Confesiones de un hacker

Si uno se encuentra a Marco Lux en un café o en un restaurante, nadie pensaría que es una persona peligrosa. Sin embargo, su laptop (que sólo tiene como característica peculiar una pequeña antena que bien podría pasar como una vieja tarjeta para recibir señal WiFi) tiene las herramientas suficientes para conocer lo que las personas en una sala, café u oficina hacen en internet, qué sitios web visitan y cuál es el contenido de los mensajes que intercambian.

Marco Lux, cofundador de la consultora Cure Sec , es lo que se le denomina un hacker de sombrero blanco. Es decir, una persona dedicada a infiltrarse en las computadoras y los sistemas informáticos de las organizaciones para detectar vulnerabilidades e informar a los afectados para que las remedien, evitando que hackers malignos (cibercriminales) roben información o causen algún daño a los datos de las empresas.

"Existen dos tipos de ataques contra las comunicaciones y la infraestructura digital de una organización: el ataque masivo y el ataque personalizado", dijo Lux durante su sesión del evento The Be Mobile Conference, realizado en la ciudad de Miami y organizado por la empresa BlackBerry.

El ataque masivo normalmente aprovecha las debilidades de software o sistemas operativos que no están actualizados, "tomemos por ejemplo el caso de Heartbleed , una vulnerabilidad en el protocolo OpenSSL, descubierta en abril de este año pero que tenía años existiendo. Aunque los ataques por causa de esta vulnerabilidad fueron muy pocos, potencialmente pudieron atacarse miles de servidores web".

Otro tipo de ataque es el dirigido a una organización en específico, "también conocidos como Advanced Persistant Threat (APT) , que consisten en piezas de software malicioso destinadas a penetrar silenciosamente la infraestructura de una empresa para obtener información de valor económico, o para dañar algún equipo", señaló el experto.

Un ejemplo conocido en la comunidad de seguridad digital es el malware Stuxnet , "que fue creado para dispersarse dentro del complejo de investigación nuclear iraní de Natanz, con el fin de acelerar ligeramente una centrífuga de material radioactivo y así suspender el procesamiento del elemento, que potencialmente se usaba para fabricar armas nucleares".

Éste tipo de ataques son poco comunes debido a que requieren una sofisticada cantidad de habilidades, "se necesita la colaboración de equipos especializados capaces de programar diferentes piezas de malware para  infiltrarse, contagiar y controlar las computadoras objetivo”, mencionó Lux.

Este tipo de ciberataques, explica el hacker, requieren de millones de dólares en inversión y el trabajo de decenas de personas, algo que de momento sólo está al alcance de gobiernos nacionales y grupos muy especializados.

Sin embargo, el espectro para los ataques dirigidos pronto podría ser mucho más amplio. En febrero de 2014 la empresa rusa de seguridad Kaspersky Lab reveló la existencia de una pieza de APT llamada The Mask. El código fue detectado en más de 30 países, casi todos en América Latina, lo que indicaría un ataque proveniente de alguna nación de la región.

 De hecho, Marco Lux indicó que "de momento este tipo de ataques sólo están destinados a objetivos de interés militar, pero es posible que en los años por venir, empresas o grupos terroristas puedan usar las APT para atacar objetivos de interés económico y también político. Más aún, el peligro es que el uso de estas herramientas puedan causar consecuencias en el mundo real como represalias armadas o boicots económicos".

Ataque portátil

Pero no solo las grandes empresas pueden caer víctimas del robo de datos; los ciudadanos comunes pueden ser objeto de otro tipo de ataques, menos sofisticados pero no menos dañinos. Durante su presentación, Lux fue capaz de recrear un ciberataque para extraer información personal y privada de los usuarios conectados a una red.

Con su laptop, el experto creó una red inalámbrica falsa de acceso público con el nombre de “WiFi Gratis”, para atraer internautas y mediante programas conocidos como sniffing conocer el tipo de sitios web que visitan y la información que comparten en la red.

La mayor parte de los usuarios de Internet se conectan a redes inalámbricas sin usar programas de seguridad, "la gente no sabe que, si el servidor web con el que se establece comunicación no tiene medidas de cifrado, es posible que un tercero pueda interceptar el contenido de dichas comunicaciones", explicó Lux.

Por el momento, las posibilidades de intercepción están limitadas a redes WiFi, pues infiltrarse vía celular es más complicado debido a que los protocolos de comunicación no son de dominio público.

"Actualmente hay una fragmentación en la industria de las telecomunicaciones móviles, por un lado están los fabricantes de teléfonos y dispositivos móviles; por otro lado quienes hacen la infraestructura y la operan", señaló Alex Manea, gerente de Servicios de Seguridad de BlackBerry. Esto hace que la información de los usuarios pase por puntos donde al cambiar de protocolo de comunicación o de red, quede expuesta su información a ser interceptada.

¿Cómo resolver el problema? Los expertos señalaron que una primera solución sería que un fabricante se encargara de todo el ecosistema de telecomunicaciones. Sin embargo, debido a que la enorme mayoría de los usuarios y proveedores usan productos de diversas marcas, Lux recomendó recurrir a mecanismos de cifrado como el uso estandarizados de redes VPN dentro de los ambientes empresariales.

“Asegurar la integridad de nuestras comunicaciones puede sonar complejo pero, quienes desean robar nuestra información suelen recurrir a los eslabones más débiles; es preciso evitar ser uno de ellos", advirtió el hacker.