'Hackers' crean tensiones; empresas y organizaciones se muestran vulnerables

Un nuevo atentado contra la seguridad informática en redes sociales tuvo lugar esta semana, y no se trató de uno más. Cuando un plan para penetrar las cuentas de Twitter de importantes figuras políticas y empresarios como Jezz Bezos y Bill Gates salió a la luz, fue claro que el acceso a la información en plataformas como la popular red social puede ser fácilmente penetrado.

Y precisamente este viernes, The New York Times reveló que cuatro personas que participaron en el plan hablaron con el rotativo y compartieron registros y capturas de pantalla de las conversaciones que sostuvieron el 14 y el 15 de julio, que demuestran su participación tanto antes como después de que se diera a conocer el hackeo a la aplicación.

Y aunque definitivamente este hecho ha puesto en duda la confianza en Twitter y la seguridad proporcionada por otras empresas de tecnología, aún se desconocen los detalles de quiénes fueron los responsables y cómo lo hicieron. Las autoridades aún están en las primeras etapas de investigación.

Según recoge el diario estadounidense, “las entrevistas indican que el ataque no fue obra de un solo país como Rusia ni de un grupo sofisticado de piratas informáticos. Más bien, los responsables fueron un grupo de jóvenes (uno de los cuales dice que vive en casa con su madre) que se conocieron por su obsesión de tener nombres de usuario básicos o inusuales”.

Información de la agencia EFE indica que estos hackers que accedieron a decenas de cuentas de Twitter, incluidas las de personalidades públicas, descargaron datos personales de al menos ocho usuarios, lo que apunta a que la maniobra pudo ser algo más que una estafa para recaudar pagos con bitcoin.

En un comunicado del sábado, Twitter dio más detalles sobre el pirateo que afectó las cuentas en la red social del expresidente de EE.UU. Barack Obama, los multimillonarios Bill Gates, Elon Musk y Jeff Bezos, el artista Kanye West y las compañías Uber y Apple.

“En el caso de hasta ocho de las cuentas de Twitter afectadas, los atacantes dieron el paso extra de descargarse la información de la cuenta a través de nuestra herramienta 'Tus datos de Twitter”, reveló la compañía.

Twitter no identificó a los usuarios afectados, e indicó únicamente que “ninguno” de ellos “tenía una cuenta verificada”, caracterizadas por su icono azul, lo que excluye a los famosos y empresas más destacadas cuyos perfiles quedaron comprometidos durante la operación.

La empresa aseguró que está contactando directamente a los ocho usuarios, mientras varios medios de comunicación indicaban que es posible que los piratas se descargaran incluso los mensajes directos privados de esas personas o empresas.

En total, los hackers intentaron entrar en 130 cuentas de Twitter, y consiguieron cambiar las contraseñas de 45 de ellas, lo que les permitió enviar tuits, precisó la compañía en su largo comunicado.

Muchos de esos mensajes ofrecían doblar el dinero que los usuarios ingresasen en bitcoin a un monedero virtual de criptomonedas, una estafa en la que cayeron al menos 510 personas, que ingresaron entre todas más de $120,000, según la compañía de análisis de blockchain Chainalysis.

“Estamos avergonzados, estamos decepcionados, y por encima de todo, lo sentimos mucho. Sabemos que debemos trabajar para recuperar la confianza (de los usuarios), y apoyaremos todos los esfuerzos para llevar a los responsables ante la justicia”, indicó la red social en su blog.

En este mismo escenario, la semana pasada, los gobiernos de Estados Unidos, Reino Unido y Canadá acusaron a piratas informáticos rusos vinculados a la inteligencia del Kremlin de estar presuntamente detrás de ataques a laboratorios de los tres países “para robar información y propiedad intelectual relacionada con el desarrollo y las pruebas de vacunas para covid-19”, según notas de advertencia emitidas por las autoridades de los tres países.

El ciberespionaje en la carrera por lograr tratamientos y vacunas para el coronavirus no son nuevas. EEUU ya advirtió en mayo de esfuerzos detectados de hackers de China y también señalaron a Irán.

Y precisamente ayer, el Gobierno de EE.UU. presentó cargos contra dos hackers chinos por intentar robar datos de la vacuna contra la covid-19 a empresas de al menos 11 países, entre ellos España, Alemania y Corea del Sur, indicó EFE.

Los hackers, identificados como Li Xiaoyu, de 34 años, y Dong Jiazhi, 33 de años, ambos residentes en China, han sido acusados de 11 cargos criminales en un tribunal del estado de Washington.

Ambos atacaron a 13 empresas localizadas en EE.UU. y 12 compañías en el extranjero que estaban investigando una vacuna, detalló en una rueda de prensa uno de los fiscales implicados en la investigación, William D. Hyslop.

En total, según Washington, las víctimas se ubican en al menos 11 países: EE.UU., Australia, Bélgica, Alemania, Japón, Lituania, Países Bajos, Corea del Sur, España, Suecia y Reino Unido.

Felipe Gómez, gerente para Latinoamérica en la multinacional Ffluid Attacks, explicó a nuestro diario que los ataques a las redes sociales de una organización se pueden originar por dos grandes causas: vulnerabilidades por el mal manejo de las claves y los usuarios que administran las redes sociales, y vulnerabilidades propias de las redes sociales. “Twitter, en este caso, permitió que los hackers ingresaran a los sistemas de producción y publicaran contenido falso a nombre de empresas y personajes famosos para conseguir criptomonedas”.

“Todos somos sensibles al segundo tipo de vulnerabilidad. Si ellos son hackeados, lo único que nos protege es no ser tan famosos para no ser blanco de la modificación de contenido. Pudieron bien haber suplantado la cuenta de Twitter de Shakira, pero dado el tipo de ataque era más inteligente atacar a Elon Musk”, dijo.

De acuerdo con el ejecutivo, los atacantes a veces buscan enviar un mensaje y otras veces simplemente buscan dinero. “Aquí buscaron simplemente el mejor escenario posible para maximizar la cantidad de dinero a robar en el mínimo tiempo posible. Ahora bien, las causas de que esto sea posible en una organización tan visible y poderosa como Twitter, radica en que todos los sistemas pueden ser vulnerados exitosamente cuando el potencial de ganancia es alto. También significa que invertir en mucha tecnología de seguridad no siempre redunda en más seguridad”.

“Nos encontramos hoy con que muchas organizaciones están dejando el control de la seguridad en herramientas que tienen altas tasas de falsos positivos (mentiras o alertas falsas) y tasas aún mayores de falsos negativos (omisiones o alertas que no ocurrieron). Cuando se deja el control solo a las máquinas sin tener estrategias de ataques controlados constantes realizados por humanos, pueden pasar estas cosas. Se omiten vulnerabilidades importantes que deben ser remediadas”, remarcó el experto.

Ante esta realidad, el gerente de la multinacional enfatiza que para las empresas u organizaciones no es posible blindarse.

“Todos son vulnerables si el atacante tiene los estímulos y el tiempo necesarios. Lo recomendable es atacarse a sí mismo mediante hackers buenos, o de sombrero blanco, para que de forma anticipada estos le estén reportando las vulnerabilidades que deben remediar. Básicamente es ir adelante de los hackers malos, buscando activamente vulnerabilidades que pueda tener su organizacion”, añadió.

“Los proveedores de redes sociales se encuentran cada vez ante más presión para garantizar la privacidad de los usuarios, y normas europeas como la GDPR han obligado a muchos de ellos a mejorar los controles. Sin embargo, esto aun no es suficiente”, sentenció.

Por otra parte, según analizó, EE.UU. es un país con reglas bastante fuertes que favorecen el monitoreo gubernamental y “si la privacidad es algo importante para usted, una persona u organización, debería comenzar por no tener redes sociales, usar sistemas alojados en Suiza, uno de los países que hoy ofrece mayor respeto por los datos de las personas. Si el uso de las mismas es imperativo, úselas solo para enviar información que no tenga ningún impacto si alguien la observa o elimina”.

Ahora bien, en lo que respecta a que alguien publique a nombre nuestro en redes, “la solución es la mencionada, manejar adecuadamente los usuarios de administración”.