Euskadi se golpea de bruces con el cibercrimen
“En la última cena de Navidad le comenté esto a un colega magistrado y me decía que donde estuviera el teletexto para buscar información que se quite Google. Él usa disquetes y no USB. Y es de los más jóvenes. Y otra juez no enciende el ordenador: escribe las sentencias a mano y luego se las pasan. Son refractarios a la informática y no la usan. Y, si no la usan, no la entienden. Y, si no la entienden, libertad para los delincuentes”. Este comentario lo realizó hace un par de años en unas jornadas sobre seguridad informática el fiscal guipuzcoano Jorge Bermúdez, experto en la materia. Hace pocos días, el lehendakari, Iñigo Urkullu, citó el yihadismo y la ciberseguridad como los dos grandes retos de seguridad del momento. Sobre lo primero, la alerta es casi máxima desde 2015 y las medidas preventivas y de investigación son evidentes. Respecto a los criminales informáticos el desconocimiento es mayor y sólo el ciberataque de mayo contra equipos de medio mundo hizo a la opinión pública golpearse de bruces con una realidad. ¿Qué me podría ocurrir si ‘hackean’ mi móvil, en el que almaceno mi vida, mis fotografías y hasta mis cuentas bancarias?
Pequeños empresarios vascos conocen muy bien que agentes externos accedan a sus sistemas y ‘secuestren’ información a cambio de dinero o destrocen ‘webs’ de clientes. En la campaña electoral de las autonómicas de 2016, el portal de Podemos permanecía contaminado con contenido cercano a la pornografía. La consejera de Seguridad, Estefanía Beltrán de Heredia, ha estimado esta semana en unas 8.500 las denuncias recibidas por la Ertzaintza por delitos informáticos. “Denunciar estos delitos es básico, porque si conocemos su incidencia destinaremos más recursos a perseguirlos y se podrá adecuar la normativa legal”, explican a eldiarionorte.es desde la unidad especializada en este tipo de casos de la Policía vasca.
Un ataque informático, explican estas fuentes, “busca siempre vulnerabilidades en ‘hardware’ o en ‘software’”. Uno de los tipos más “recurrentes” es el llamado SQL Injection, “que ataca las bases de datos con órdenes malformadas para conseguir información accesible sólo para los usuarios”. También es corriente que los atacantes “saturen de peticiones” un sistema para que se caiga. En estos casos, se emplean ‘botnets’ (redes de ordenadores zombis controlados sin el conocimiento de sus propietarios). Una tercera vía son los ‘malware’, el envío de archivos que escapen de los ‘firewall’ y antivirus. “Éste es el caso del reciente virus Wannacry”, explican desde la Ertzaintza en relación al ataque a Telefónica en España o a los hospitales del reunido unido.
“Paraísos informáticos”, países que no colaboran
Los ataques llegan “desde cualquier lugar”. Es más, lo usual es que los delincuentes (un ‘hacker’ también puede ser bueno, simplemente define a quien tiene amplios conocimientos de la materia) se escuden en servidores de terceros países. Los rastreos de las investigaciones suelen llevar a lugares con “legislaciones diversas y, en algunas ocasiones, sin tratados de colaboración”. “Al igual que los paraísos fiscales, también existen los paraísos informáticos, países que no colaboran internacionalmente o que no tienen una legislación adecuada para perseguir estas actividades”, apuntan los expertos policiales.
El fiscal Bermúdez, en aquellas jornadas realizadas precisamente en la academia de la Ertzaintza en Arkaute, vino a decir que perseguir a los cibercriminales desde la Administración es tanto como pretender perseguir una nave espacial en un Seat 600. Según la Ertzaintza, “la mejor fuente de información son las denuncias”. Esa información es “fundamental” para estar “alerta” [el cuerpo tiene un e-mail: delitosinformaticos@ertzaintza.net]. En la ‘deep web’, esa parte oscura de Internet no indexada por los buscadores como Google, “se hace muy difícil la localización de los sitios delincuenciales y su eliminación”. Y en la ‘deep web’ no sólo hay “sombreros negros” o ‘hackers’ criminales, sino también todo tipo de redes de pornografía, tráfico de armas, drogas e incluso esclavitud.
1,5 millones para el nuevo centro de ciberseguridad
El ataque del ‘Wannacry’ puso de manifiesto también otras dos vertientes de este complejo fenómeno. Si secuestran mis equipos, ¿merece la pena denunciar o es más cómodo pagar? Y, ¿lo hago en ‘bitcoins’? La Ertzaintza tiene muy claro que “en ningún caso se debe pagar”. “No se garantiza la recuperación de los datos encriptados y, además, adquieres la condición de ‘cliente vip’, con lo cual recibirás nuevos ataques en el futuro”. “Si nadie pagase, este delito no existiría”, defienden los agentes, que asumen que, además, las operaciones con ‘bitcoins’, la divisa virtual de la red, son “muy difíciles de rastrear de forma efectiva”.
En este contexto, Euskadi ha anunciado ya la apertura de un centro de ciberseguridad. Esta misma semana lo presentaron en el parque tecnológico de Miñano, a las afueras de Vitoria, las consejeras de Seguridad y Desarrollo Económico, Estefanía Beltrán de Heredia y Arantxa Tapia. Esta infraestructura, coordinada por la Spri, Ejie y la propia Ertzaintza, tendrá un presupuesto anual de unos 1,5 millones. Sin embargo, el anuncio ha tenido más eco por la polémica abierta por la Diputación de Gipuzkoa, que confiaba en que el centro autonómico estuviera en su territorio y no en Álava. Finalmente, en Gipuzkoa también habrá un centro de ciberseguridad propio que dé apoyo a las empresas.
