Ciberseguridad: Rusia ladra pero no muerde
La ciberamenaza de Rusia se limita, por el momento, a la batalla de la propaganda y comunicación que se libra en las redes sociales y otros medios y fórmulas de información, pero no se ha traducido en ciberataques. O, al menos de momento, no se han incrementado los que se producen de forma habitual. Aunque el CNI ha localizado algunos atacantes, como el grupo APT28, relacionado con una agencia de inteligencia militar rusa, el conocido GRU. En general, en los últimos meses “ha habido un incremento de ciberataques con origen estado pero no un incremento con origen Rusia”, ha puntualizado Javier Candau, jefe de Ciberseguridad del CCN-CERT, la Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional, que pertenece al Centro Nacional de Inteligencia (CNI).
Los ataques rusos se producen de forma constante desde varios grupos y organismos y no son ninguna novedad para el CCN-CERT. Desde el año pasado, tienen identificados a sus atacantes, como el APT28, que durante 2016 realizó varias ataques dentro del concepto “guerra híbrida”, tal y como recoge el CCN-CERT en su resumen ejecutivo con datos de 2016. Este año se han identificado nuevos atacantes, también vinculados con Moscú, como el APT28.
Pero Rusia no es el único país que ataca las redes y sistemas españoles. España recibe ataques “esponsorizados por estados de muchas partes del mundo, de muchas partes de la Unión Europea”, ha destacado Candau, que ha insistido en dejar claro que no tienen dudas del origen de estos incidentes, claramente diferenciados de ataques de otras organizaciones -que, en ocasiones, tratan de suplantar la identidad de los Estados utilizando sus direcciones IP-.
Pero estos incidentes, asociados fundamentalmente al ciberespionaje, no son los mayoritarios en España y tampoco los más peligrosos. Los datos que maneja el CCN-CERT elevan a más de 26.850 los ciberataques que recibirá España en todo 2017 -el 26% más que el año anterior- pero lo más preocupante son los que tienen una peligrosidad “alta o muy crítica”, que se han duplicado respecto al año pasado: en 2017 se alcanzarán unos 1.200, 60 de ellos, de nivel crítico. Además, algunos relacionados con ataques “esponsorizados por Estados”, apunta el jefe de Ciberseguridad del CNI.
Esto supone que “diariamente, se deben gestionar 3,7 ciberincidentes con un nivel muy alto o crítico”, una calificación esta última que indica que “nos ha hecho daño”, bien sea por la información que se ha conseguido con el ataque o por la institución a la que se ha atacado, según ha explicado Javier Candau. Aun así, desde el CCN-CERT han insistido en que estas cifras no solo reflejan el incremento de los incidentes, sino la puesta en marcha de nuevos sistemas de para vigilar este tipo de incidentes gracias a un sistema de alerta temprana que cuenta con 150 sensores.
“Año complicado”: WannaCry y #OperaciónCataluña
El incremento más notable que ha detectado el CCN-CERT, que gestiona los ciberincidentes en sistemas del Sector Público, a empresas y organizaciones de interés estratégico para el país y a cualquier sistema clasificado, ha sido en el campo del cibercrimen y de las comunidades activistas. “Ha sido un año complicado. Hemos tenido varias situaciones de crisis”, como el famoso WannaCry o la reciente Operación Cataluña. “De hecho, lo más relevante de este año han sido los ataques del cibercrimen y el incremento de los ataques de comunidades de activistas”, que están detrás de esa campaña lanzada en redes sociales por el grupo Anonymus tras la aprobación de las medidas vinculadas con la aplicación del artículo 155 de la constitución.
El jefe de Ciberseguridad del CCN-CERT ha asegurado que tienen constatación de que la movilización se vinculó a grupos vinculados a estos ‘hacktivistas’ de todos los países -ninguno vinculado a estados- pero “ninguna notificación de estos ataques recibió el nivel alto”. Sí hubo dos atacantes con “complejidad alta”, ha explicado el subdirector general del CCN, Luis Jiménez. “El impacto real de esta campaña fue nulo ya que eran ataques muy sencillos, con solo dos atacantes identificados con un ‘modus operandi’ y capacidades técnicas que pretendían hacer exfiltraciones SQL”, ha explicado.
Pero los ataques más importantes por número son las intrusiones (ataques dirigidos a explotar vulnerabilidades e introducirse en el sistema), con el 39,67% sobre el total de ataques registrados por el CCN-CERT, y el código dañino (troyanos, spyaware), con el 35,3%. En el primer grupo, está el famoso WannaCry, el ‘ramsonware’ que afectó a 239 direcciones IP antes de que se sacara la ‘vacuna’ contra él, pero hay otro que tuvo un impacto mucho mayor en la Administración y del que apenas se ha conocido nada. El Apache Struts, una herramienta de desarrollo de apliaciones web, afectó de manera severa a varias administraciones públicas.
XI Jornadas STIC CCN-CERT
Este organismo analizará la situación de la ciberseguridad en España en las XI Jornadas STIC CCN-CERT, que se celebrarán el 12 y 13 de diciembre, con 55 ponentes expertos en ciberseguridad y una previsión de unos 1.600 asistentes.