La política de seguridad del

26 Tribuna de Opinión EL FARO DE LA SEGURIDAD La política de seguridad del ¿NO ES INCREÍBLE QUE LAS POLÍTICAS DE SEGURIDAD INFORMÁTICA EN INSTITUCIONES PÚBLICAS Y PRIVADAS NO SEAN UNA PRIORIDAD ABSOLUTA? otro ordenador. De esta forma consiguieron los números de cuenta, claves Antonio Ferrer MIEMBRO DEL CONSEJO EDITORIAL DE de acceso y otros datos que utilizaban los empleados que realizaban las transferencias. El objetivo era utilizar esas claves para ordenar, mediante ordenadores externos al banco, transferencias electrónicas a diez cuentas bancarias convenientemente abiertas por hombres de paja en distintas ciu- E n los primeros meses de 2005 la filial londinense del banco Sumitomo Mitsui, el primero dades del mundo. Supuestamente el golpe fracasó gracias a que la policía israelí detectó que un ciudadano de su país estaba recibiendo en su cuenta una transferencia de una cantidad extremadamente alta de dinero (unos las conexiones de los teclados a los ordenadores, para evitar que se volvieran a conectar otros keyloggers. Los portavoces del banco hicieron público un comunicado según el cual no se había efectuado realmente ninguna transferencia de dinero, por tanto el banco no había sufrido ninguna pérdida económica, y que se habían tomado las medidas necesarias para evitar más intentos de robo. Sin embargo, posteriormente circularon rumores por algunos medios informativos e instituciones financieras de Londres indicando que el plan no había sido detectado a tiempo y que el dinero había sido realmente 20 millones de euros) procedente del citado banco. Inmediatamente se advirtió a la policía británica y al banco que tomó una medida «de alta tecnología»: selló con adhesivo SuperGlue transferido, es decir robado. En todo caso el incidente es poco conocido y creo que es conveniente difundirlo para reflexionar sobre él y que los altos directivos en general, y de Japón según la lista publicada anualmente por la revista Forbes, sufrió un intento de robo de 220 millones de libras, unos 316 millones de euros, que, de haber tenido éxito, se habría convertido en uno de los mayores asaltos a un banco británico de todos los tiempos, según la policía. La suerte y el adhesivo SuperGlue evitaron la catástrofe. El método empleado por los asaltantes para llevar a cabo tal hazaña fue relativamente sencillo. Algunos miembros de la banda se infiltraron entre los empleados de la limpieza del banco y colocaron en las conexiones de los teclados de los ordenadores donde se realizaban las transferencias, un sencillo dispositivo registrador de las pulsaciones (keylogger). La información recogida se recuperaba después conectando esos dispositivos a Ahora existen bandas criminales que tienen equipos de programadores informáticos a sueldo preparando ataques a bancos, compañías, etc. nº 3 mayo / junio 2006 Tribuna de Opinión Por otro lado, sucede que según los analistas de seguridad hace ya algún problemas más graves, como el hambre o las enfermedades, para preocuparse del origen del dinero que se reciben en sus bancos. Y todo eso sin pensar en la corrupción, que no deja de ser real. Ante esta situación y al hilo del incidente, llamémoslo así, del banco Sumitomo Mitsui pueden hacerse algunas consideraciones. Por ejemplo: los ladrones corrieron riesgos innecesarios. En la actualidad una banda bien organizada efectuaría un ataque informático a los ordenadores del banco para instalar programas keylogger, y si tenían éxito, en unas pocas horas el dinero estaría colocado en cuentas sin riesgo repartidas por todo el mundo. Seguro que algunos lectores han recibido por correo electrónico una oferta para ganar dinero de manera fácil: solo hay que disponer de una cuenta corriente y administrar los fondos que se van recibiendo. Ingenioso ¿verdad? ¿No es increíble que las políticas de seguridad informática en instituciones públicas y privadas no sean una prioridad absoluta? ¿Cómo puede ser que haya ordenadores sin antivirus, aplicaciones funcionando con vulnerabilidades criticas porque nadie las ha actualizado, o redes sin protección perimetral? Me gustaría que los lectores envíen sus experiencias al correo electrónico que figura al pie de esta columna. Seguro que tenemos mucha información que compartir. 27 avestruz tiempo que están avisando de la progresiva evolución de los piratas informáticos. Atrás quedan los tiempos en que se trataba de románticos antisistema que prendían demostrar su habilidad accediendo a los ordenadores del Pentágono, o simplemente enviar miles de mensajes a usuarios advirtiéndoles de que debían seguir la cadena si no querían sufrir los más insospechados infortunios. Atrás quedan también los ataques masivos a millones de usuarios particulares para vaciar las cuantas bancarias de los que dan ese tipo de información sin mirar ni quién se la pide ni para qué. Parece mentira, pero ha sucedido. Ahora existen bandas criminales que tienen equipos de programadores informáticos a sueldo preparando atawww.fr .freeimages.co.uk www.freeimages.co.uk ques a bancos, compañías de seguros, portales de comercio electrónico, grandes corporaciones, instituciones gubernamentales, etc. Existen también grupos especializados en crear redes de ordenadores zombis (botnets), es decir redes de ordenadores en los que se ha instalado un virus que cede el control de la maquina a organizaciones criminales (recientemente se ha hablado bastante de estos virus, al parecer existen más de 10.000 especies distintas) para después ponerlas a disposición de la banda que más les pague. Y, por supuesto, existen grupos mafiosos que han llegado a la conclusión de que estos nuevos métodos de robo son mucho menos peligrosos que los antiguos con metralleta y pasamontañas. Como simple información adicional: en el pasado mes de abril una serie de virus troyanos de apellido Banker han estado especialmente activos. Por otra parte, y como es lógico, para establecer las redes de blanqueo de dinero se utilizan bancos establecidos en países en donde el control es escaso ya que las autoridades tienen los CIO (Chief Information Officer: Director de los Servicios de Información) en particular, de las instituciones financieras lo tengan en cuenta a la hora de establecer las políticas de seguridad de sus compañías. Lamentablemente, la realidad es que las medidas de seguridad de bastantes bancos dejan mucho que desear y la mayoría de las veces les resulta más fácil asumir las pérdidas que establecer políticas coherentes y eficaces de seguridad. Dos conclusiones rápidas se pueden sacar del hecho: en primer lugar, los bancos son vulnerables a ataques relativamente simples y en segundo lugar cuando los ataques ocurren existe una tendencia a ocultarlos de manera bastante patética: utilizando la política del avestruz, es decir escondiendo la cabeza y aquí no ha pasado nada. PD. Por cierto, para los estudiosos del tema, en la página web www.viruslist.com pueden leerse varios informes sobre la evolución de los programas maliciosos o dañinos (malware) que no tienen desperdicio Antonio Ferrer elfarodelaseguridad@revista-ays.com nº 3 mayo / junio 2006