Lo que nos hace vulnerables en internet

Jot Down para ExpressVPN

A punto estuvieron en 2016 los habitantes de Colonia, Alemania, de encontrarse en sus baños a un visitante inesperado. Las aguas residuales de su alcantarillado estaban regresando camino de sus hogares, dispuestas a rebosar por sus váteres. Un hacker conocido como «Spiderman» había tomado el control de la red de aguas fecales, empleando un programa informático especializado en el ataque al internet de las cosas, al que nos referiremos por su término técnico en inglés, IoT.

Trackers con los que salir a correr, cámaras de vigilancia, alarmas instaladas en casa, asistentes de voz, smartwatches. Ya empleamos de forma habitual dispositivos IoT, capaces de conectarse a internet para proporcionarnos un servicio. Se calcula que en 2021 habrán superado los veinte mil millones de unidades en funcionamiento, con una media de trece unidades por habitante en los Estados Unidos, entre nueve y cuatro en Europa, tres en Latinoamérica y al menos uno en África y Oriente Medio. Este uso masivo supone la mayor amenaza a nuestra seguridad y la de nuestros datos. Porque los dispositivos IoT no solo son mucho más vulnerables a los ataques de hackers que nuestros ordenadores, móviles o tabletas. Además cuando se conectan a ellos ponen en peligro la información privada que contienen.

Hasta los usuarios que no tienen ningún smart_loquesea están expuestos a través del dispositivo IoT más común: el router. Precisamente fue lo que empleó el hacker David Kyle, alias «Spiderman», para controlar el flujo de caca en Colonia, y para un ataque mucho más espectacular, que ya es un hito en la historia de internet: tumbar el acceso a la red de todo un país durante dos días enteros. Se imaginan. No solo que no puedan sentarse a ver su serie favorita en una plataforma de pago, ni que dejen de sacarles de quicio en el grupo de WhatsApp de padres con algún drama de primaria. También que, si no llevan suelto en la cartera, no podrán comprar comida con su tarjeta de crédito durante cuarenta y ocho horas. Ni ir al cajero.

Para poner freno a esta amenaza se ha popularizado el uso de las VPN, las redes privadas virtuales. Son capaces de crear una conexión segura a través de un medio no seguro como es internet. Lo que hacen es cifrar nuestras comunicaciones de extremo a extremo, de un modo similar a como lo hace el banco cuando pagamos con tarjeta de crédito o accedemos para operar con nuestras cuentas. Nuestros datos, al quedar cifrados, resultan un galimatías incomprensible para el hacker que intenta acceder a ellos. Es como ponerse una careta y una capucha para navegar por la red, volviéndose tan anónimo como el protagonista de V de Vendetta con su máscara de Guy Fawkes.

Solo que en su mítico ataque David Kyle no encontró una sola VPN, y eso ayudó mucho a su éxito. O a su fracaso, según se mire. Este hacker está considerado uno de los mayores cibercriminales del mundo, calificación solo equiparable, en opinión del juez del tribunal que juzga su caso, a su inteligencia. Creció en Egham, pueblo de Reino Unido que no supera los seiscientos habitantes, y donde se educó en la informática de forma autodidacta. Con poco más de veinte años vendía sus servicios como hacker en la Dark Web, esa parte de internet poco accesible en que se pueden comprar drogas, armas y contratar servicios criminales. Kyle cometió allí, a sus veintiséis años, el crimen que le haría célebre.

Fue contratado por una empresa perfectamente legal, la operadora de telefonía Cellcom. El trabajo consistía en desbancar del liderazgo en Liberia, África, a su principal competidora, Lonestar. Querían que el hacker dejara durante horas y días enteros sin servicio de móvil y sin acceso a internet a los clientes de Lonestar, hasta que, hartos de la pésima calidad de servicio, se pasaran a la competencia. O sea, a Cellcom. La forma en que Kyle logró llevar esto a cabo es un claro ejemplo de porqué resulta imprescindible navegar de forma segura mediante la implantación de una VPN.

Kyle organizó ataques DDoS a los servidores de Lonestar. Es decir, consiguió que miles de usuarios se conectaran a la vez a la compañía, en el mismo instante. El efecto es el mismo que triplicar la presión dentro de una tubería estrecha intentando meter más agua. La tubería revienta y el agua deja de salir por el grifo. En informática se denomina denegación de servicio: cuando trates de usar tu ADSL o tu móvil no funcionará, porque tu proveedor se ha colapsado. Y eso es lo que empezó a ocurrir a los clientes de Lonestar. Paradójicamente ellos eran, sin saberlo, el origen del problema, porque se estaban conectando de forma masiva a su proveedor, y todos en el mismo momento. «Spiderman» Kyle había tomado el control de sus aparatos.

Lo hizo empleando el programa de malware denominado Mirai#14. Mirai es un clásico de los ataques a dispositivos IoT, y el #14 da idea de las versiones y modificaciones con que se ha presentado. No solo ha creado ya brechas de seguridad en muchos países, se espera que reaparezca en el futuro. En este caso Mirai aprovechó la vulnerabilidad de los routers de Lonestar, y a través de ellos la de ordenadores, tabletas y móviles equipados con procesadores ARM. Una vez controlados, Kyle los ponía a trabajar de forma coordinada mediante lo que en informática se denomina una botnet. Un conjunto de equipos infectados que ejecutan tareas sin conocimiento del usuario.

La botnet funcionaba muy bien. No para Lonestar, desde luego, que perdía clientes y valor en bolsa de forma acelerada, pero sí para Kyle, a quien Cellcom ya había pagado diez mil libras por sus servicios. Hubiera seguido cobrando de ellos si el 3 de noviembre de 2016 no se hubiera salido todo de madre. Aquel día, no solo los routers de clientes Lonestar, sino los de todos los liberianos, se pusieron a trabajar automáticamente para el malware Mirai#14. Concretamente, conectando las webcams de todos los aparatos conectados vía wifi o cable. La totalidad de internautas de aquel país, con cuatro millones trescientos mil habitantes, se conectaron a la vez a los servidores enviando una señal de vídeo. Gracias a ese envío masivo de datos todos los servidores se colapsaron, y el acceso a internet quedó interrumpido dos días completos. La tubería había reventado, y el plan de Kyle había muerto de éxito.

La razón técnica para que el ataque botnet se descontrolara evidencia lo vulnerables que nos hacen los dispositivos IoT. Los routers liberianos eran modelos baratos, y al igual que las cámaras de vigilancia de bajo precio, o los smartwatches económicos, resultan mucho más fáciles de hackear. Pero es que además los usuarios, todavía con poca cultura de internet, no empleaban antivirus ni cortafuegos. Solo con que un porcentaje de ellos hubiera incorporado una VPN se habría evitado que el apagón fuera completo. Pero no sucedió.

¿Podría ocurrir algo así en Europa o América del Norte? La respuesta es no, y eso consiguió que no se prestara demasiada atención a la noticia en los medios occidentales. A diferencia de Liberia, usamos un gran número de proveedores de acceso, muchos modelos de routers diferentes, y tenemos reservado un gran caudal en el cable atlántico, la fibra óptica que permite transmitir la información en internet. Eso solo pasa en África, dijimos con ese prejuicio tan occidental. Hasta que Colonia estuvo a punto de contradecir su oloroso nombre.

David Kyle había tomado el control de novecientos mil routers de Deutsche Telecom usando la misma técnica que en Liberia. No hubiera sido suficiente para aislar Alemania de internet, desde luego, pero sí lo fue para impedir que Colonia evacuara, por unas angustiosas horas, sus aguas residuales. Y de paso para intentar desfalcar las cuentas de los bancos Lloyds Bank y Barclays. «Spiderman» fue detenido antes de que la cosa pasara a mayores, pero ni siquiera eso ha conseguido que prestemos suficiente atención al hecho que los dispositivos IoT nos rodean, queramos o no. Los contadores inteligentes que miden el consumo de electricidad en nuestras viviendas, o las cámaras de tráfico que pueden dar acceso al control de semáforos de las ciudades, ofrecen innumerables posibilidades a hackers como «Spiderman».

Para acabar de empeorar la situación, estamos a punto de saltar a la implantación masiva del 5G. Esta tecnología no va a cambiar radicalmente nuestros móviles ni a mejorar nuestra velocidad de acceso, por lo que no ha despertado aún el interés del gran público. Pero sí hará posible un gran caudal de datos, lo que va a permitir convertir en inteligentes —es un decir— a cada uno de los aparatos electrónicos que empleamos en la vida diaria. Desde el coche hasta la nevera, de tal modo que puedan conectarse a la red y enviar información al fabricante. Serán, como apuntábamos al inicio, veinte mil millones de oportunidades dentro de un par de años para que los hackers entren en ellos y los controlen. Es decir, para que nos roben datos importantes, como nuestros medios de pago, DNI o el código de la alarma de casa.

Podemos reírnos al pensar qué necesidad tenemos de que la nevera avise al supermercado de que se nos ha acabado el agua mineral para hacer cubitos, por otra parte imprescindibles en el gin-tonic o el negroni. Pero pensemos también que, no hace tanto tiempo, había gente afirmando que eso del teléfono móvil era un aparato que a ellos no les haría ninguna falta. Por qué preocuparse entonces por tener una VPN.

La razón es que además de proteger los IoTs, las VPN garantizan la navegación anónima. Los usuarios más avanzados ya las emplean para cosas tan aparentemente banales como acceder a su cuenta de Netflix o HBO cuando viajan a otro país. Para acceder a webs que te bloquean por tu ubicación geográfica, como ha pasado con muchas estadounidenses desde que la UE estableció su nueva directiva para la privacidad en internet. O simplemente, para que los buscadores no hagan tracking de sus búsquedas y pasen días enteros sometidos al bombardeo de anuncios relacionados.

De lo efectivas que son estas redes privadas virtuales nos habla el caso de Rusia. Su uso se ha disparado allí desde que en mayo de este año Vladimir Putin promulgara una ley para impedir que los ciudadanos rusos accedieran a contenidos de internet de forma libre. Bajo la excusa de proteger al país de ataques extranjeros, los ciudadanos rusos se encontraron de pronto con que les era imposible acceder a ciertos contenidos, como periódicos, o a usar Telegram. Cinco meses después, las autoridades rusas han comenzado a frenar y poner todo tipo de impedimentos a las VPN. Señal de que funcionan.

Claro que siempre podemos confiar en nuestro proveedor. No estamos en Liberia, así que a buen seguro nuestra compañía se preocupa de implementar todo eso del VPN en sus servidores. Quizá sí. De hecho en el año 2016 las compañías telefónicas seguían atentamente la evolución de Protraf Solutions, una start-up que garantizaba la eliminación de ataques DDoS. La compañía podría haberse disparado en bolsa o convertirse en un gigante desde la nada, como a menudo sucede con las tecnológicas. Hasta que se descubrió que sus dos CEO, un par de veinteañeros de éxito, eran los creadores del malware Mirai, versión 1.0. Cómo no iban a proteger de ataques de denegación de servicio, si habían escrito el código del programa que los provocaba, y que estaba especializado en dispositivos IoT.

A diario caminamos por las mismas calles mirando a nuestro alrededor, por si acaso, o nos movemos en medios de transporte atentos a los carteristas. No suele pasarnos nada, pero sabemos pese a ello que no es un medio completamente seguro. Internet es lo mismo, y no será segura hasta que todos los usuarios cobremos conciencia de ello. De momento nuestra propia inconsciencia es la mayor vulnerabilidad a la que estamos sometidos.