Por: Dra. Flory Anette Dieck Assad

El domingo 10 de noviembre del 2019 fue estremecedor para Pemex quien sufrió ataques cibernéticos afectando, según datos oficiales, a cerca del 5% de los equipos personales de cómputo, lo que nos invita a reflexionar más seriamente sobre la ciberseguridad.   

Pemex como la mayoría de las empresas, confían en que las innovaciones tecnológicas podrían incrementar la productividad de los negocios, optimizar procesos productivos, beneficiar el emprendimiento, apoyar a las Pequeñas y Medianas Empresas (PYMES), acercar zonas marginadas y rezagadas al desarrollo económico, mejorar los servicios gubernamentales, incrementar la competitividad e incrementar el bienestar del consumidor a través de mejores y más variados bienes y servicios, entre otros. Sin embargo, esta innovación que contribuye al bienestar de la humanidad, podría también herir y hacer daño, por lo que sería importante dirigir la fuerza disruptiva de la innovación hacia la mejora continua de la ciberseguridad. 

Un rescate desorbitante- De acuerdo a Bloomberg los secuestradores de las computadoras de Pemex solicitaban un rescate por 565 bitcoins que equivalen aproximadamente a 5 millones de dólares. 

Ante un ecosistema de innovaciones que aparecen vertiginosamente en este siglo, la “seguridad tecnológica” está también convirtiéndose en un concepto sofisticado gracias a la Inteligencia Artificial (IA) y el aprendizaje automático de las máquinas (machine learning).  Sin embargo, se debe estar consciente que en la medida de que el mundo cibernético innova, el ecosistema criminal cibernético le sigue muy de cerca sus pasos. 

Los “hackers” que se definen como “ciberpiratas”, “secuestradores digitales”  o “intrusos de la informática” también se están innovando y perfeccionando continuamente. Hemos sido testigos de las noticias falsas que se han generado con el uso de la  IA, el robo de criptomonedas, ataques con robo de información a las nubes electrónicas donde las empresas guardan los datos de sus clientes. Entramos a la era de la “guerra cibernética”, que será sin duda, el mayor dolor de cabeza del siglo XXI. 

Así como la innovación está en un proceso cambiante, también lo están aquellos que se dedican a atacar sistemas digitales. La intención de este artículo es la de cuestionar si estamos seriamente considerando este problema, tomando las acciones adecuadas y revisando si estamos en realidad adelantándonos a los posibles ataques perpetrados por mentes criminales. 

Nueva estrategia de hackers 

Recientemente los usuarios de sistemas computacionales han reconocido que una simple contraseña es un candado que ofrece seguridad de muy bajo nivel, por lo que los expertos sugieren incluir un mensaje de texto o llamada al teléfono móvil del usuario, si se sospecha que pudiera existir un ataque cibernético. 

Ante esta acción de autenticación de seguridad de dos pasos, las mentes criminales creativamente diseñaron la estrategia de ataque conocida como “SIM swapping” o “SIM duplicada” o “Intercambio de SIM” (Subscriber Identity Module, que es el chip donde está almacenado el número telefónico del cliente). 

Cuando un cliente se identifica con su compañía telefónica diciendo que ha perdido su SIM o que se lo han robado, o en el caso de que deseara cambiar ese SIM a un nuevo teléfono celular, su prestador de servicio telefónico le otorga un nuevo SIM. Y ahí se encuentra la vulnerabilidad del cliente.

Según los expertos, el proceso criminal se realiza de la siguiente forma:  

1. El hacker recauda fraudulentamente información personal de la víctima a través de diferentes medios (correo electrónico, llamadas telefónicas, redes sociales, etc.).
2. El hacker contacta a la compañía proveedora de servicios telefónicos de la víctima y usa técnicas para convencer a la compañía telefónica que tuvo que cambiar el teléfono y necesita un nuevo SIM, que en este caso sería el SIM fraudulento. Esto lo pueden hacer mediante suplantación de identidad utilizando datos personales de la víctima y asegurándole a la compañía telefónica que perdió su teléfono celular. 
3. El teléfono de la víctima pierde contacto con la red telefónica y el hacker es el que recibe todos los mensajes SMS (Short Messages Services o Servicios de mensajes cortos) y las llamadas telefónicas dirigidas a la víctima. Así el hacker intercepta todas las contraseñas que le envíen ya sea por textos, o por llamadas telefónicas, incluyendo contraseñas bancarias así como contraseñas de sus cuentas de redes sociales (Instagram, facebook, etc. ), y de todas aquellas cuentas o aplicaciones que se basen para su funcionamiento en un mensaje de texto o en una llamada telefónica para verificar la autenticidad del usuario. 
4. La velocidad de este proceso es impresionantemente rápida.

Una de las más famosas víctimas de este método de fraude fue el cofundador y CEO de Twitter, Jack Dorsey. El hacker logró obtener un duplicado de la SIM de Jack Dorsey, por lo que pudo tener acceso a su cuenta de twitter. En este caso el ataque criminal se manifestó con en el envío de mensajes ofensivos y racistas a través de su cuenta de Twitter (@jack).

Uno de los casos más conocidos de vulnerabilidad son las cuentas de correo electrónico Gmail. El hacker dice que “olvidó su contraseña”, entonces Google permite restablecer la contraseña si se asocia a un número telefónico a donde le manda nuevamente la contraseña mediante un mensaje de texto (SMS) que es recibido por el hacker que le permite entrar a la cuenta de correo electrónico de la víctima. Una vez adentro de una cuenta de correo Gmail, el hacker bloquea la entrada a su correo electrónico del dueño real de la cuenta; mientras que la víctima reporta que no puede entrar a su cuenta creyendo que su teléfono móvil perdió señal y busca como solucionar el problema, el hacker ya está navegando en la cuenta de la víctima buscando evidencia de cuentas bancarias, financieras, criptomonedas (digital wallet), etc. 

Las empresas deben incrementar su ciberseguridad, pero también están involucrados en este proceso las operadoras telefónicas y los bancos. 

Una operadora telefónica debe incrementar los requerimientos de los usuarios que soliciten un duplicado de su tarjeta SIM, exigiendo varias pruebas de la identidad del usuario. Por su parte las entidades financieras, bancos y cualquier plataforma que busque utilizar el sistema de mensajes SMS para verificación de seguridad de un usuario, debe estar alerta y conocer  su vulnerabilidad. 

La IA en la ciberseguridad  

El Instituto de Tecnología de Massachusetts (MIT, por sus iniciales en inglés) en sociedad con Hewlett Packard, realizaron una investigación para identificar la línea de pensamiento de las empresas respecto a la utilidad de la IA para reinventar su ciberseguridad. 

Los resultados de este estudio realizado en el 2019 y publicados en el MIT Technology Review Insights, aseguran que el “69% de las 303 organizaciones entrevistadas, están seguras de que solo podrán responder a las amenazas criminales cibernéticas mediante la IA“. Ellos consideran que la IA ofrece las herramientas para analizar grandes cantidades de información a través de algoritmos derivados del aprendizaje automático de las máquinas (machine learning). De esta manera se apoyarían para encontrar patrones e identificar posibles caminos por donde un ciberataque podría surgir. Asimismo, la IA podría sugerir a los tomadores de decisiones el cómo anticiparse a un posible ataque para responder de inmediato y causar el menor daño posible. 

Reto en las empresas

Debemos estar conscientes que en la ola de “innovación tecnológica” navegan tanto hackers éticos como los no éticos. Se esperaría que el software para asegurar la información y comunicación en una empresa se mejore y sea sofisticado, utilizando la IA con el fin de apoyar a eliminar amenazas. Sin embargo, no podemos olvidar que los cibercriminales también se están reinventando con nuevas herramientas para encontrar la mejor manera de infiltrarse y derribar los escudos protectores que hayan construido las empresas contra los ciberataques.

“Las empresas deben mantener en su mira el panorama de las amenazas cibernéticas que están evolucionando con la innovación tecnológica“. Para ello deben adelantarse, estar siempre al tanto de los últimos avances tecnológicos y tener una línea de pensamiento creativo que se mantenga en una “constante reinvención” de las metodologías y prácticas de la ciberseguridad.  

1. ¿Cómo están respondiendo las empresas?
   • 68%—están evaluando diferentes proveedores y nuevas tecnologías 
   • 52%—están optando por entrenar a su personal en cuestiones de ciberseguridad y están en la búsqueda de diseños organizacionales que les permitan ejercer un liderazgo efectivo para obligar a todo el personal en el uso de la ciberseguridad en todos los niveles
   • 44%—están desarrollando sistemas de ciberseguridad internos mediante la contratación de hackers éticos, expertos en seguridad informática, que dediquen su talento a realizar pruebas de penetración y a diseñar protocolos para detectar la vulnerabilidad de sus sistemas de comunicación e información dentro de la misma empresa
   • 37%—están desarrollando una nueva estrategia organizacional de ciberseguridad