Jorge Atton recuerda que cuando asumió como asesor presidencial de ciberseguridad, esto no era tema. Meses antes, el Banco de Chile había sufrido un millonario ataque. El gobierno encendía las alertas, y se nombraba al también exsubsecretario de Telecomunicaciones a cargo. Y se empezó a avanzar..., aunque los hackers lo hicieron más rápido. Hoy, se estima que existen más de 1.300 ataques por minuto en Chile. Solo este mes, se han levantado alertas del Banco Estado, Banco Falabella, Zimbra, SII, Banco de Chile, Latam, Lippi, y La Martina. Es apenas una pincelada del total. Son las empresas que voluntariamente reportan al Equipo de Respuesta ante Incidentes de Seguridad Informático (Csirt) del gobierno, un dedal del panorama real.
Según la firma israelí Check Point, solo en una semana de marzo se reportaron 1.116 ataques por organización en el país. Dos semanas después, ese dato subió a 4.245 promedio; es decir, casi se cuadruplicaron las denuncias.
'En Chile se ha visto un alza exponencial en la cantidad de ataques e intentos de vulneraciones a sistemas, tanto del sector privado como del sector público', dice Atton.
Desde el Csirt refrendan esa información: 'Desde el segundo semestre de 2022, hemos visto un incremento en el número de ataques que han afectado tanto a servicios públicos como a instituciones del sector privado que son proveedoras del Estado', asegura el coordinador Nacional de Ciberseguridad, Daniel Álvarez.
La semana pasada se conoció puntualmente el caso de GTD. El ataque fue detectado el 23 de octubre, y causó la caída de sistemas de al menos 12 servicios públicos, algunos críticos. En total, fueron afectadas más de 3.000 entidades. Y, extrañamente, la alarma inicial no vino desde Chile. Conocedores aseguran que fue España quien alertó que el país estaba sufriendo un ataque potente a un proveedor crítico. Se trataba de un ransomware que se había creado recién en abril. Ese mismo mes fue atacado Sonda. Se había insertado un malware que cifraba archivos. Pedían —trascendió— un rescate de US$ 2 millones.
Hoy, no hay dos miradas: Chile está sumamente atrasado en la materia. Por ello, existe una normativa en trámite. Salvo las entidades del sector financiero, las empresas no están —en su gran mayoría— en línea con las exigencias mínimas.
El abogado especialista en derecho tecnológico y fundador de Data Legal Consulting, Matías Rojo, revela que hace ocho meses hubo un seminario sobre directorios y ciberseguridad. Fueron aproximadamente 40 directores de grandes compañías. Solo tres estaban a caballo en el tema. 'El resto decía algo como que ‘a estas alturas del partido no voy a aprender de este tema, y a lo sumo voy a recomendar que hagamos capacitaciones'', señala. Y añade: 'Estas no son decisiones de la alta gerencia, sino del directorio'.
Expertos concuerdan en que existe un amplio abanico de compañías que están esperando que salga la ley de ciberseguridad para actuar, dado que cumplir con los estándares les permitirá reducir multas millonarias —que pueden llegar hasta los 20.000 UTM—, en caso de ser víctimas de un ataque.
'Va a pasar lo mismo que pasó con la Ley de Delitos Económicos. Al final, cuando aparece la normativa, se activan las compañías', dicen en el sector. 'Ya no es un tema de incertidumbre. Cada día es una cuenta regresiva para las empresas que no han sido víctimas. Ya no es duda de si va a pasar o no, la duda es cuándo les tocará. Esto debe provocar un cambio en la forma de ver el riesgo a nivel de directorios', señala Cristián López, fundador y gerente general de Unitti, empresa que ha asesorado a grandes compañías nacionales.
'Los grandes problemas que tienen las empresas se dan porque efectivamente los planes de seguridad no están actualizados o son débiles', destaca Atton. El Iphone —ejemplifica— ha ordenado a sus usuarios cuatro actualizaciones en un mes... y, bueno, hay que instalarlas.
80% de casos internos
Si bien los ataques a empresas tienen décadas (en los 90, por ejemplo, personas intentaban introducirse en los teléfonos fijos para llamar gratis), las invasiones a compañías se incrementaron de la mano de Internet. Hace algunos años eran casos aislados, pero hoy son millones los ataques por segundo a nivel mundial.
Con Internet no hay límites. En la industria lo resumen así: 'Es como si estuvieras en medio de la peor de las favelas con todos tus artículos: un teléfono de gama alta, un computador y tu cartera'.
Matías Rojo explica que el 80% de los hackeos proviene desde dentro de las empresas —los clásicos correos con un enlace falso—. Y el 20% restante son bandas que buscan una vulnerabilidad y penetran.
Cristián López añade: 'El que piense que solo los bancos o plataformas que administran dinero serán los afectados por ataques, no entiende nada. Todo eso forma parte de una gran carretera de millones de pequeños procesos que recorre las redes públicas o privadas, entrenados de manera automática, buscando información que permita ser aceptada en el PC de una persona y que este ingreso consentido permita iniciar un recorrido en el resto de los equipos'.
Las bandas son generalmente de Rusia, Corea del Norte, Bulgaria o China, cuyos IP van cambiando constantemente para no ser detectados. De hecho, cobran millones en dólares o en criptoactivos; prácticamente nada en pesos, a excepción de aquellas que sean nacionales e inexpertas.
El año pasado, por ejemplo, a un estudio jurídico del barrio El Golf le pidieron $3,5 millones por liberar su sistema. Estiman que eran hackers locales.
'Los estudios que se han hecho, sobre todo en Chile, tomando como ejemplo lo que pasó en Europa, dicen que las empresas más atacadas son las que tienen datos más sensibles, como las clínicas. Hoy, el dato de una persona en la ‘dark web' vale US$ 80, y su ficha clínica cuesta US$ 300', señala Matías Rojo.
Un ataque tiene varias etapas. La primera es de reconocimiento e implica buscar víctimas. Por ejemplo, una compañía de seguros. Rastrean a diferentes firmas del sector y empiezan a buscar vulnerabilidades hasta que entran. 'Hemos visto que están entre tres y seis meses adentro, hasta que aparece la alerta pidiendo rescate', destaca el gerente del Departamento de Ciberseguridad de Entel, Rodrigo Hernández. Hoy, el principal ataque y más destructivo es vía ransomware: un software inhabilita el sistema, y es cuando aparece en la pantalla la extorsión.
Pueden pedir directamente dinero para liberar las claves o —peor aún— que ya hayan extraído toda la información y los datos, y que extorsionen para no hacer pública toda esa información.
En gran parte del mundo está prohibido pagarle a los hackers. Al final del día, tampoco es un buen negocio. Matías Rojo relata que conoció a un chileno que pagó $300.000 por ser liberado. 'Le pregunté si había parado ahí, y me dijo que no: pasó del banco que estaba en Hong Kong a uno en Francia. Y así, toda la semana. Después de eso, dejó de pagar, pero estaba aterrado'.
'Hoy, todos tenemos claro que en algún momento nos van a atacar. No podemos pensar que podamos competir contra los rusos, los chinos, los norcoreanos. Entonces, tienes que estar preparado', dicen en Entel.
Sumando hackers
Al igual que el ataque, la defensa también tiene etapas: primero, identificar qué están atacando; luego, la contención para que no se propague; después, la erradicación, y, finalmente, la recuperación del servicio, donde lo clave es contar con los respaldos de los sistemas. Hace unos meses, la empresa de turismo Cocha sufrió el ataque de dos servidores en un data center físico. Finalmente, los reestablecieron desde los respaldos. 'Basta una oportunidad, por mínima que sea, para que entren', señala un ejecutivo del sector informático. 'Y así, más que preocuparse de que no entren, hay que ocuparse de qué tan protegido estás cuando entren, y de qué manera te recuperas cuando te atacan', añade.
Existen diferentes tipos de hackers: los script kiddie, que son los iniciales; los hackers propiamente tal, y luego las bandas. Por el lado de las empresas, parte de la defensa viene de los mismos hackers.
Entel comenzó en 2015 a prepararse en esta área. Hoy trabaja con dos grupos internos de hackers: los blue team, jóvenes que saben de hacking y trabajan para erradicar las amenazas; y los read teams, de seguridad ofensiva, que permanentemente están intentando hackear la empresa para probar sus vulnerabilidades. 'Tú puedes hacer ejercicios mezclados', señala el gerente del Departamento de Ciberseguridad de la compañía. En tercer lugar, se pueden contratar ethical hackers externos, para que intenten vulnerar la defensa de la compañía y tomar el control.
'Hoy, están creciendo los programas de recompensas, los ‘Bug Bounty'', dicen en el sector. Son empresas de comunidades de hackers que venden este servicio, enrolan a otros, y las empresas les pagan una recompensa si encuentran alguna vulnerabilidad. Su promedio de edad es de entre 18 y 20 años. Y compañías pueden pagar hasta unos US$ 1.000 por una vulnerabilidad crítica. 'Hay muchos chicos en el colegio que ganan miles de dólares con esto', dicen en Entel. De hecho, ellos mismos tienen internamente a dos estudiantes, '¡y son brillantes!', asegura Hernández.
Generalmente, las ofertas de trabajo tras estos perfiles dicen relación con expertos en seguridad ofensiva, seguridad defensiva, especializados en aplicaciones web, etc. 'No vas a informar que estás buscando un hacker', dicen desde una empresa.
Además, hay mucho autodidacta, y ahí las compañías han tenido que superar el paradigma que apunta a universidades y postgrados. En ciberseguridad no hay formación profesional, señala un experto.
En Entel lo relatan así: 'Hace años que dijimos que si la persona tenía las competencias que estábamos buscando, no sería necesario un título. Tenemos varios casos y son chicos excepcionales'.
Y como el 80% de los ataques parte al interior, la capacitación es clave. Que los trabajadores sepan al menos identificar un mail sospechoso. Matías Rojo trabajó varios años en IBM. Cuenta que, al menos una vez al mes, recibía un correo falso desde la jefatura. El mandato apuntaba a fijarse en la extensión del mail, y no solo en el nombre del emisario.
Según un informe de EY, las empresas en Chile gastan 10% del presupuesto de TI en ciberseguridad. A nivel mundial, indican consultoras mundiales, el porcentaje es de 6%. O sea, las compañías chilenas sí invierten, pero dado que el nivel de madurez es tan bajo, la brecha sigue siendo importante. 'Hay que formar mucha gente en este mundo y por eso es que este tipo de servicios, por ejemplo, de hackers freelance, ayuda harto', dicen en el mercado.
Y si el tema sigue siendo precario a nivel de grandes corporaciones, en el caso de las pymes es peor. En España —tercer país más hackeado de mundo—, las cifras indican que el 60% de las pequeñas y medianas empresas atacadas no sobrevive.
Hoy, el Congreso en Chile discute la Ley Marco de Ciberseguridad que —a grandes rasgos— creará una entidad a cargo, exigirá estándares internacionales de seguridad, reportes obligatorios de ataques y establecerá multas. 'El Senado lo aprobó hace algunos meses de manera unánime y existe un amplio consenso en la Cámara de Diputados para despacharlo en las próximas semanas', explican en el Csirt.
En paralelo, avanza la Ley de Protección de Datos Personales..., para muchos, la piedra angular de todo el sistema, o prerrequisito de la Ley Marco. La ciberseguridad protege, justamente, los datos. 'Es como poner la carreta delante de los bueyes', dicen en la industria.
La semana pasada, un grupo de más de 70 abogados firmó una carta que enviaron a la Comisión de Constitución del Senado y a la Segpres pidiendo explicaciones por el atraso en la ley de datos personales que lleva diez años de tramitación. 'Si la protección de datos personales no avanza, tampoco lo hará en forma consistente, la ciberseguridad', señalaban. La misma está en su tercer trámite en el Senado.
En España, leyes de esta envergadura han reducido en 23% los ataques graves. En el intertanto, las empresas intentan tomar conciencia. 'Haber pasado por esto, te obliga a darte cuenta que le puede pasar a cualquiera, que la preparación es doble: hay que estar atentos de que no entren, pero también de qué hacer cuando los tienes', señala el gerente de una empresa atacada. Y da un consejo: 'Hagan la prueba. Prueben levantar sus sistemas desde los respaldos y vean si están diseñados para que algo así pase'.
Es que, si bien la adquisición de productos de prevención se ha duplicado en el año, las empresas —dice el fundador de Unitti— no salen de la mentalidad de negación de que el evento ocurrirá y, por ende, no diseñan plataformas para ser recuperadas cuando pase. 'Cuando llega el día, acuden a sus proveedores preguntando por qué el software comprado no lo detuvo. Yo les digo: ‘no necesitan una alerta de que esto les puede pasar; la advertencia es gratis, les va a pasar'. Toda mitigación será finalmente vulnerada y, cuando eso ocurra, deben estar preparados y entrenado en el actuar'.