Nota del editor: Matthew F. Ferraro es exagente de inteligencia, abogado en WilmerHale, miembro de término del Consejo de Relaciones Exteriores y miembro visitante en el Instituto de Seguridad Nacional de la Universidad George Mason. Las opiniones expresadas en este comentario son suyas. Lee aquí más artículos de opinión en CNNEE.
(CNN) – Los ataques del 11 de septiembre demostraron, con espantosa claridad, el enorme poder que tienen los individuos para causar estragos en una sociedad abierta. Desde ese terrible día, la difusión de la tecnología y nuestra interconexión solidificada han puesto cada vez más la capacidad de alteración y daño en manos no solo de los Estados, sino de personas de todo el mundo. Esta tendencia se ha denominado democratización de la violencia y describe la violencia cinética literal (piensa en armas biológicas hechas en una cocina y minidrones armados en un garaje) y ciberataques menos físicos, pero devastadores.
Estas amenazas seguirán creciendo en los meses y años venideros porque los ciberataques de todo tipo son relativamente baratos y pueden lanzarse a gran escala. Ahora, la industria y el Gobierno estadounidenses deben trabajar más estrechamente para reforzar las defensas necesarias para frustrar estos ataques.
El ransomware es el último ejemplo de la tendencia de “democratización de la violencia”. En un ataque de ransomware, un mal actor accede al sistema informático de la víctima, utiliza malware para cifrar los datos del sistema y solo lo descifra si la víctima paga un rescate, generalmente en bitcoines, porque es difícil de rastrear. Cualquiera con una conexión a internet, desde los Estados nación hasta criminales y terroristas, con habilidades mínimas e intenciones malévolas ahora puede lanzar estos ataques gracias a la llegada del “ransomware como servicio”. En este modelo de negocio, los desarrolladores de ransomware alquilan malware prefabricado a cualquiera que pague, y el desarrollador recibe una parte de los pagos del rescate.
Las extorsiones de ransomware se han convertido en un ecosistema de delincuencia autosuficiente. Es un negocio próspero porque la mayoría de las víctimas están dispuestas a pagar rescates relativamente modestos, que luego financian nuevos ataques. Pagar un rescate puede incentivar el mal comportamiento, pero una empresa victimizada por lo general (y comprensiblemente) solo quiere recuperar sus datos lo más rápido posible.
Ciberataques y sus efectos a la economía de EE.UU.
Los piratas informáticos suelen perseguir el dinero, pero los ataques también pueden desestabilizar la economía de EE.UU., ya sea intencionalmente o no. Por ejemplo, en mayo de 2021, un grupo de piratería llamado DarkSide lanzó un ataque de ransomware el Colonial Pipeline, uno de los gasoductos de combustible más grandes de Estados Unidos, lo que obligó a cerrar sus operaciones de distribución de combustible en varios estados. Considere qué tipo de asalto físico se habría requerido hace 20 años, en una era anterior a la cibernética, para desencadenar una ola de escasez de gas en la parte oriental del país.
La escala y el impacto de estos ataques se han disparado en los últimos años. Según una estimación, el ransomware le costará a la economía mundial aproximadamente US$ 20.000 millones en 2021, un aumento de 57 veces con respecto a 2015. Todo el mundo es vulnerable.
En resumen, el sistema de ciberseguridad de Estados Unidos parpadea en rojo. El presidente Joe Biden firmó un decreto en mayo que requiere que el software vendido al Gobierno cumpla con los estándares de seguridad básicos, exige que los contratistas federales informen rápidamente los incidentes cibernéticos y crea una entidad gubernamental similar a la Junta Nacional de Seguridad en el Transporte para revisar las principales infracciones.
La Casa Blanca también está pidiendo al sector privado que haga más para abordar la ciberseguridad, lo que el presidente Biden llamó un “desafío central de seguridad nacional” durante una reunión reciente con titanes de la tecnología. Posteriormente, la administración anunció una serie de iniciativas gubernamentales y del sector privado, incluida una colaboración para desarrollar un nuevo marco para mejorar la seguridad de la cadena de suministro de tecnología, mayores esfuerzos para capacitar a una fuerza laboral diversa de ciberseguridad y la expansión de una Iniciativa de Ciberseguridad de Sistemas de Control Industrial, desde servicios públicos hasta gasoductos de gas natural, entre otros.
Todos estos son movimientos bienvenidos, pero hay mucho más que el Gobierno y la industria pueden hacer:
Primero, el Gobierno debe actuar donde las empresas no pueden y tomar todas las acciones a su alcance para interrumpir las actividades de ransomware de Estados extranjeros y sus bandas criminales. Eso significa ejercer presión diplomática, vincular el progreso en la desconexión de los grupos de ransomware con el alivio de las sanciones a los países donde residen los grupos, acusar a los malos actores en el extranjero, extraditarlos y enjuiciarlos y (potencialmente) tomar medidas cibernéticas ofensivas contra los grupos de ransomware.
En segundo lugar, la administración Biden debe incentivar a las empresas a prepararse para el ransomware estableciendo pautas específicas sobre lo que las empresas deben hacer para prepararse y responder a los ataques de ransomware. En este momento, el Gobierno habla por ambos lados de la boca. Su posición oficial es que las empresas no deben pagar rescates, pero reconoce que a menudo lo mejor para la empresa (y el público) es pagar. El FBI insta a las víctimas a coordinarse con las fuerzas del orden sobre los incidentes de ransomware y a compartir si se ha pagado el rescate y a través de qué dirección bitcoin.
Esta ambigüedad dificulta que las empresas administren los riesgos de ransomware porque no están seguras de los pasos que deben tomar para resolver estos problemas y las deja abiertas a litigios posteriores al ransomware. De hecho, el Colonial Pipeline se vio afectado por al menos dos demandas después de ser victimizado. Si la administración no establece esos estándares ahora, quedará en manos de los tribunales para que lo hagan mientras resuelven este tipo de demandas.
En tercer lugar, el Gobierno debería trabajar con las empresas que son víctimas de ataques de ransomware para recuperar las criptomonedas pagadas a los piratas informáticos, interrumpiendo así los ciclos que financian futuros ataques. En particular, el FBI trabajó con el Colonial Pipeline para incautar más de US$ 2 millones en bitcoines pagados a los piratas informáticos, en una señal prometedora de lo que puede provenir del Grupo de Trabajo de Extorsión Digital y Ransomware, recientemente establecido por el Departamento de Justicia. Como dijo la vicesecretaria de Justicia, Lisa Monaco, “seguir el dinero sigue siendo una de las herramientas más básicas, pero poderosas que tenemos”.
Ninguna de estas acciones erradicará los riesgos comerciales del ransomware, pero pueden ayudar a contrarrestar la democratización de la violencia con una cultura de defensa común.