La soledad ante un ciberataque en España

El ciberespacio, ese lugar etéreo formado por una mezcolanza de computadoras, redes informáticas y comunicación digital, cada vez ocupa más espacio en la vida del ser humano. Gran parte de las relaciones, consumo y ocio del Homo sapiens actual se rige bajo las normas de internet y el sistema digital. Pero debajo de toda esa infraestructura se libran batallas. Muchas, de hecho.

Solo en el año 2020 se registraron más de 10 millones de ataques de denegación de servicio (DDoS) según el informe Netscout Threat Intelligence Report, elaborado por la firma NetScout Systems. Suponen un 22% más que en 2019 y este año podría ser mayor. La misma fuente cifra en 5,4 millones los DDoS acaecidos en el primer semestre de 2021.

Basado en la saturación del ancho de banda de un servidor donde se aloja una web para hacer que la página caiga y sea imposible acceder a ella, un DDoS es lo que sufrieron El Salto, La Marea y otros medios alojados en el proveedor de servicios de internet Nodo50 el pasado 19 de noviembre. Fueron cuatro días y medio de batalla en los que quedó claro un hecho: si una empresa privada sufre uno de esos ataques contará con unas fuerzas de seguridad que investiguen el delito y podrá obtener cierto asesoramiento del Instituto Nacional de Ciberseguridad (Incibe), pero está sola a la hora de frenar el ataque.

“No hemos sido capaces de encontrar ninguna institución pública que se dedique a frenar ataques cuando están sucediendo”, apuntan desde Nodo50. Sí existe el Incibe, organismo dependiente del Ministerio de Asuntos Económicos y Transformación Digital, el cual ofrece su colaboración cuando ocurre un ataque, pero su labor se centra en la “facilitación”, como explica Jorge Chinea, responsable del área de Servicios Reactivos del Incibe-CERT, el departamento de gestión de incidentes de ciberseguridad relativos a empresas privadas y ciudadanos del Incibe.

Nacido inicialmente en 2006 como Instituto Nacional de Tecnologías de la Comunicación (Inteco), España cuenta desde entonces con un organismo específico y centrado en la seguridad en el ciberespacio: el Incibe, que cambió su denominación a la actual en 2013. Esta organización comenzó con el objetivo de “contribuir a la convergencia de España con Europa en el ámbito de la sociedad de la información desarrollando proyectos innovadores en el área de las tecnologías de la información y de la comunicación”. Hoy en día sus funciones van desde ser incubadora de empresas, al fomento de la industria de la ciberseguridad, el impulso de estudios relacionados con el área o la concienciación ante las amenazas digitales.

Por decreto

Sin embargo, además de estas labores, el Incibe tiene una serie de obligaciones por decreto. Si bien el Centro Criptológico Nacional Computer Emergency Response Team (CCN-CERT) es el equipo de respuesta a emergencias informáticas que da apoyo a los ataques que sufre la administración pública, y el Mando Conjunto del Ciberespacio hace lo propio en lo referente a cuestiones de defensa nacional, el Incibe-CERT es “el centro de respuesta para incidentes de ciberseguridad para empresas y ciudadanos”, apunta Chinea.

“Dentro del ámbito de empresas, ofrecemos nuestra ayuda y colaboración a aquellas que hayan sufrido un incidente, pero sin sustituir a la empresa privada”, especifica el responsable. El Incibe ofrecería así a las compañías, en caso de ataque, “recomendaciones que deben de seguir para contener, mitigar y recuperarse lo antes posible de ese incidente en base a lo que nosotros observamos a nivel nacional”. 

“En el lado de la empresa habrá alguien que lo tiene que aplicar, nosotros en ningún caso ni vamos a ir a la casa del ciudadano ni a la empresa resolverlo, pero sí prestarle un apoyo”, prosigue. “Aparte de que necesitaríamos ser un ejército infinito, no podemos ir a cada una de las empresas a resolver el problema porque para eso hay un conjunto de empresas privadas que tienen ese negocio por así decirlo”. 

Es lo que ocurrió con el ataque a Nodo50, El Salto y La Marea en el que el Incibe ofreció dicha colaboración y recopiló información sobre el ataque, aunque solo el proveedor de servicios de internet podía ejecutar una respuesta para frenar la agresión y conseguir que los medios afectados pudiesen continuar con su actividad informativa. El Incibe-CERT se erigiría así como base de datos sobre ciberseguridad que podría servir de ayuda para futuros incidentes. De hecho, los operadores críticos y de servicios esenciales, así como los proveedores de servicios digitales están obligados a notificar los incidentes. “Como CERT nacional gubernamental tenemos establecidas redes de contactos con otros países”, relata Chinea. Información como la recopilada en el ataque a Nodo50 podría compartirse desde el Incibe con otros equipos de respuesta ante emergencias informáticas nacionales de otras naciones, datos que estos notificarían a operadores y empresas, en su caso.

Siempre a posteriori

Consultada por El Salto, una experta del sector de la ciberseguridad que prefiere no dar su nombre señala que “la policía y el Incibe no tienen respuesta a incidentes, tienen un tipo de respuesta forense, a posteriori”. De hecho, según su experiencia, “hasta las propias instituciones públicas, cuando reciben un ataque, contratan servicios privados para repelerlo; casi siempre a Telefónica, aunque también a Deloitte y las llamadas big four”, un grupo de multinacionales en el que, además de Deloitte, se encuentran KPMG, Ernst & Young y PwC.

Tras pasar por varias empresas de ciberseguridad, la experta habla de un “déficit público” y, en su opinión, no existe un proceso público real de respuesta ante ataques DDoS como el recibido por La Marea y El Salto, algo que echa en falta. “Lo más parecido es el Incibe y lo que hace es un trabajo más preventivo, de forma forense. Pero están hasta arriba, tienen pocos recursos”. 

En un DDoS, el ataque tiene su origen en unas direcciones IP. “Esas IP pertenecerán a diferentes países, que a su vez pertenecerán al ISP —Internet Service Provider, proveedores de conexión a internet— que a lo mejor está en Hungría, EE UU, Brasil o Turquía”, explica el responsable del Incibe-CERT. “Todas esas direcciones IP, que muy probablemente suelen ser de equipos de ciudadanos o empresas que están comprometidos y ellos no lo saben, que están bajo el control de algún tipo de ciberdelincuente, con todo eso que nos remiten las empresas realizamos una notificación a nuestro homólogo del país correspondiente y a veces al ISP de ese país”, prosigue. “El CERT de Hungría conoce Incibe-CERT, sabe que es una entidad confiable, ve que este le remite una serie de direcciones IP de equipos que han participado en un ataque de denegación de servicio y, a partir de ahí, puede hacer la labor de decirle al ISP de allí: mira, estas IP han atacado a una empresa española, posiblemente sean usuarios que estén comprometidos y pertenecen a tu red de comunicaciones. Por favor, contacta con ellos y diles que sus equipos están comprometidos”.

Asimismo, el responsable explica que, en otras ocasiones, Incibe detecta sistemas más expuestos o vulnerables. “A partir de diferentes técnicas de comprobación, lo que hacemos es detectar cuáles son esos servidores que pertenecen a España, están expuestos y pueden ser comprometidos. Y lo que hacemos luego es notificarles que tienen, por ejemplo, un servidor Exchange que es vulnerable y sabemos que están explotándolo para lanzar otros ataques: por favor, parchéelo lo antes posible porque si no la seguridad de sus  organización se puede ver comprometida”.

Asesorar, no ejecutar

Dar pautas y asesoramiento, así como coordinar y recopilar información para ayudar en futuros ataques, pero no frenarlos, algo que quedaría en manos de la persona o empresa afectada. Esa sería la función de Incibe-CERT aunque, como remarcan desde Nodo50, el Real Decreto-Ley 12/2018 de Seguridad de las Redes y Sistemas de Información especifica que “el INCIBE-CERT será equipo de respuesta a incidentes de referencia para los ciudadanos, entidades de derecho privado y otras entidades […]”.

Tampoco lo harían los cuerpos policiales del Estado. La Brigada Central de Investigación Tecnológica de la Policía Nacional tiene como misión “obtener las pruebas, perseguir a los delincuentes y poner a unas y otros a disposición judicial”. Son labores similares a las que se dedica el Grupo de Delitos Telemáticos de la Guardia Civil. Solo podrían truncar un ataque si durante la investigación dan con el responsable actuando, como ocurrió en 2013 con el ataque que sufrieron Nodo50 y Diagonal —diario precursor de El Salto—, entre otros medios: los agentes detuvieron al responsable, un militante de Falange, en medio de su acción. 

En el vídeo de la detención difundido por la Policía Nacional entonces, se puede ver incluso la herramienta que estaba utilizando el autor del ataque: ipstresser, un servicio contratable que sirve para ‘estresar’ o poner a prueba las redes y servidores de empresas que los contratan para “evaluar” su capacidad de defensa ante un ataque real. Son servicios que usan botnets —redes de equipos infectados con software malicioso— creadas para este fin y que usan la infraestructura del gigante de la ciberseguridad CloudFlare para proteger sus webs comerciales, algo que, como remarcan desde Nodo50, esta compañía consiente.

Así, para los responsables de Nodo50, el Incibe sería “una institución financiada por el Estado para una mejor salud de internet y las redes, con una vocación paternalista de formar al usuario, pero que fomenta que sea este último el responsable del mantenimiento de su red: es el usuario es el que tiene el problema”. Echarían en falta así un mayor protagonismo de instituciones públicas en la eliminación de amenazas informáticas. “El Incibe acaba siendo una empresa de promoción e instalación de antivirus”, finalizan.