Atacar neveras, desviar vuelos, vulnerar elecciones... ¿Bromas cibernéticas o guerra híbrida para desestabilizar Europa?

¿Están conectadas la oleada de ataques a los sistemas de refrigeración de supermercados y del banco de sangre francés con el desvío de aviones por amenazas de bomba? Esta es una pregunta que se hace mucha gente ahora mismo en Europa. Los gobernantes de la UE achacan abiertamente esta sucesión de ataques a una "guerra híbrida" auspiciada por estados hostiles interesados en desestabilizar las democracias europeas. Sin embargo, los expertos en ciberseguridad y en ciberdelincuencia, ante la falta de evidencias de las investigaciones oficiales abiertas, no descartan que detrás de estos delitos cibernéticos haya una ola de ''hacktivismo' social o sabotajes por puro entretenimiento.

El resumen de lo último que ha ocurrido es el siguiente: en la noche del 12 de octubre más de 13.000 supermercados de toda Francia sufrieron el 'hackeo' de sus sistemas de refrigeración: se cambió en remoto el modo de todos de "enfriado" a "descongelado". Dos semanas después, en una segunda ola de ataques similares, supermercados de media docena de países europeos (Bélgica, Luxemburgo, Suecia, Países Bajos, Irlanda, Finlandia, Italia y Rumanía) sufrieron el 'hackeo' de sus neveras.

Esta misma semana el Ministerio de Sanidad francés confirmaba otro intento de sabotaje a sistemas frigoríficos, pero esta vez hospitalarios, los del banco de sangre de Francia, donde se intentó subir la temperatura de -30 a 100 grados centígrados. El ataque, afortunadamente, se detectó antes de que fuera demasiado tarde, lo que permitió salvar las reservas de plasma y sangre para investigación y transfusiones. Además, en los últimos días, alrededor de medio centenar de aviones de distintas aerolíneas con origen y destino europeo recibieron una cadena de avisos de bomba que obligaron por normativa a su desvío. Amenazas que en la última jornada también afectaron a varios medios de comunicación europeos, que tuvieron que evacuar a sus trabajdores.

El ministro de Asuntos Exteriores de España, José Manuel Albares, aseguró este viernes que se sabrá quién está detrás de los ataques a los frigoríficos o las amenazas a los aviones y los calificó de "agresión híbrida". "Tardaremos cierto tiempo en saber qué ha ocurrido pero lo sabremos", ha asegurado el ministro, quien considera que estos hechos son un intento de de "agresión híbrida y de alguna forma, psicológica". Albares lo atribuye a que hay actores en el mundo que intentan debilitar a Europa porque es el gran bastión de la democracia.

A través de redes sociales tres colectivos de hackers, algunos con evidente sesgo prorruso —Noname57 y Z-Pentest— han reivindicado los ataques a los refrigeradores y otro más, denominado "Estado masculino", ha puesto su sello en alguna de las amenazas de bomba que desviaron aviones. Sin embargo, reivindicar la autoría ciber no siempre significa estar detrás de los ataques.

Varios expertos en ciberseguridad consultados por 20minutos coinciden en que nos enfrentamos a algo nuevo, desconocido y desconcertante. Lo fundamentan en que los ataques no tuvieron como objetivo la extorsión de una empresa —como pareció al principio con el hackeo da refrigeradores de la marca finlandesa Danfoss, al resultar después atacados equipos de otra compañía, Copeland— y en el hecho de que se atacan objetivos de sectores que si bien no están considerados "críticos" — como el eléctrico, el gas o lo nuclear— sí son "fundamentales" en el día a día los ciudadanos europeos, la aviación y la alimentación.

David Arroyo es el único investigador de ciberseguridad del CSIC. Como responsable del GICP, se dedica a analizar todo el ecosistema de la ciberdelincuencia, partiendo de ataques clásicos a los más peliagudos. Arroyo explica que, a día de hoy, no existe evidencia de que los ataques a los refrigeradores y los avisos falsos de bomba a bordo estén coordinados, pero él sí los sitúa en la llamada "zona gris" (entre la paz y la guerra) como "amenazas híbridas". Además, advierte de que "van a aparecer más cosas que parece que respondan a un plan, estando el panorama tan convulso como está".

Juan Miguel Velasco, experto ciberseguridad con más de 30 años de experiencia, también contextualiza estos "ataques encadenados" en "un momento de tensión general" y reconoce que nadie sabe a ciencia cierta quién está detrás. "Cuando vemos un ataque a una empresa sabemos cómo proceder, pero cuando parece que alguien te ataca por atacar, porque sí, es muy desconcertante y estamos ante algo nuevo", agrega.

Los refrigeradores, expuestos y vulnerables

Por su parte Antonio Muñoz, profesor de ciberseguridad de la Universidad de Málaga, experto en ciberseguridad hardware y miembro del grupo de inviestigación NICSLab, pide esperar resultados de las investigaciones abiertas en los países afectados, pero no descarta el cariz político-social de unos ataques que "definitivamente no son 'ramsomware', porque no hubo interés económico". Respecto al hackeo de los refrigeradores, el caso que más conoce, apunta que los ciberdelincuentes lo tuvieron fácil.

Muñoz dice que se trató de ataques "ciberfísicos", dado que se modificaron desde fuera las constantes de los equipos instalados en miles de tiendas gracias a una evidente vulnerabilidad en los accesos en remoto. "La conexión a Internet de la refrigeración proporciona versatilidad a la hora de monitorizar y controlar los sistemas, pero te abre una superficie de ataque más grande. Porque el problema es que la red que conecta no está protegida", revela.

Muchas son las voces que en los últimos días han señalado la alta exposición al hackeo que tienen los equipos conectados a Internet. En este caso concreto, acceder a los refrigeradores de miles de supermercados parece que fue tan fácil como encontrarlos en repositorios en abierto en la Red, escribir la clave "supervisor" y la contraseña "12345". Así lo ve Muñoz: "La fortaleza de ciberseguridad está en el eslabón más débil de la cadena. Los ataques vienen porque algún operador comete un fallo de seguridad, no actualiza la contraseña, o se deja la clave expuesta en un fichero".

Este experto cree que "una sola persona puede orquestarlo y hacer el ataque, pero no es un cualquiera", señala, "hacerlo es posible, pero más difícil es no dejar rastro. Además, atacar miles de tiendas diferentes exige tener todo muy bien atado. Planificado sí que estaba".

Sobre la autoría de los ataques a los sistemas de frío del sector alimentario en media Europa, el científico del CSIC David Arroyo opina que, dado que no tiene una implicación técnica muy sofisticada, "no tienen que entrar en juego los hackers coreanos o los hackers rusos, que son la élite, y podría ser obra de un grupo de 'hacktivistas', de activistas que utilizan las redes para desestabilizar en un momento en el que tenemos una fuerte presión social en las calles de Europa por la situación económica y política".

Los avisos de bomba en aviones, ciberacoso delictivo

Para Arroyo, sin embargo, las amenazas falsas de bombas en los aviones es cosa distinta. Entra dentro de lo que se denomina ataque swatting, una forma de acoso delictivo que consiste en engañar a los servicios de emergencias. En Estados Unidos, explica, eso se ha hace de forma recurrente e incluso existe una base de datos que permite la trazabilidad para descartar rápidamente avisos falsos. "Es la típica gamberrada que ahora es una gamberrada digital", explica este experto, "Aquí el aspecto cibernético viene porque se emplean emails de un solo uso, apantallados por VPN para no poder trazar bien la la IP. Es decir, el medio digital se emplea para obstaculizar cualquier labor de atribución".

En este caso también ve las dos posibilidades planteadas en la autoría de los refrigeradores: o una acción de activistas digitales, o una estrategia de guerra híbrida mediante 'esponsorización' de Estados hostiles. "No hay suficiente evidencia para descartar esas dos grandes posibilidades".

Amenazas híbridas y falta de coordinación

La definición de "amenaza híbrida" de la OTAN, según recuerda Arroyo, dice que es aquella que utiliza varios dominios para conseguir un impacto final en el usuario. De ahí que nadie dude de que ambas situaciones se dan en los recientes ataques, pero también en la vulneración de las fronteras con la instrumentalización de la migración o, incluso, en la creación de grupos para fomentar los altercados violentos y el pillaje, como Blocus. Y asegura que a partir de ahora "todo va a ser amenaza híbrida".

Según Arroyo vivimos en un "estado de ciberguerra continua", y cree que el volumen de los ciberataques y su diversidad, sectorial y geográfica, alejan la teoría de la gamberrada. "Cuesta pensar que sea una gamberrada digital, pero también es aventurado decir que puede ser una estrategia a nivel global para desestabilizar a Europa. ¿Hay indicios? Sí, pero nos falta la evidencia. Y eso es muy complicado de conseguir, se puede tardar meses o directamente no resolverse", asegura.

"Ahora mismo no veo ninguna prueba que me lleve a señalar que hay un Estado 'esponsorizando' todo eso", insiste Arroyo. Pero puntualiza que tampoco soluciona nada que no lo haya, que ni Rusia, Irán o Israel, no estén detrás. "La situación de inestabilidad ya es es suficientemente preocupante como para empezar a tomarse en serio estas cuestiones que hasta ahora nos parecían de película".

El hecho de que los recientes ataques se circunscriban a Europa, para el experto en ciberseguridad Juan Miguel Velasco, puede tener que ver con el exceso de regulación en protección de datos que dificulta la colaboración entre Estados para la acción en materia de cibercrisis. "Cuando nos intentan hacer daño reaccionamos tarde, pero además es que hacemos mucho ruido. Mientras que otros actores, como EEUU o China, se callan más. En Europa todo lo que nos hacen lo contamos, al contarlo damos popularidad al que nos ataca, tenga éxito o no, y ese exceso sale muy rentable, genera una ola de opinión pública que se puede extender".

Arroyo, del CSIC, también considera que la UE debería mejorar en velocidad de reacción y en coordinación entre países ante las amenazas híbridas para evitar su rápida replicación. "Lo que tendría que hacer la Unión Europea y todos los estados miembros sería desarrollar el acta europea de seguridad y trasponer la directiva NIs2, que España lleva dos años de retraso, y desarrollarlos de la forma más eficaz. De tal manera que tengamos una capacidad de reacción como un todo. Nos da igual que aquí reaccione un país de forma aislada. Lo estamos viendo. Tiene que ser una respuesta coordinada, porque el target es claramente europeo".