Casi 9.000 documentos secretos del departamento cibernético de la CIA han sido filtrados esta semana por Wikileaks, que ha publicado una nota de prensa. One Hacker ha preguntado a tres de los grandes expertos mundiales, David Barroso de Countercraft, Sergio de los Santos de Eleven Paths y Mikko Hypponen, de F-Secure para conocer qué ocultan y qué hay de verdad y mentira en ellos.

Wikileaks ha publicado esta semana una nueva filtración de documentación considerada de alto secreto. El primer lote filtrado, bautizado como "Año cero" -Year Zero- viene de 8.761 documentos y archivos de una red aislada y de alta seguridad ubicada dentro del Centro de Ciber Inteligencia de la CIA en Langley (Virgina). Esta información ha sido publicada en un apartado de la web denominado Vault7. Deja al descubierto muchos de sus programas informáticos para obtener información de objetivos concretos, qué tipo de software usa para esta labor, ect. También se destaca que el software y herramientas de hacking de la CIA han partido de su Grupo de Desarrollo de Ingeniería -EDG-, un departamento de desarrollo de software dentro del Centro para la Inteligencia Cibernética – CCI-, un departamento perteneciente a la Dirección de Innovación Digital – DDI- de la CIA.

Lo más llamativo es que, a diferencia de otras filtraciones, incluidas las publicadas por Wikileaks, la propia web ha realizado un comunicado de prensa en el que se han basado la gran mayoría de los medios de comunicación y que, según muchos expertos, no se ajusta a la realidad. Así, grandes referencias españolas como el CEO y fundador de CounterCraft, David Barroso, o Sergio De los Santos, director de Laboratorio e Innovación de ElevenPaths, ha destacado a One Hacker que lo descubierto, de momento, está dentro de lo que se presupone debe tener y hacer "cualquier central de inteligencia que utiliza todos los medios legales disponibles para velar por la seguridad de sus ciudadanos", destacan. De hecho, un portavoz de la CIA ha dicho esta semana en rueda de prensa que ni confirman ni niegan lo publicado pero que sí destacan que la CIA nunca usa sus medios para espiar a sus ciudadanos.

Empresas como la multinacional Cisco, que tiene muchos contratos con agencias gubernamentales de EE.UU. ha explicado en su blog de seguridad que WikiLeaks no ha publicado ninguna de las herramientas o exploits o software malicioso asociados al anuncio… por lo que, de momento, no se pueden tomar medidas de seguridad.

Otros expertos en ciberseguridad como Mikko Hypponen, de F-Secure, han destacado que "no es ninguna sorpresa que la CIA está utilizando estas técnicas de hacking. Lo que no se sospecha es el origen de la filtración -que es enorme-. Así que la pregunta es ¿quién lo filtró a Wikileaks? ¿Los rusos, un empleado? No sabemos la respuesta. Otra pregunta que debemos hacernos, ¿por qué se filtró ahora? Tampoco sabemos esto". También ha destacado que "en países como Estados Unidos, la misión de la Agencia de Inteligencia es mantener a los ciudadanos de su país seguros. La fuga de Vault7 demuestra que la CIA tenía conocimiento de las vulnerabilidades del iPhone. Sin embargo, en lugar de informar a Apple, la CIA decidió mantenerlo en secreto. Así que la filtración nos dice un poco acerca de cómo la CIA decidió usar sus conocimientos: consideró más importante mantener a todo el mundo inseguro que proteger a sus ciudadanos de la vulnerabilidad... y tal vez utilizar esa debilidad para sus propios fines o contra el terrorismo".

Aquí tienes varios de las imprecisiones que se están publicando en muchos medios de comunicación y que los expertos recomiendan tener claras.

1. Un servicio de inteligencia con aliados. "Llama la atención la gran capacidad cibernética de la CIA. Y es una capacidad triple: por un lado crea los llamados exploits –programas que permiten acceder a dispositivos aprovechando agujeros de seguridad- con recursos internos; por otro lado colabora de forma activa con sus aliados –Australia, Reino Unido y Nueva Zelanda- hasta el punto de que comparten herramientas del máximo nivel –incluso los llamados ‘Zero Days’ –agujeros de seguridad sólo conocidos por su descubridor-. Y la triple capacidad es que compra este tipo de programas a proveedores especializados para contar con un ciberarsenal de ellos", explica el CEO y fundador de CounterCraft, David Barroso.

2. La CIA tiene igual –o más poder que la NSA. "Barroso también ha destacado que, aunque la gente siempre ha pensado –sobre todo tras las revelaciones de Eduard Snowden- que la NSA era la agencia con más poder cibernético de EE.UU. a raíz de esta filtración se puede ver que la CIA no está por detrás".

3. La filtración de Wikileaks... no aporta mucho nuevo. "A pesar de que la prensa ha publicado como novedad que los responsables de los programas ciber de la CIA disponía de software para espiar a través de televisores inteligentes –con cámara o micrófoco para interactuar con ellos- o que estudiaban vulnerabilidades en coches conectados, lo cierto es que esto se presupone que es la labor de cualquier agencia de inteligencia", destaca Barroso. "Y lo más importante y uno de los errores que más está publicando la prensa: que lo estudien no significa que lo vayan a usar. Pero como agencia de inteligencia que vela por la Seguridad Nacional es tu deber estar al día de todas las amenazas que puedan llegar o tecnologías que se puedan utilizar", añade el director de Innovación y Laboratorio de ElevenPaths, Sergio de los Santos. "Es normal que la CIA, como agencia de inteligencia, estudie todas las técnicas de hacking moderno: esperas que sus empleados tengan armas físicas para repeler ataques y, también, cibernéticas para proteger a sus ciudadanos".

4. Todo lo conectado es hackeable. Así queda constancia una vez más en los papeles filtrados por Vikileaks sobre los programas cibernéticos de la CIA. O dicho de otra forma dispositivos como los asistentes virtuales de Amazon, el llamado Eco, o Alexa, de Microsoft Windows, pueden ser potencialmente usados para espiar con ellos las conversaciones que realizan sus dueños en sus proximidades. Igual pasa con el micrófono de los televisores inteligentes, de los Smartphone... "Pero no es ninguna novedad. Todos los expertos en ciberseguridad saben que cualquier dispositivo puede tener vulnerabilidades. Precisamente son las usadas por los cibercriminales para robar dinero. Que la CIA conozca este tipo de programas y técnicas es lo normal", resalta De los Santos.

5. Wikileaks actúa por un interés propio. A diferencia de filtraciones como la Eduard Snowden no está claro que haya un objetivo de pura denuncia. Los analistas que están estudiando cómo se está dando a conocer la información han destacado que ésta se está utilizando de forma política con una estrategia muy definida. "Se ha volcado la información por partes, en la nota de prensa se vuelcan opiniones –o sea que no es una filtración objetiva- e, incluso, se ofrece un premio que trabajen las mejores historias a raíz de lo publicado. "Se puede decir que Wikileaks ha hecho una ‘detonación controlada’ de la información", destaca Santos. Por eso considera que "en muchos aspectos parece una campaña de márketing de Wikileaks". Por ejemplo, en el caso de Snowden, este facilitó la información a un grupo de expertos que la analizaron y decidieron qué se podía contar y qué no.

6. ¿Se trata de una cortina de humo? O una maniobra de distracción sobre la situación entre EE.UU. y Rusia y de la supuesta influencia que tuvo la filtración de emails del partido demócrata en campaña electoral. En este caso parece que se está filtrando esta información en un momento muy concreto con un objetivo que aún no está claro.

7. Desinformación a la prensa. "Muchos periodistas han tomado la nota de prensa al pie de la letra publicando imprecisiones. Por ejemplo, Wikileaks menciona que la CIA puede espiar sistemas de mensajería como tu Whatsaap, tu Signal, ect. Y los periodistas han titulado diciendo que ‘La CIA espía tus mensajes’. Pero no es así. Las aplicaciones citadas por Wikileaks son arbitratarias. Es como si decimos que la CIA puede espiar tu ‘Clash of clans’. Lo que sí tiene capacidad es para meterse en un teléfono y conocer qué hay guardado en él, activar la cámara, etc. Pero no se habla de programas de mensajería concreto. Se trata de una opinión sensacionlista de Wikileaks", comenta De los Santos. "Además, esa capacidad, ya se sabe que existe. Pero no es lo mismo que puedan romper tu cifrado de Whatsapp -que no se sabe la fórmula aún- a que tengan que entrar en todo el teléfono para hacerlo. En cierta forma incluso es positivo", añade.

8. La CIA no quiere espiarte. "Muchos titulares han alertado de que La CIA te espía’. Pero es poco realista. La CIA no tiene interés en ti ni en nadie que no pueda suponer una amenaza para la Seguridad Nacional de EE.UU. o sus aliados. LA CIA puede espiarte... pero sólo si eres considerado ‘persona de interés’. Su trabajo se basa en espionaje selectivo", explica Santos. "Obtener todas las tecnologías y programas selectivo", explica De los Santos. "Obtener todas las tecnologías y programas que permiten interferir un dispositivo, como un teléfono, un televisor o un ordenador, conlleva programas muy costosos. Sobre todo si se trata de tener vulnerabilidades que nadie conoce aún para usarlas con, por ejemplo, terroristas que pueden atentar contra EE.UU. Por eso, la CIA –ni ninguna agencia de inteligencia- se dedican a espiar a la gente de forma indiscriminada. De hacerlo alguien podría descubrir este tipo de programas y, una vez hechos público, no servir de nada. Así que este tipo de software se usa sólo contra objetivo concretos y de muy alto nivel", resalta. "Otra cosa es que caiga en malas manos..."

9. Golpe importante a la credibilidad de la CIA. A pesar de que la información revelada está dentro de lo que se presupone de una agencia de inteligencia lo cierto es que se trata de un golpe importante para su credibilidad e inutiliza muchos de sus actuales programas de vigilancia digital.

10. El problema crítico de a quién atribuir un ciberataque. "Quizá uno de los aspectos más llamativos de lo que se ha filtrado es una parte de sus programas conocido como Umbrage. Las llamadas operaciones de falsa bandera –que intentan similar que se realizan en nombre de otro ejército o gobierno- han sido una constante en el mundo militar para engañar a los enemigos. Pero es "muy interesante comprobar como la CIA tenía un programa que recopilaba software malicioso –malware-, formas de ataque, infraestructuras usadas por otros países para realizar ciberataques y utilizarlos para enmascarar las operaciones de la CIA para que nunca sea detectado su origen real", resalta Barroso. De hecho la atribución de cualquier ciberataque es el gran problema de la ciberguerra: los ciberejércitos miden bien sus acciones ya que sin son engañados podrían realizar una acción ofensiva contra un país u organización que no ha sido, realmente, la culpable de un ciberataque.

11. ¿Compensa renunciar a la tecnología para evitar que te espíen? Tanto Barroso como De los Santos destacan que es una opción que cada vez utilizan más personas. Pero que la gente que no tiene nada que ocultar no tiene porqué. En el fondo la forma de protegerse de este tipo de espionaje es la misma de que de los cibercriminales que buscan entrar en tus dispositivos para robarte fotos, contraseñas, información. Hay que tener los programas actualizados, no instalarse aplicaciones raras, tener contraseñas robustas, no conectarse a wifis públicos...., destaca De los Santos. "Por supuesto, en el caso de empresas también hay productos específicos como los que ofrecemos en Countercraft para detectar intrusiones y usarlas en tu favor facilitando información errónea o que te favorezca", añade Barroso.

12. Una buena noticia para tu privacidad. Lo que también queda claro es que los actuales sistemas de cifrado punto a punto que utilizan sistemas de mensajería como WhatsApp son seguros y evitan que te espíen. Antes de que se comenzaran a utilizar era fácil interceptar las comunicaciones pero ahora no. Ahora tienes que entrar en el dispositivo y conocer la información que se escribe antes de ser enviada.

13. Confianza en los que te defienden. "La CIA no tiene porqué espiar a sus ciudadanos. Igual que confias en que la Policía vigile a los malos y te parece normal que vaya armada para hacer el país seguro, es normal que la CIA espíe a objetivos que puedan suponer un peligro para la Seguridad Nacional. Es cuestión de confiar en instituciones que nos permiten vivir seguros. ¿Puede una persona robar un arma de donde las guarda la Policía? Pues sí. Igual que pueden robar armas cibernéticas a la CIA. Pero no es lo normal", explican expertos en seguridad consultados por One hacker.

14. Conclusión. ¿Qué hay de bueno y malo en las filtraciones de Wikileas?. "En cuanto a lo positivo se ha conocido que los sistemas de cifrado de las comunicaciones, punto a punto, que utilizan servicios como WhatApps son seguros. Y que la comunidad de Inteligencia está haciendo su trabajo con la tecnología de hoy", destaca Santos. "En la parte negativa destaca que la CIA ha perdido el arsenal cibernético que usaba para espionaje selectivo y ha perdido el control de herramientas, tácticas, formas de trabajo y programas que usaba en secreto. Ya no sirven. Y si caen en malas manos no se puede esperar nada bueno", termina De Los Santos recordando que "no hay que temer más a la CIA que a los cibercriminales..." que usan estas herramientas y tácticas a diario contra millones de personas en todo el mundo... y estas no toman medidas tan básicas como tener antivirus –antimalware- en su móvil. En todo el mundo... sin duda habrá más personas infectadas por malware que puede llegar a espiar su móvil o portátil cada día sin levantar revuelo, que personas cuyo teléfono o portátil esté pinchado por la CIA.".

Fuente: OneMagazine