Cyber ShockWave

"Desde el teléfono en el bolsillo, hasta el sistema militar de armas más sofisticado, el "espionaje cibernético" y el "hacking" representan una amenaza a la economía y la seguridad nacional para todos los norteamericanos."



Así comienza la descripción de un evento creado por el BPC que busca simular un ataque cibernético hacia Estados Unidos. Su objetivo: Determinar la capacidad de respuesta de los EU ante un ataque cibernético y plantear estrategias en caso de una crisis potencial. Su nombre: Cyber ShockWave.
Aunque da la impresión de ser una propaganda para el juego de la siguiente generación de consolas, lo cierto es que EU se ha tomado bastante en serio a la nueva dimensión de la guerra: El Ciberespacio. Todos los días es común encontrar noticias relacionadas con fraudes electrónicos, o simplemente amigos que les "juaquiaron la cuenta de mézinger", y más allá de ser un fenómeno aislado, es ahora una amenaza global.
- FEBRERO 2 -
Se publica el estudia anual de amenazas de las agencias de inteligencia para el comité de inteligencia del senado, el principal punto: La creciente amenaza proveniente desde el ciberespacio. Se cita:
"El sector cibercriminal en particular ha demostrado innovaciones técnicas remarcables con una agilidad que excede la capacidad de respuesta de los defensores de las redes. Los criminales están desarrollando herramientas nuevas, cada vez más difíciles de contrarrestar."
El documento se hace público por el DNI.
- FEBRERO 4 -  
Todo el cuento de CSW (Cyber ShockWave) comenzó con una noticia en la cual el BPC anunciaba su intención de llevar a cabo una simulación de un ataque cibernético sobre los Estados Unidos. La intención fundamental era determinar las medidas de respuesta del gobierno ante una crisis con esas características y esa magnitud, todo se iba a realizar desde el Mandarin Oriental Hotel, en Washington. A modo de resumen, la idea era simular un ataque de hackers y su correspondiente respuesta desde ciertas instituciones del gobierno, desde el trabajo de las agencias de inteligencia hasta los reportes de noticias, buscando generar un escenario donde la toma veloz de decisiones fuera prioritaria. Hasta ese día solo se conocía la intención y los participantes.
- FEBRERO 10 -
Ya en Internet se veían noticias que publicitaban el suceso (1, 2, 3), la fecha del día D: el 16 de febrero. La paranoia alcanzó a tocar algunas personas, quienes creyeron que la amenaza era real y el ataque era una declaración abierta de guerra. Ya era un hecho que a las 10:00 am ET (Eastern Time, GMT -5) del 16 de febrero los EU iban a ser atacados cibernéticamente de manera masiva por una entidad desconocida (o lo que viene a ser lo mismo, iban a ser afectados desde Internet), y tenían como objetivo mitigar, y se era posible, responder a la acción. Pero ¿qué tiene de nuevo todo esto? Pues que por primera vez,  un ataque cibernético iba a ser usado como juego de guerra y, además, se iba a transmitir en público.
El escenario era tan real como se podía contratar, con oficiales de las agencias de inteligencia, consejeros de seguridad nacional, comandantes de combate y empresas que le han apostado al mercado de la "ciberdefensa", además con una total desinformación sobre las características del ataque. Al parecer iba a ser un evento que arrojaría múltiples lecciones en el campo (aunque no fuese el primero, los demás habían sido privados).
- FEBRERO 16 (Pre 10:00 ET) -
Los medios y algunos interesados en el tema se encontraban a la expectativa, es el día del tan planeado escenario simulado donde se pondrá a prueba la capacidad de respuesta de EU ante la amenaza del ciberespacio. Varias agencias publicitan la situación (1, 2).
- FEBRERO 16 (Post 10:00 ET) -
Se anuncia que el ejercicio se prolongó por cerca de 3 horas, durante las cuales se realizaron simulaciones de varios ataques, desde ataques a redes celulares hasta ataques a la infraestructura eléctrica del país (supongo que aquella tiene cierto grado de automatización). El hilo conductor fue:

  • Se atacaron vulnerabilidades en los sistemas operativos más usados por los teléfonos inteligentes, entre los que se utilizaron "keyloggers" y componentes de interceptación de datos, el resultado: Un ejército de bots infestando la red de telecomunicaciones.

  • La red de bots congestionó la red de datos de las empresas prestadoras de servicio de telefonía móvil mediante la descarga masiva de videos de "El Ejército Rojo", el resultado: Redes de comunicaciones inutilizables.

  • El malware insertado en los smartphones se replica en los computadores personales mediante los programas de sincronización de dispositivos móviles, el fenómeno de congestión se replica a las empresas prestadoras de servicio de internet, el resultado: ISP inutilizables.

  • Fenómenos naturales, cargas explosivas y un ataque de malware en "Secure Trade" (el software de la plataforma de comercio de electricidad) afectan la infraestructura eléctrica del país.

  • El país en crisis.
Al final, un caos total, o como ellos denominaron: "La tormenta perfecta". La sensación es de inquietud más que de tranquilidad, la cantidad de variables que afloran en el escenario es increíblemente alta, EU parece no estar el todo preparado ante algo de esa magnitud, los reportes y las noticias empiezan a aparecer (1, 2).
- FEBRERO 17 -
Se comenta el suceso (1), pero el sentir es general: "La prueba fue un éxito, EU no esta preparado, pero se aprendieron muchas cosas". Diversos expertos participantes y externos coinciden en pensar que la situación es realmente un punto de quiebre para la seguridad nacional. Las respuestas al ataque son simples, pero inviables:

  • Apagar los celulares para evitar la propagación del malware.

  • Bloquear los accesos a Internet de las entidades gubernamentales.

  • Generar parches masivos a vulnerabilidades.

  • etc... etc... etc...
¿Cómo hacer que esas medidas tan simples sean puestas en marcha por TODO un país? La potencialidad del "ciberterrorismo" es mayor de lo que se cree. Al final, todo se termina convirtiendo en una reunión de lideres para buscar un plan.
Pero... Y en Colombia ¿Qué? Es duro ver que la brecha digital se convierte ahora en una brecha de seguridad nacional, pero es aún más doloroso ver que seguimos estando por detrás, aunque tenemos tanta gente capacitada. ¿Será que algún día tendremos una agencia de seguridad para el ciberespacio? Amanecerá y veremos... Tal vez.