Los ataques DDOS como un arma de extorsión
Uber acaba de revelar que en octubre de 2016 fue blanco de los hackers. Según trascendió, los datos personales –nombres, correos electrónicos, números telefónicos— de 57 millones personas en todo el mundo, entre usuarios y conductores de la plataforma, fueron robados como consecuencia del ataque. Hasta ahora, la empresa había conseguido mantener oculto el hackeo del que fue víctima. De acuerdo con la cadena de noticias Bloomberg, ello se debió a que Uber se habría doblegado a la voluntad de los piratas informáticos y habría accedido a pagar una suma cercana a los U$100,000 a cambio de que se eliminara la información y se mantuviera el hecho en secreto.
La noticia es solo el caso más reciente de una realidad que preocupa cada día más al sector corporativo: la utilización de los ataques cibernéticos como una herramienta de extorsión a las compañías. 2017 ha sido tal vez el año donde esta problemática ha alcanzado su pico más alto, copando incluso las portadas de la gran prensa mundial. En mayo, vimos la irrupción del programa malicioso conocido como Wannacry, que mediante sistemas de encriptación tomó como rehén la información de más de trescientas mil computadoras alrededor del mundo y exigió el pago de un rescate a cambio de la liberación. Colombia no estuvo exenta de caer dentro de la órbita dañina del Wannacry. El Centro Cibernético de la Dijín informó que se reportaron 37 casos de afectación con ese programa malicioso, y asimismo emitió la alerta de no acceder a las peticiones de pago de los piratas informáticos.
Sin siquiera el mundo haberse sobrepuesto a los estragos ocasionados por Wannacry, a finales de junio se expandió por la red un nuevo ataque con fines extorsivos. Esta vez, la grieta que hallaron los hackers estaba en unas viejas versiones de Microsoft Windows. Aunque el foco del ataque fue inicialmente una serie de computadoras ubicadas en Ucrania, la onda se propagó en cuestión de horas por 64 países, afectando a grandes compañías como el banco BNP Paribas y la gigante farmacéutica Merck. El modus operandi fue a grandes rasgos el mismo de Wannacry: secuestrar la información y buscar canjear su liberación por una suma específica.
Las criptomonedas y su relación con el hackeo extorsivo
Aunque el empleo de los ataques cibernéticos como herramientas de extorsión no es algo inédito en el campo informático, sin duda estamos viviendo tiempos en los que aquella práctica está alcanzando niveles alarmantes y en los que nadie –absolutamente nadie- con presencia digital está exento de caer en el blanco de los hackers. Varias son las causas que explican ese incremento. Menciono una de las más importantes: el auge que han tenido en el mundo las criptomonedas, especialmente el ‘bitcoin’. Éste viene siendo el método de pago preferido por los hackers para recibir el pago de extorsiones debido a las ventajas que otorga en términos de secretismo y difícil trazabilidad. En ese sentido, uno de los efectos colaterales e indeseados del boom de las criptomonedas es que ha facilitado la delincuencia informática y hasta cierto punto ha garantizado la completa impunidad tras el velo del anonimato. “Los ataques tipo Ransomware era algo que existía antes del bitcoin”, dijo hace poco en una entrevista Nathaniel Popper, periodista del New York Times experto en finanzas y tecnología. “Pero, para ponerlo en jerga tecnológica, no había escalado sin el bitcoin. Antes, alguien habría tenido que tener una orden de pago y enviarla físicamente por el mundo. Eso no era algo fácil de hacer. Ahora, con el bitcoin, tú puedes enviar U$500 al secuestrador de tus archivos en Ucrania o Rusia. Aquella transacción tarda unos 20 minutos”.
Nótese el círculo vicioso que pone de relieve lo que plantea Popper: la práctica de la ciberextorsión aumenta porque los hackers encuentran no sólo facilidades para la gestión del pago, sino también compañías dispuestas a pagarles. De acuerdo con el periódico The Guardian, ya algunas grandes entidades financieras en el mundo (uno de los tipos de corporaciones más golpeadas con este tipo de conductas) han ido constituyendo una reserva de bitcoins, destinada principalmente para acceder a las demandas económicas de los hackers en caso de un ataque. De alguna forma, han llegado a la triste conclusión de que les resulta menos oneroso doblegarse a las peticiones económicas que soportar el costo de un secuestro o eventual robo de sus datos más preciados. Aquella decisión resignada es cuestionable en términos legales y profundiza el círculo vicioso que mencionaba hace un momento en la medida en que incrementa los incentivos para incursionar en la delincuencia informática. Y aunque parezca una solución pragmática, aquello es solo un espejismo de verdad: porque una vez se accede a la extorsión, la compañía adquiere la reputación entre los hackers de “sujeto dispuesto a pagar”, lo cual en últimas lo vuelve más proclive de sufrir nuevos ataques en el futuro. Además de lo anterior, doblegarse a las peticiones económicas de los hackers también parte de una premisa equivocada: creer que no existe barreras informáticas para mitigar los efectos de un ataque cibernético y contrarrestarlos llegado el caso.
La extorsión y los ataques DDOS
Al lado de los softwares maliciosos que secuestran información y exigen un pago a cambio de su liberación (los conocidos como ataques ransomware), y los robos de información como del que fue víctima la compañía UBER en días pasados, están los ataques DDOS. Como hemos explicado en ocasiones pasadas, estos ataques afectan la disponibilidad de una página o un servicio a partir de la sobresaturación en su tráfico.
Pues bien, la utilización de estos como herramienta extorsiva en la web también se ha incrementado en los últimos años. En 2014, un grupo de hackers que se hacía llamar DD4BC (“DDOS for Bitcoin”) entró en contacto con unas 140 compañías y les exigió un pago bitcoins, so pena de verse objeto de un ataque de denegación de servicio (DDOS). Si hacemos la conversión a dólares, el rango de las sumas exigidas oscilaba entre los U$4.000 y los U$78.000. Según reportó la compañía Akamai, quienes no se avinieron a la solicitud de pago sufrieron ataques. Algunos incluso aceptaron el desembolso de bitcoins al ver los estragos ocasionado por el ataque, cuando constataron que la amenaza iba en serio.
En la medida en que se han incrementado el universo los ataques DDOS a nivel mundial, también han ido aumentado aquellos que se ejecutan con una finalidad económica. Según un reporte de agosto de 2017 emitido por Kaspersky Lab, el modus operandi sigue siendo similar al empleado por el grupo DD4BC en 2014: una amenaza previa antes de inundar los servidores a través de un tráfico masivo. Sin embargo, también se han detectado casos en los que la amenaza viene acompañada de una especie de abrebocas de lo que sería el ataque DDOS definitivo. Básicamente, lo que hacen es sobresaturar los servidores en un lapso muy corto de tiempo a manera de muestra preliminar. Esta técnica busca exhibir poder, amedrentar a la compañía atacada y, en últimas, doblegar más fácilmente su voluntad de pago.
Ninguna empresa con presencia digital está exenta de sufrir este tipo de asedio. Muchos menos ahora, cuando los ataques DDOS crecen cada día a un ritmo exponencial. Y aunque ni nosotros ni absolutamente ninguna empresa de ciberseguridad puede evitar en un 100% que las empresas caigan en el blanco de los hackers, sí hay formas de ser menos vulnerable a esta clase de operaciones maliciosas. En internet.com.co contamos con las herramientas y el personal capacitado para mitigar los riesgos que supone la presencia activa en el mundo digital. La protección cibernética no es un lujo sino una necesidad, una inversión y no un gasto. Los protocolos que aplicamos a nuestros clientes para evitar y responder a los ataques DDOS resultan a todas luces muchos más efectivos y económico que someterse a las demandas extorsivas que, llegado el caso, pueden hacer los piratas de la red.
