Correo no leído en la bandeja de entrada. Es del jefe.
– Hola. Necesito tu ayuda para una operación financiera confidencial. ¿Puedo contar con tu discreción? (Tenemos que hablar solamente por email). Cordialmente.
– Por supuesto, cuenta conmigo absolutamente. Ya me indicarás. Abrazo–, contestas, sin dudar.
El problema acaba de entrar en tu organización.
Por la parte más débil de la cadena: la persona que trabaja detrás de la pantalla, el empleado que nunca sospecharía que el primer correo no se lo ha mandado el de arriba. Tampoco un bandolero informático con capucha, deportivas y acné. Alguien ha detectado un fallo de seguridad (un hacker) y pretende usarlo, ya sea para su propio beneficio o para el de la entidad, privada o gubernamental, que lo ha contratado. “Se conoce como phishing a la suplantación de identidad con el objetivo de obtener información confidencial o conseguir que un tercero realice una acción no autorizada”, expone David Barquero, responsable de Risk Advisory especializado en Ciberseguridad de Deloitte. Los correos mencionados anteriormente son reales, detectados por el Instituto Nacional de Ciberseguridad (Incibe), y son la punta de lanza del llamado Fraude del CEO. “Es un tipo de phishing avanzado, basado en el estudio minucioso de una compañía y su día a día, y perpetrado luego con la ayuda de las últimas tecnologías, como la imitación perfecta del tono de voz, e incluso el acento, del ejecutivo que se quiere suplantar, vía software avanzado”.
Hay una guerra. Y hoy, en medio de una pandemia global que ha segado más de millón y medio de vidas. Con un monstruoso botín económico y político, de ahí los miles de ataques a las empresas que ha desarrollado, en una carrera sin precedentes, un remedio para ponerle freno. “Mientras los gobiernos se preparan para sacar las nuevas vacunas, las organizaciones delictivas planean infiltrarse en las cadenas de suministro, o perturbarlas”, alertó esta semana el director general de la Interpol (International Criminal Police Organization, la mayor organización de policía internacional), Jürgen Stock. “Es fundamental que los organismos encargados de la aplicación de la ley estén lo más preparados posible para lo que será una avalancha de todo tipo de actividades delictivas vinculadas a la vacuna”, razón que ha llevado a esta entidad a publicar una alerta mundial. La actividad criminal de hackers durante la pandemia ha alcanzado cotas “sin precedentes”.
Esta semana tocó en Biofabri, filial del grupo biofarmacéutico Zendal. Es la compañía elegida por la americana Novavax para la producción industrial del antígeno de su vacuna contra el Covid-19 en la Unión Europea. Si fue víctima de un ataque con el fin último de socavar sus progresos en la producción del medicamento es un aspecto que habrá de dirimir la investigación judicial. Por lo pronto, los piratas sustrajeron a la empresa más de nueve millones de euros con el timo del CEO. El responsable financiero, confiado de que recibía instrucciones de la dirección general, realizó más de una veintena de transferencias bancarias a la red criminal, que utilizó el Covid de pretexto para abrir un socavón en su sistema (y en los fondos propios). “Este tipo de ataques suelen venir desde fuera, no son domésticos. Otra cosa es saber si el responsable final” está cerca, exponen fuentes conocedoras de las pesquisas. Será una investigación “lenta y compleja”, que tratará de seguir los rastros digitales y económicos del fraude para encontrar a los culpables, que “dependen mucho de redes datos de terceros países”.
¿Quiénes son?
Ivette Bolívar es fundadora de la y Mujer Hacker, divulgadora en materia de ciberseguridad y prevención de ciberdelitos. “En el caso concreto de Zendal, estamos hablando claramente de un ataque dirigido específicamente contra ellos y ejecutado por algún tipo de organización criminal. Un solo cibercriminal no sería capaz de ejecutar un ataque tan complejo como éste. Los ataques de este tipo suelen ser realizados por redes criminales organizadas o por APT”, siglas de Advanced Persistent Threat (Amenaza Alvanzada Persistente). Conocida hacker y defensora a ultranza de su trabajo e importancia en el mundo actual, acota que los APT “son un sofisticado ciberataque que se realiza de forma continuada en el tiempo”, y también se refiere a “aquellos grupos, normalmente patrocinados por los estados, que son los responsables de la realización de campañas maliciosas contra objetivos muy específicos (otros estados, industrias, comercios, infraestructuras críticas, etc). “Cualquier persona dentro de una organización puede ser el trampolín perfecto en un ataque dirigido”. Zendal ha recuperado la mayor parte del dinero estafado; su partner, Novavax, vale treinta veces más en Bolsa que hace un año.
No hay romanticismos en esta historia. Es dinero y poder. Escaramuzas sin sangre.
“Internet es el campo de batalla del siglo XXI. En la actualidad estamos viendo el ataque de organizaciones criminales en grandes infraestructuras en todo el mundo”, continúa Bolívar. Cuando el COVID era en apariencia cosa de China, y de lejos, Bloomberg divulgó en su web un informe de MarketsandMarkets sobre el mercado de las vacunas. Estimaba que alcanzaría un valor de casi 50.000 millones de euros para 2024, y para enfermedades como la gripe, la varicela, la polio o el rotavirus. Analistas como Josh Schimmer, de Evercore ISI, han calculado unos ingresos de 83.000 millones para las grandes farmacéuticas, solo con los antídotos frente al Covid, con 33.000 millones de beneficios.
Como ha apuntado Mark Kedleyc, de New Net Technologies, “la propiedad intelectual ligada a los productos farmacéuticos de gran alcance tiene un inmenso valor para los cibercriminales”, más allá del evidente componente económico de estas prácticas. Por eso la mayoría de expertos señala a Estados-nación como los responsables del hackeo criminal y masivo a la vacuna contra este coronavirus. Por su sofisticación. “Los actores estatales y no estatales intentan usar cualquier situación para obtener ventajas, ya sean políticas o financieras. Habría sido inconcebible que los esfuerzos relacionados con el Covid no fueran un objetivo”, apuntó a The Wall Street Journal el analista Brett Callow, de Emsisoft. Los señalados son tres: China, Rusia y Corea del Norte. Pero no hay pruebas contra ellos.
Ya fueron señalados por Microsoft por bombardear las investigaciones de Canadá, Francia, India, Corea del Sur y Estados Unidos. Los piratas rusos lo hicieron a través del grupo conocido como Strontium; los norcoreanos, desde Zinc y Cerium.
“La firma tecnológica IBM declara haber descubierto una campaña global de phishing dirigida a organizaciones asociadas con la cadena de distribución de frío de la vacuna del Covid-19, cuya finalidad principal sería el robo de contenedores de vacunas para venderlos en el mercado negro”. Se refiere Ivette Bolívar a una investigación divulgada la pasada semana por X-Force, el equipo de ciberseguridad de la informática norteamericana. El logístico será un reto mayúsculo para la distribución del medicamento, que debe conservarse a muy baja temperatura; los gigantes farmacéuticos tienen potentes sistemas de ciberseguridad, pero los de empresas de distribución o almacenaje podrían ser un blanco fácil.
Modus operandi
La analista senior de IBM Claire Zaboeva explicó esta semana cómo se perpetró una de las emboscadas de hackers a empresas de la cadena de frío de la vacuna. El pirata “se hizo pasar por un ejecutivo comercial de Haier Biomedical”, un miembro cualificado de la Plataforma de Optimización de Equipos de Cadena de Frío (Cold Chain Equipment Optimization Platform, CCEOP) de The Vaccine Alliance. “Envió correos de phishing, creemos que con el propósito de obtener credenciales para obtener acceso no autorizado en el futuro a redes corporativas e información confidencial relacionada con la distribución de la vacuna”, añadió Zaboeva. “Los objetivos incluyeron la Dirección General de Impuestos y Unión Aduanera de la Comisión Europea, así como organizaciones dentro de los sectores de energía, fabricación, creación de sitios web y software y soluciones de seguridad de internet”. La investigación del grupo X-Force no ha podido determinar si el equipo de hackers, promovido también por actores estatales, logró su objetivo. De haber sido así, tendrían en su poder “información sobre la infraestructura que los gobiernos pretenden utilizar para distribuir la vacuna”. Información crítica. Un tesoro. Datos que pueden afectar “a la economía mundial. Es poco probable que los ciberdelincuentes dediquen el tiempo y los recursos necesarios para ejecutar una operación tan calculada con tantos objetivos interconectados y distribuidos globalmente” si no tienen detrás el respaldo y las órdenes de un gobierno.
Asegura la fundadora Comunidad Ética Hacker que “los ciberataques dirigidos al sector de la atención médica, y que se aprovechan de la pandemia, no son nuevos. De manera reciente, los atacantes utilizaron herramientas de ransomware (malware que secuestra y roba la información de las empresas) para crear caos e incluso obtener beneficios económicos de hospitales y organizaciones de atención médica en Estados Unidos”. Desvela más. “A inicios los hubo dirigidos al Hospital Universitario Brno en la República Checa, al sistema hospitalario en París, a los sistemas informáticos de los hospitales en España, a hospitales de Tailandia e incluso a organismos internacionales como la Organización Mundial de la Salud. En Alemania, una mujer en Dusseldorf se convirtió en la primera muerte conocida como resultado de un ataque cibernético a un hospital que logró desconectar sistemas vitales”. Inutilizaron los sistemas informáticos del hospital Universitätsklinikum Düsseldorf, encriptaron 30 de sus servidores y obligaron al cierre de quirófanos. La mujer fue trasladada de urgencia a un centro de Wuppertal para recibir soporte vital, pero no llegó a tiempo.
Los hackers buenos son más necesarios que nunca. “Tenemos que sentirnos orgullos de nuestra cantera de hackers en España”, remata Ivette Bolívar. “Son referencia en materia de ciberseguridad. Estudian de forma muy apasionada y concienzuda los ciberataques, las defensas de las que disponemos, las estructuras, la tecnología, avisan de fallos, desarrollan técnicas de mejora y son los que nos protegen, ven más allá y mejoran las tecnologías para que estemos más seguros. Hay que apoyarlos y valorarlos por lo que son realmente: Superhéroes de nuestro mundo digital”.
