Miguel Rego, director de INTECO: “Telegram es tan potente como WhatsApp, pero más seguro”

Que sí la NSA por aquí; que si WhatsApp, Telegram y Snapchat por allá; que si un virus que se llama 'Careto' y tiene acento español... La seguridad informática se ha instalado en nuestro día a día de la mano de los ordenadores, los teléfonos inteligentes y ahora ya hasta el 'wearable computing'. A mayor número de dispositivos (relojes, gafas y hasta la nevera), mayores riesgos y amenazas, pero también mayor concienciación ciudadana, de las autoridades y de las empresas, que empiezan a prevenir para ahorrarse el varapalo de curar.

Inmerso en este escenario, el Instituto Nacional de Tecnologías de la Comunicación (INTECO), perteneciente al Ministerio de Industria, es el encargado de guiar los pasos de los internautas españoles por los laberínticos senderos de la Red. El organismo tiene la misión de inculcarnos la importancia de la ciberseguridad y, para ello, emite recomendaciones y consejos que podemos seguir para evitar disgustos.

Precisamente con esa intención, y para conocer su visión sobre algunas cuestiones de actualidad, hablamos con su director general, Miguel Rego, que participa en el 'Congreso Internacional de ENATIC sobre Derecho Digital 2014'. Empezamos, por ejemplo, con la mensajería.

Sobre los chats hay un buen puñado de ideas preconcebidas. Que WhatsApp no es seguro, que Telegram es casi un búnker... ¿Cuánto hay de cierto en todo esto?

WhatsApp se ha posicionado a lo largo de estos últimos años como el líder en el sistema de mensajería móvil y eso es, en gran parte, gracias a su usabilidad, a lo sencillo que es intercambiar mensajes. Pero a veces ese concepto de usabilidad está reñido con la seguridad. En este sentido, este tipo de soluciones no se han pensado tanto para ser seguras, y por eso aparecen muchos problemas que han supuesto que luego sean criticadas.

Telegram, por su parte, se ha popularizado muy rápido debido precisamente a que ofrece al usuario una alternativa que es igualmente potente desde el punto de vista de la usabilidad, pero que ya ha invertido esfuerzos y también recursos, lógicamente, para aportar un sistema de cifrado supuestamente inquebrantable en las comunicaciones que se pueden establecer punto a punto entre dos terminales.

Otro caso parecido al de Telegram es el de Line, que ofrece también una mayor seguridad que WhatsApp. Según los creadores de Telegram, ni siquiera ellos en sus servidores podrían tener acceso a los mensajes que se transmiten entre emisor y destinatario. De hecho, han ofrecido hasta 200.000 dólares a quien consiga romper el cifrado.

Y, sin embargo, cuando ofrecieron estos 200.000 dólares, un 'hacker' salió diciendo que él ya lo había roto hacía semanas y que era absurdo convocar un concurso cuando la seguridad ya estaba comprometida.

Ahí lo que se ha visto es que, realmente, las condiciones de ataque a Telegram son muy concretas y muy atípicas, porque se hablaba de tener acceso físico al servidor. El atacate estándar tendría dificultades para reunir todas esas condiciones favorables. Por tanto, sí que es cierto que se ha comentado que se ha podido romper, pero siempre bajo circunstancias muy concretas. Yo diría que, en este sentido, la fiabilidad general del sistema Telegram, a día de hoy, es suficiente.

Otro caso reseñable es el de Snapchat, que últimamente ha sido víctima de una serie de ataques. La seguridad de este chat, que en España está empezando a popularizarse, también está en entredicho.

Aquí el problema es que, en las tecnologías, la seguridad 100% no se puede garantizar y Snapchat en este caso es un ejemplo. Esta aplicación, en enero, sufrió un incidente de seguridad muy importante en el que fueron publicados los nombres y los números de teléfono de más de cuatro millones de usuarios, debido a un incidente que permitió a los atacantes acceder a esta información y descargarla.

Y, tan solo hace unos días, los usuarios de Snapchat han vuelto a sufrir las consecuencias de otro problema de seguridad, recibiendo una oleada de mensajes, con fotos en este caso de zumos de frutas, que les redirigían a páginas maliciosas. Pero no solo las aplicaciones de mensajería móvil son las que están en el disparadero. A lo largo de la historia muchas compañías han sufrido problemas de seguridad significativos. Recordemos por ejemplo los ataques que sufrió hace unos meses la compañía Adobe, en los que se publicaron datos relativos a más de 38 millones de cuentas, o el que sufrió en su día Play Station Network de Sony.

En definitiva, nadie está a salvo de ataques o riesgos, pero en general este problema, el de la ciberseguridad, es algo que ya está en las agendas de las compañías y que éstas, desde luego, están haciendo esfuerzos muy importantes para solventar todas estas situaciones y prevenirlas en la medida de lo posible.

Entonces todos estos servicios que a día de hoy, después de las revelaciones de Snowden, se publicitan como totalmente privados, muy seguros y “antiespías”, ¿nos los creemos o son una utopía?

Yo creo que hay que relativizarlo. En general, las aplicaciones sí están haciendo un esfuerzo muy claro en ir aportando capas de seguridad. Pensemos además que, al final, la reputación de las compañías que desarrollan estas aplicaciones y estas soluciones queda en entredicho cuando se produce un ataque muy importante.

Además, no solamente la reputación, sino que el propio valor de la empresa se ve afectado. Pensemos casos concretos como el que sufrió la compañía RSA cuando, a través de un ataque de ciberespionaje, se desveló el código fuente del 'SecureID' y el precio de la acción de RSA sufrío una caída muy importante. Por lo tanto, nadie mejor que las compañías para poner los medios necesarios para que sus soluciones sean seguras.

Pero los riesgos aumentan constantemente. Cada vez tenemos más dispositivos a nuestro alcance: relojes, gafas... Ya hasta los cepillos de dientes son inteligentes. Nos enfrentamos a nuevas amenazas.

Con el 'wearable' pasa como con otras cosas de la vida. A comienzos del siglo pasado, cuando empezaron a circular los primeros automóviles, allí no había ni reglas de circulación ni había 'airbag', ni había cinturón de seguridad. La realidad es que la tecnología va muy por delante de los requisitos de seguridad, pero no cabe duda de que también, a medida que las cosas van cogiendo madurez, cada vez se van incorporando más y más elementos de seguridad.

La presión del mercado también hace que los fabricantes saquen las soluciones sin los debidos requisitos de seguridad, y eso las hace especialmente vulnerables.

¿Y qué pasa con las monedas virtuales? Cada vez más gente empieza a ver en Bitcoin y compañía una alternativa a los bancos para invertir sus ahorros.

Bitcoin, desde el punto de vista de la seguridad, incorpora una criptografía considerada como muy robusta desde el punto de vista de la validación matemática que tienen los sistemas criptográficos. De todas maneras, hay que decir también que la robustez o la confianza que pueda generar un elemento criptográfico varía con el tiempo, a medida que se van desarrollando mayores capacidades de procesamiento.

Otro elemento a considerar es que, a veces, algo puede ser teóricamente construido como seguro, pero luego las implementaciones e incluso el diseño posterior puede hacer que sea menos fiable. En todo caso, podríamos decir que Bitcoin, a priori, y en el contexto actual, es suficientemente seguro. No obstante, hay que decir que, en general, las divisas electrónicas están todavía en un periodo muy inicial, diríamos que en su infancia, por lo que el valor que tienen asociado es muy volátil. Por poner un ejemplo: una Bitcoin, que se cambiaba a finales de noviembre de 2013 por unos 1.100 dólares, ahora mismo está a 600 dólares.

Por lo tanto, invertir en divisa virtual no sé si tendrá riesgos para la seguridad, pero sí que puede tener riesgos para la propia economía. Hay que decir además que hay un vacío regulatorio. Por lo tanto, sin regulación, es fácil que los intereses de los usuarios puedan no estar suficientemente protegidos.

Otra cuestión que preocupa ahora mismo a los expertos de seguridad, y que sobre todo lo va a hacer dentro de unos meses, es el fin del soporte técnico de Microsoft para Windows XP, que sigue siendo un sistema operativo popular. Sabemos que renunciar a actualizar es algo temerario, pero ¿por qué? ¿A qué riesgo nos estamos exponiendo?

Es una situación de riesgo muy importante, porque Windows XP sigue siendo el sistema operativo de mayor implantación, en torno al 30%, según algunos analistas. A partir del 8 de abril, Microsoft no va a publicar más parches, más actualizaciones de seguridad o correcciones a errores sobre el sistema operativo, lo que significa que al final los atacantes, cuando encuentren una vulnerabilidad, van a poder explotarla con libertad sin que el fabricante, en este caso Microsoft, pueda tomar medidas para corregirlo.

Además, muy probablemente los cibercriminales están guardando vulnerabilidades tipo 'zero-day', de esas que todavía no son conocidas y que pueden ser explotadas durante bastante tiempo, por su complejidad y porque no existe una solución identificada. Por todo ello, la recomendación es que se adopten todas las medidas necesarias para poder migrar las plataformas existentes actualmente en ese sistema operativo a versiones posteriores.

También hemos oído hablar últimamente, más de lo que nos gustaría, del virus 'Careto'. Se dice que tiene origen español y que es especialmente peligroso. ¿Qué sabe INTECO? ¿Los usuarios normales tienen algo que temer?

Los usuarios deben temer al virus Careto de la misma manera que pueden temer a otros tipos de 'malware'. Es decir, en ese sentido no nos encontramos con un mayor nivel de amenaza. Se ha identificado que eran, en general, objetivos muy concretos y no era tanto una campaña indiscriminada. Concretamente, según los datos que tenemos en INTECO, en España solamente se han visto afectadas 65 direcciones IP, que fueron oportunamente notificadas a los proveedores de servicio para que se lo comunicaran a los propietarios.

En relación con la posible localización del origen del virus en España, efectivamente un análisis de este 'malware' lo que ha revelado es que existen diversas cadenas de texto escritas en español. Las cadenas utilizaban expresiones propias de España y quizá no tanto de otros países hispanohablantes. Pero no podemos asegurar al 100% que el origen sea nuestro país, ya que podría ser una treta elaborada para confundir a los analistas.

Habitualmente los autores de los 'malware' utilizan elementos de ofuscación, precisamente para evitar que pueda ser identificado, geolocalizado, el origen del 'malware'. Por lo tanto, hay que pensar que podría ser pistas falsas, incluidas ex profeso, y, desde luego, que lo normal es que los cibercriminales no firmen los 'malware' que diseñan, ¿no?

Y a escala global, como país, ¿cuáles son los principales retos para España en materia de ciberseguridad?

Algunos servicios esenciales (servicios financieros, la energía, el propio suministro de agua...) están siendo atacados para generar daños económicos y también para elevar la alarma social. Diversos grupos 'hacktivistas' están aprovechando las vulnerabilidades de los sistemas informáticos, también, para realizar importantes campañas de forma que se demuestre que son capaces de poner en peligro incluso nuestra forma de vida habitual.

Según la empresa de seguridad Symantec, durante 2012, los ciberataques afectaron a más de 556 millones de personas en todo el mundo, lo cual demuestra que esto es una realidad que nos afecta a todos. No obstante, en muchos casos, hablamos de intentos de ciberataques, de infección, de intrusiones, que los sistemas ya existentes de protección y de defensa detectan eficientemente y neutralizan.

No obstante, hay amenazas más sofisticadas como puede ser el ciberterrorismo o incluso el ciberespionaje, del cual se está hablando mucho en los medios de comunicación últimamente. El espionaje es algo que en realidad siempre ha existido, no es un problema que estemos sufriendo solamente ahora, lo que pasa es que sí que es cierto que cada vez se están utilizando canales y medios digitales con un mayor grado de sofisticación.