Rolls-Royce, Shell, Boeing o Fidelity son algunas de las compañías que el año pasado denunciaron haber sido víctimas de espionaje industrial en sus ordenadores. Aunque muy pocas lo reconocen, su número aumenta, como demuestra un estudio de la empresa española de peritaje informático Recovery Labs: en 2007, el 20% de sus clientes sufrieron casos de ciberespionaje, un 18% más que el año anterior.
Mercè Molist – No fue difícil para el atacante conocer los gustos de la secretaria del director general: participaba en diversas redes sociales donde aireaba su vida personal, los nombres de sus amigos o aficiones como aquella casi adicción a los zapatos caros. Después de meses de investigación cibernética de los empleados clave de la compañía, el atacante había descubierto su Talón de Aquiles.
Creó un programa troyano a medida para superar los controles de seguridad de la red corporativa. Lo mandó por correo electrónico a la secretaria, dentro de un adjunto en PDF que supuestamente le enviaba una amiga: el catálogo de verano de una marca de calzado. La secretaria lo abrió y el troyano se activó en silencio. A través de él, el atacante tomó el control del ordenador del director general.
Los detalles son ficticios, pero esta historia ha sido real para más de una empresa, explica David Barroso, director de la unidad E-crime de S21sec: “Son casos de virtuosismo por parte del atacante, pueden llevarle meses de investigación, pero cada vez proliferan más. Los troyanos se suelen mandar en documentos PDF, Powerpoint, Word o Excel, que un directivo no espera que le infecten”.
Los profesionales de la seguridad coinciden en el aumento del ciberespionaje industrial, como consecuencia de la proliferación de la informática en las empresas. Según un reciente estudio de Verizon sobre robos de datos en 500 compañías, el objetivo del 15% eran víctimas escogidas de antemano.
Como el espionaje tradicional, el ciberespionaje se divide en dos categorías según su procedencia: desde el interior o el exterior de la empresa. El primero es el más frecuente, en un 78% de casos según Trend Micro. El año pasado, empleados de Boeing, Fidelity y Pfizer robaron secretos con la ayuda de dispositivos USB. En 2002 y 2003, dos ingenieros de Ferrari hicieron lo mismo usando CD-ROM.
Los dispositivos físicos de almacenamiento de datos son la herramienta más usada para el robo de información desde el interior, ya que así se evitan los controles que pueda haber en la red corporativa. La cosa cambia si el empleado es el administrador de la red, como sucede en el 50% de casos según Verizon, o tiene conocimientos avanzados de informática.
La Policía Nacional detuvo en mayo al vecino de Pamplona J.M.G., de 27 años, por vender programas y secretos de su empresa a la competencia. Avezado informático, llegó a acceder al servidor central y el ordenador personal de su jefe, según la versión policial, y sacó la información “con medios técnicos avanzados”.
Casos parecidos se han dado en otras compañías españolas. David Barroso explica uno de los más sofisticados: “El día del robo, el ladrón estaba de vacaciones y accedió a la empresa por la Red Privada Virtual, entrando en su propio ordenador, que había dejado encendido. Allí, arrancó una imagen virtual de Windows XP, con la que accedió a la máquina que guardaba los datos confidenciales. Después borró de su ordenador el sistema operativo virtualizado para ocultar sus pasos”.
Pero los trabajos auténticamente finos se ven en el más minoritario ciberespionaje desde el exterior. Aquí, los ataques más comunes son asaltar el sitio web para llevarse la base de datos de clientes y enviar troyanos a empleados, creados a medida.
“The Times” informaba en diciembre de 2007 que atacantes supuestamente chinos habían espiado con troyanos a Rolls-Royce y la multinacional Shell. Otro sonado caso se descubrió en 2005: la consultora británica Target Eye vendió un troyano a medida a una agencia de detectives que espió con él a 20 corporaciones tecnológicas y mediáticas de Israel.
En 2004, el presidente de Marks and Spencer, Stuart Rose, fue a jugar al golf y dejó el teléfono móvil en la taquilla. Alguien accedió a él e introdujo un programa espía en el teléfono. Otro caso, que inspiró el libro “El huevo del cuco”, sucedió en los años 80 y se considera el primero conocido de ciberespionaje: la KGB contrató a hackers alemanes para robar programas de la Digital Equipment Corporation.
La interrelación entre gobiernos y empresas para el espionaje industrial no es nueva, tampoco en Internet. En 2001, el eurodiputado alemán Gerhard Schmid denunciaba que Estados Unidos usaba la red Echelon para interceptar las comunicaciones de empresas europeas en favor de las americanas. Hoy, es China quien espía los ordenadores de las compañías occidentales, según han denunciado Estados Unidos, Alemania, Gran Bretaña y Australia.
“Internet facilita el espionaje industrial porque estamos en una nube, con conexiones a todas partes, el robo es más fácil, puedes llevarte gigas de datos en un USB o hacerlo de forma remota y anónima”, afirma Igor Unanue, director de S21sec Labs. Por ejemplo, dice, “el director de compras puede tener el portátil infectado, o pueden entrar en el ordenador doméstico del director comercial, o un empleado puede llevarse documentos confidenciales para trabajar en casa, en el mismo PC donde juega su hijo”.
MessageLabs avisaba recientemente contra las redes sociales, donde los empleados dan detalles de sus vidas y empresas que parecen irrelevantes, pero son preciosos para alguien que ate cabos. MessageLabs afirmaba haber interceptado correos electrónicos infectados con troyanos, dirigidos de forma personalizada a ejecutivos de alto nivel y sus familiares, usando información sacada de redes sociales.
Según Verizon, el 63% de empresas no descubren los robos hasta meses después. Lo confirma Barroso: “Suelen tardar tiempo porque son ataques técnicamente muy avanzados y difíciles de detectar en un corto periodo de tiempo”. La prevención consiste en monitorizar la información que entra y sale de la compañía tanto por Internet como físicamente. Algunas empresas, como S21sec, ofrecen un servicio de control de los datos privados de los directivos que circulan en Internet.
Cómo evitar la fuga de datos corporativos en la era de Internet
David Barroso, director de la unidad E-crime de S21sec, propone diez pasos para prevenir el ciberespionaje industrial.
1. Definir los niveles de clasificación de la información dentro de la empresa (sensible, confidencial, top-secret) y aplicarlos a toda información digital y en papel.
2. Establecer en la política de seguridad corporativa buenas prácticas como mesas limpias de documentos, destrucción de información y otros.
3. Acceder a la información importante sólo desde dispositivos y redes autorizadas, evitando cibercafés, ordenadores domésticos o redes públicas inalámbricas.
4. Evitar el acceso de los empleados a la información si realmente no existe una necesidad.
5. Monitorizar el acceso y uso de la información importante con herramientas de gestión de logs y Data Loss Prevention.
6. Monitorizar la información que existe en Internet sobre la organización.
7. Formar a los empleados anualmente en temas como la ingeniería social o clasificación de la información.
8. Conocer las últimas técnicas usadas en delitos de ciberespionaje o asesorarse con empresas especializadas.
9. Establecer capas de seguridad a todos los niveles (perímetro, puesto de usuario, salida) para evitar intrusiones externas e internas.
10. Realizar auditorías de intrusión tanto externas como internas para conocer los riesgos existentes.
