Ciberseguridad global: cómo proteger desde el móvil del ciudadano hasta los satélites que orbitan la Tierra

La Unión Europea exigirá en 2024 que cada uno de los países miembros tenga un plan concreto para implementar la identidad digital de sus ciudadanos. La multinacional francesa Thales ya tiene en funcionamiento su propia propuesta: un wallet (una cartera) digital específicamente diseñado para llevar todo tipo de documentación personal.

Esa es sólo una parte de su planteamiento de ciberseguridad, que abarca desde el bolsillo trasero del pantalón (o donde cada cual lleve su teléfono móvil) del ciudadano de a pie hasta el tráfico aéreo y los satélites que nos orbitan.

Y sin olvidar los nuevos riesgos que implican a los sistemas autónomos, incluidos los automóviles, detallados por el CTO, Bernhard Quent, y la incertidumbre sobre el impacto que puede causar el advenimiento de la computación cuántica sobre la criptografía actual. Todo ello fue desgranado en una jornada para los medios en París, con la plana mayor de la compañía.

Bernhard Quent, CTO de Thales, durante la presentación. FOTO: J. Miravalls.

Las ideas de la jornada están plasmadas en el 'Manual de Ciberamenazas 2022'. Por cierto, lo primero que se ve al abrir la página es un mapa mundial de ciberataques en tiempo real.

Para empezar, puede ser una visión hipnótica la continua aparición de estelas que recorren miles de kilómetros, como misiles intercontinentales, de un país a otro.

Cada ataque tiene como punto de partida una etiqueta con un nombre en clave que Ivan Fontarensky, responsable técnico para la ciberdefensa de Thales, señala como indicativos de al menos una quincena de grupos cibercriminales suficientemente identificados.

También aparece una etiqueta en el destino del ataque, con el nombre del malware utilizado: DNSbot, Emotet, Goodor, Nemin, ATK… Son muchísimas variedades.

Ningún país a salvo

La red atacada suele extenderse por varios Estados. No está a salvo ningún país. Tampoco España, por supuesto, que recibe ataques desde China, Rusia, el sudeste asiático… Y, al cabo de unos minutos de observación, tampoco se puede descartar nuestro territorio como otro punto de partida. Explica Patrice Caine, CEO de Thales Group, que en el nuevo mundo digital conectado, sobre todo el que surge después de la pandemia, “los cibercriminales no necesitan ya atacar a las empresas. Hay mucha gente trabajando desde casa”.

Recuerda que la fortaleza de una cadena la determina el eslabón más débil y esos trabajadores remotos son objetivos más asequibles para el phishing, para colarles un troyano o para apoderarse de las credenciales que permitan entrar en el sistema que los hackers [criminales] pretenden atacar.

También alerta sobre los riesgos añadidos por “la cadena de suministros”, a las que grandes compañías y organismos estatales conceden el acceso a sus sistemas para una mejor integración. Es otro de los elementos que requieren ser incluidos en una seguridad global.

Lo refrenda el director general del sistema de seguridad de la información de Francia, Guillaume Poupard, afirmando que “los criminales no tienen ética para atacar. Dicen que son Robin Hood [robando a los ricos para dárselo a los pobres], pero luego atacan hospitales y compañías medianas. En el periodo 2020 a 2022, los ataques que detecta nuestra agencia han crecido exponencialmente”.

Más rentable que el narcotráfico 

Caine añade detalles como que el cibercrimen se ha convertido en un negocio tan lucrativo que es “más rentable que el tráfico de drogas” (dato que ya se incluía en el Manual de 2020).

Por eso pone el acento en que la unidad dedicada a la ciberseguridad de su compañía, (“empezamos a principios del 2000”, dice), ya trabaja con “90 bancos en todo el mundo” y se amplía con recientes adquisiciones de empresas especializadas como la holandesa Gemalto (2019) y la española S21Sec, comprada el mes pasado y que amplía su base de operaciones en “Bélgica, España y Portugal”.

Patrice Caine, CEO de Thales Group, y Guillaume Poupard, director de seguridad de información de Francia. FOTO: J. Miravalls.

También menciona el CEO los ataques a satélites. Thales ha desarrollado un sistema que denomina Cyber Monitoring Space Software, con el que también puede observar en tiempo real las amenazas que llegan al espacio.

Sus expertos Sylvain Barbier, Silvia Diana y Franck Perrin mostraron a D+I cómo opera en este caso el conjunto de herramientas de Cybels, que Thales ofrece como su cartera de soluciones para simulación, detección y respuesta, apoyándose en el análisis con inteligencia artificial.

El CEO Caine habla de una oferta basada en “bloques de construcción”, para armar las estructuras de ciberdefensa a medida de las necesidades.

Los puntos débiles de los artefactos espaciales, explican los expertos, pueden estar, en tierra, en el centro de control, en los operadores que conectan con los usuarios o, eventualmente en el propio satélite.

Ciberatacantes rusos en el espacio

Hay grupos identificados como especialistas en esta actividad espacial, como el ruso denominado Turla Group. Los objetivos de un ataque pueden variar desde interferir o interrumpir el tráfico de datos del satélite hasta suplantarlo con señales espúreas (spoofing).

“Ya ha ocurrido con el GPS”, señala Barbier, explicando que, por ejemplo, “un barco o un avión pueden ser desviados de su ruta” al recibir señales de posicionamiento falsas que no puedan identificar como tales. Sin embargo, no parece tan probable es que algún grupo intente tomar directamente el control de un satélite.

Caine insiste en la idea de una ciberseguridad que necesita abarcar ampliamente todo el espectro la economía digitalizada, desde la nube hasta el espacio, mediante un “esfuerzo global”. Thales, dice, tiene ya desplegados “hubs en varios países, implicados en seguridad crítica”. 

Los ataques pueden ser realizados por grupos 'privados', actuando en nombre de Estados, lo que dificulta distinguir si sus objetivos son militares o meramente lucrativos, advierte el CEO. Poupard señala que un 80% de las amenazas trata de obtener información estratégica y en un elevado porcentaje se puede hablar de espionaje. Lo que puede convertir al malware en un “arma militar”.

 Niveles de amenaza

Citan diferentes niveles de amenazas, desde la extorsión económica a las empresas, con el ejemplo palmario del ransomware, hasta ciberespionaje. Y el caso extremo del cibersabotaje sobre infraestructuras, al que alude el CTO Quendt, mostrando una hoja de ruta sobre sensorización, inversión y protección.

Distinguiendo entre los tipos de atacantes (Estados, grupos independientes o individuos que actúan por su cuenta), Poupard plantea la pregunta de cómo anticiparse a los ataques. Sobre todo si, como en el mismo día de la presentación, la Unión Europea responsabiliza a Rusia de un ataque a las comunicaciones, con el nombre de Ucrania planeando sobre la sala.

“No hay una guerra con Rusia. Nosotros no estamos en guerra con Rusia”, precisa Poupard, al tiempo que Caine advierte por su parte que “no es Thales el que está en una guerra; son los Estados”. Lo cual muestra el momento de confusión. En todo caso, medio centenar de países, incluida la OTAN, utilizan los productos de seguridad de la multinacional francesa.

El director francés para la seguridad de la información asegura que no puede tratarse “de una cuestión política” la necesidad de “invertir en defensa” para ser autosuficientes en la materia.

Poupard define la necesidad de identificar la sensibilidad de los datos, como posibles objetivos, “para proteger al Estado y a la industria”.

“Debemos ser pragmáticos”, sentencia, abogando por empezar a organizar la seguridad “a escala local”, ascender en la cooperación, “compartiendo datos [sobre las amenazas] cada día” entre los 27 países de la UE y los de la OTAN, hasta alcanzar una organización defensiva global.

'Wallet' digital para el ciudadano

Y, entre tanto, ¿qué pasa con la seguridad particular de los ciudadanos? Volvamos a esa cartera digital mencionada al principio y explicada con extraordinario entusiasmo a D+I por Kristel Teyras, con dos móviles en las manos. Uno haciendo el papel de su smartphone personal y el otro, el de terminal de lectura de cualquier organismo, empresa o punto de control de seguridad.

Esencialmente, en el wallet se guardan certificaciones digitales. “Puede ser mi documento de identidad, mi licencia como conductora, el pasaporte, mi historia clínica o cualquier otro documento que pueda querer utilizar”, señala Teyras, mostrando una pantalla con ocho o diez pestañas.

El sistema funciona de diferentes maneras. Puede almacenar determinados datos, o documentos, debidamente encriptados, o puede contener enlaces autentificados para que, al requerirse un documento concreto, establezca contacto con la base de datos segura del organismo oficial correspondiente y descargue los datos que precisa.

“Pueden ser datos parciales. Por ejemplo, para acreditar la edad, para comprar alcohol. O mostrar la foto y el nombre, para acreditar quién eres. O incluir otros datos específicos según la ocasión”, indica Teyras. 

Elegir qué datos se comparten

La información puede mostrarse en pantalla, u ofrecer un QR para que desde el terminal de lectura se requieran directamente los datos al organismo o empresa correspondiente, adjuntando la autorización expresa del sujeto. Debe servir tanto para hacer gestiones oficiales como para contratar un servicio o alquilar un coche.

No sólo eso. “Yo puedo establecer qué datos comparto con el sistema de lectura y por cuánto tiempo puede mantenerlos. Todo funciona mediante tokens”, precisa. Aunque le quita dramatismo a la cuestión: “Ahora nos piden una fotocopia de un documento y se puede quedar por ahí para siempre”.

Sobre la cuestión de la emisión de los documentos, no hay dudas, han de ser “los organismos oficiales los que los expidan”, pero eso y el hecho de que a cada país de la UE se le vaya a pedir su propia propuesta, plantea la necesidad de interoperabilidad.

“Sí, por supuesto, el sistema tiene plena interoperabilidad. La comunicación se basa en una normativa ISO”, replica Teyras. Añade que es posible instalarlo en más de un dispositivo, “el particular y el profesional, por ejemplo”, y podrán incluirse también documentos de algún familiar directo.

El sistema, basado “en una plataforma” con más de dos años de desarrollo, “se está utilizando en Florida para la licencia de conducir, y se va a probar en Queensland, Australia”, indica. Está en estudio en Francia, Alemania, República Checa, Holanda e Italia.

“Habrá otros sistemas, pero Thales ya tiene este plenamente disponible”, concluye con Teyras con una sonrisa triunfal.