expertos han postulado que tecnologías fundacionales como blockchain o IA podían ser la solución ante los hackers. ¿Son la solución? 

-Estamos en un juego infinito, frente a un enemigo que siempre ha va a encontrar diferentes formas de querer sobrepasar nuestras defensas. Hoy, hay miles de personas tratando de hackear o queriendo ser hacker, ya que se convirtió en algo muy rentable. Por ello, las corporaciones deben modificar no solo su actitud frente a esta realidad, sino procurar que las direcciones de las empresas comiencen a instalar el tema de ciberseguridad dentro de la matriz de riesgo. Junto con ello, ver cuáles son los activos que hay que defender, identificar y proteger archivos, detectar de forma temprana cuáles serán las instrucciones para el uso de elementos avanzados. Hoy, en promedio, las empresas se demoran 169 días en descubrir una intrusión no autorizada, un plazo que puede bajar a uno o dos días con una inversión en herramientas adecuadas.

-Pero blockchain e IA, ¿qué rol juegan en una buena estrategia de ciberseguridad?

-La IA y blockchain no son la solución final, ya que los ciberataques son una evolución continua. Podría encriptar con blockchain la información sensible de clientes, por ejemplo, y si me la llegarán a robar, sería casi imposible que la pudiesen descifrar. Pero cuando esté operativa con pasividad, la computación cuántica va a poder resolver la encriptación, lo que va a dejar a los cibercriminales con los recursos necesarios para poder flanquear herramientas como blockchain.

HACKTIVISMO

-El año pasado la región sufrió mayoritariamente ciberataques a su banca. Este año, ¿esa tendencia continua o las acciones se han enfocado en otra industria?

-La banca en Chile y Perú, que son economías en pleno desarrollo, siempre van a ser un target importante y especial; siempre se va a intentar penetrar esos servicios, porque es como el gran pozo, donde no solo se va a lograr más daño, sino que ese tipo de ataque puede ser mucho más lucrativo para ellos y el rédito monetario mucho mayor.

Si miramos el actuar de este año, los ataques se han concentrado en un 40% en el robo de datos personales; por otro lado, el 39% busca de forma directa el robo de dinero, y el resto fines homogéneos como filtrar información.

Pero si vemos específicamente el caso chileno, este año se ha visto particularmente mucho hacktivismo o activismo digital. A nivel mundial, los índices indican que el 19% es hacktivismo y el 2% es geopolítico, y eso significa la acción de un país atacando a otro. Si tomamos la fotografía de lo que pasa hoy en Chile y la crisis social en la que está envuelto, ese 19% ha aumentado considerablemente, teniendo ataques confirmados a todos los ministerios de gobierno, hecho que tuvo como resultado la fuga importante de información de esas instituciones, evasiones de información desde Carabineros de Chile, robo de datos de las oficinas del Metro de Santiago, e incluso de organismos Instituto Nacional de Derechos Humanos (INDH).

-¿Cuál es el comportamiento de los ataques cuando se dan dentro de una crisis social?

-Las situaciones de crisis social son un escenario ideal para los ciberdelincuentes. Todos estos eventos sociales propician estos ataques y elevan considerablemente su taza de efectividad. Chile no solo es el centro de una crisis social, sino también de los ciberataques de la región, y eso se produce, por ejemplo, porque si las personas se encuentran en una manifestación donde comienza a realizar operaciones desde su smartphone, es mucho más fácil para un hacker hacerlos caer en diferentes fishings, si hablamos de objetivos individuales. Pero si miramos los ataques a empresas, las tareas de cibercriminalidad se multiplican, porque si la defensa de los datos o de la información no se actualiza o se descuida, existirá el espacio suficiente para robar información clave.

Por otro lado, cuando se producen crisis sociales importantes, se incrementa mucho el trabajo de ingeniería social por parte de los cibercriminales, es decir, las redes sociales se repletan de mensajes, textos, fotografías o elementos que dan para un análisis que les permite la conformación de un perfil, y ese dibujo les hará acceder a datos que, finalmente, marcan la pauta para una estafa o la suplantación de una identidad.