Stuxnet

La mayoría de la gente no ha oído jamás el término que da título a esta entrada. Como tampoco conoce a Shamoon, otro peligrosísimo espécimen de la panoplia viral de la red. De hecho, hay en este momento más patologías infecciosas en internet que biológicas afectando a humanos. Por otra parte, así como los avances en medicina han permitido cada vez combatir de forma más efectiva las enfermedades infecciosas, los patógenos de internet presentan día tras día mayor multiplicidad y variedad, por lo que la morbilidad y la "mortalidad" en los sistemas informáticos son cada vez mayores y causan daños más profundos y más extensos en las redes.

Así como la globalización de las personas está teniendo un impacto importante en la distribución de las patologías infecciosas humanas, con la aparición de nuevos focos de enfermedades en lugares antes inaccesibles o con el rebrote de patógenos que se consideraban extinguidos en occidente, la globalización de la red es una fuente continua de nuevos estragos informáticos. Los paralelismos entre biología  e internet son múltiples y nos permiten trazar un panorama a medio plazo que sólo se puede calificar de una manera: desalentador.

Los agentes infecciosos que causan enfermedades son muy variados pero tienen en común un factor que los limita: no están diseñados específicamente para explotar fallos en el delicado equilibrio corporal de los humanos. Son fruto de la evolución y de cientos o miles de mutaciones, que por ensayo y error les permiten adquirir el potencial para parasitar a los organismos vivos, los cuales deben reaccionar mediante su sistema inmunológico o perecer en el intento. Tampoco están diseñados para matar a su anfitrión, simplemente sucede que su letalidad es un efecto secundario de su actividad proliferativa. Con razón, muchos patólogos han afirmado que el patógeno perfecto es aquel que no mata  a su anfitrión, sino que aprovecha su maquinaria celular de forma eficiente para su reproducción y transmisión sin causarle más daño que el estrictamente necesario, aún así garantizando su supervivencia.

Por otra parte, el anfitrión siempre está poniendo algo de su parte para limitar los daños causados por el patógeno. El sistema inmune está en constante funcionamiento y tiene a limitar los efectos devastadores de los agentes infecciosos externos. En un organismo  no inmunodeprimido esto lleva a una situación de equilibrio más que razonable entre el mundo exterior y el interior. La catástrofe se produce cuando los humanos nos ponemos en contacto con agentes patógenos desconocidos para nuestro sistema inmune. Estos agentes nuevos pueden sortear sin dificultad las defensas orgánicas y causar daños letales, como sucedió en ambas direcciones cuando los europeos se pusieron en contacto masivo con los nativos americanos por vez primera. Y eso es lo que está sucediendo nuevamente en la actualidad para mayor alarma de la OMS, que constata como el contacto de humanos a larga distancia, facilitado por el incremento de los transportes a nivel mundial, está poniendo al descubierto nuevas infecciones antes raras en occidente (especialmente de origen vírico), o el repunte de viejas enfermedades que se creían extinguidas (como la tuberculosis).

Así pues, las concomitancias y analogías entre las enfermedades infecciosas y los virus informáticos son más que notables, pero con importantes matizaciones. Está  claro que la globalización de las comunicaciones a nivel epidemiológico implica la misma vulnerabilidad para humanos y ordenadores. Sin embargo, no hay que olvidar que tras los virus informáticos hay una inteligencia que los ha diseñado y que persigue unos objetivos claros, lo cual no puede decirse de los agentes biológicos. Y que convierte a los primeros en entes mucho más peligrosos que los segundos.

El porqué de semejante afirmación es bastante obvio: si los patógenos humanos fueran inteligentes, buscarían constantemente nuevas formas de infección de forma activa y consciente, lo cual pondría en un gravísimo aprieto a la humanidad en su conjunto, y con muy pocas probabilidades de supervivencia. Por suerte no es así, y una vez descubierta una estrategia terapéutica contra las infecciones, suele ser útil durante largos períodos de tiempo, hasta que aparezcan resistencias, como está ocurriendo en los últimos años con diversos tipos de bacterias “asesinas”. Sin embargo, la resistencia bacteriana a los antibióticos es un proceso meramente aleatorio, basado en mutaciones  espontáneas y ocasionales que nada tienen que ver con una inteligencia compleja rastreando vulnerabilidades.

Así que los patógenos de la red son muchísimo más peligrosos para el futuro de la humanidad que los agentes biológicos, aunque puedan tomar de ellos muchas de sus características, porque detrás de ellos hay una voluntad consciente y orientada a un propósito específico, lo cual no deja de ser muy difícil de combatir. Una voluntad que no se conformará con quedarse parada ante la primera barrera que le obstaculice el paso, sino que tratará por todos los medios de encontrar alternativas para llegar a su objetivo.

Y los medios de los que disponen los cibercriminales para encontrar alternativas son muchísimos y muy variados. A lo que hay que sumar el hecho incontestable de que, mientras que nuestro sistema inmune es autoadaptable y genera anticuerpos de forma automática frente a un agente externo, la red no dispone de nada parecido, y ha de limitarse a que otros cerebros humanos diseñen las contramedidas específicas para cada ciberataque. Eso se traduce en una pérdida preciosa de tiempo, que permite a los atacantes explotar las vulnerabilidades del sistema el tiempo más que suficiente para conseguir sus objetivos políticos o delictivos. En la red no existe la respuesta inmediata, sino sólo sistemas de alerta temprana que están a años luz del comportamiento de un sistema inmune en cuanto a especificidad y velocidad de reacción.

A media que se incrementa la conectividad en la red, es decir, a medida que más y más aparatos  dependen de internet para un correcto funcionamiento, los riesgos se incrementan exponencialmente, porque hay muchos más nodos de acceso a la red, muchos más sistemas vulnerables y, en definitiva, se expande geométricamente (o exponencialmente) la capacidad de los cibercriminales para hacer daño, tanto de forma cuantitativa –porque hay muchísimos más aparatos conectados a la red- como cualitativa –porque en la internet de las cosas casi todo, desde  la electricidad hasta el frigorífico, pasando por la puerta de nuestro hogar- estarán conectados a la red a fin de que podamos controlarlos desde nuestro smartphone. Lo cual quiere decir que los patógenos también podrán tomar el control de nuestro entorno doméstico.

Las implicaciones de esto son gravísimas. El coste de la ciberseguridad se puede disparar de forma exponencial e inasumible para la mayoría enlas próximas décadas. No hay que olvidar que en este asunto, los cibercriminales siempre van un paso por delante de las empresas y agencias de ciberseguridad (cuando no son éstas mismas las que diseñan peligrosos virus que luego se filtran al sector “privado” por diversos canales). Con razón dicen los expertos que en el futuro las guerras no se librarán físicamente, sino que el campo de batalla será el ciberespacio. Bien, la realidad es que actualmente el campo de batalla ya es el ciberespacio, como saben casi todos los gobiernos del mundo (busquen Stuxnet o Shamoon en internet y se hará evidente lo que estoy diciendo), pero a una escala que podríamos calificar de experimental, dada la juventud de la red y de la globalización de las comunicaciones.

Esas confrontaciones del futuro no serán menos letales que las guerras convencionales que ahora vemos en Siria o en cualquier otra parte del mundo. Imaginemos las consecuencias de un ataque informático que deje a un país sin distribución de agua o de electricidad. O que destruya completamente bases de datos como las de la Seguridad Social o Hacienda. No es ciencia ficción, es algo muy real y posible. A nivel personal, imaginemos qué supondría que alguien tomara el control de todas nuestras comunicaciones de forma subrepticia. Inadvertidamente, estaríamos en manos de la voluntad de un tercero que, en cualquier momento, podría obtener de nosotros casi cualquier cosa que se propusiera.

No se trata de fomentar desde aquí la paranoia, pero sí de alertar de que nuestras vidas pueden cambiar; en realidad van a cambiar drásticamente. Nuestra primera experiencia con los virus lentos, como el VIH, data de finales de los años setenta. Precisamente por lo lento e insidioso de su infección, el SIDA se convirtió en la peor pandemia del siglo XX antes de que siquiera pudiéramos soñar con la posibilidad de encontrar una forma de frenarla. Y todavía estamos buscando la forma de curarla. Lo importante del asunto, sin embargo, no es lo mortífera que ha sido, sino el hecho de que henmos tardado mucho tiempo en percatarnos de lo peligrosa que era y, sobre todo, tardamos muchísimo en cambiar nuestros hábitos sexuales. En resumen, nos hemos demorado demasiado en aprender a protegernos activa y pasivamente contra el VIH, y mientras tanto, han muerto unos cuarenta millones de personas y casi el doble han sido infectadas.

Si estas cifras son alarmantes, pensemos que en el contexto de la cibercriminalidad y de los ciberataques terroristas no serían más que minucias comparadas con el daño que los virus informáticos pueden llegar a hacer a una sociedad que esté total y absolutamente interconectada en la red. La catástrofe podría ser de dimensiones apocalípticas, y ya que hemos hablado de virus lentos, nada hay que impida diseñar un tipo de virus informático lento de verdad, que infecte insidiosamente miles de millones de sistemas conectados a internet y que resulte indetectable hasta que por alguna razón, alguien lo active de forma simultánea y global pasado mucho tiempo. Y puedo garantizar  a cualquier lector que así como hay virus biológicos que se esconden en reservorios del organismo y son absolutamente indetectables mientras están latentes, del mismo modo pueden diseñarse programas informáticos dormidos que no puedan ser rastreados de ningún modo mientras estén inactivados.

Las soluciones a corto plazo para toda esta problemática son casi inexistentes. Con bastante certeza, del mismo modo que ahora le empezamos a ver las orejas al lobo de la globalización económica y surgen muchas voces en contra, lo mismo sucederá con la globalización de la informática, y especialmente con la internet de las cosas.  En general, creo que el control en la red de la vida doméstica puede suponer un fiasco importante, por la desconfianza que generará en la mayoría de usuarios la simple posibilidad de ser espiados y controlados contra su voluntad y a distancia (algo que ya está sucediendo actualmente con las lecturas inteligentes del contador eléctrico, lo cual no es solo una invasión a la privacidad del usuario por parte de las compañías eléctricas, sino también una posible vía futura para el acceso a nuestro hogar de muchos patógenos informáticos a través de la instalación eléctrica).

La única prevención real consiste en cambiar nuestros hábitos. Igual que el avance del SIDA supuso una mayor cautela en la elección de los compañeros sexuales y el uso masivo de barreras mecánicas efectivas contra el virus (de modo que puede hablarse sin complejos de un antes y un después de la sexualidad humana desde mediados de los años ochenta); lo mismo habrá de suceder con el uso que damos a internet y a los sistemas de comunicación global, especialmente en lo referido a no poner todos los huevos en la misma cesta, algo arriesgadísimo y que sin embargo está proliferando de manera absurda en la telefonía móvil, en la que ya se nos presentan los terminales como utensilios para el pago directo de bienes y servicios accediendo directamente a nuestra cuenta corriente. Como si ya no fuera peligroso actualmente, vistos los numerosos casos de robos masivos de contraseñas y datos de redes sociales, el acceso no autorizado a las cámaras de los móviles y el saqueo de correos electrónicos de notables personalidades internacionales.  El teléfono móvil está actualmente concentrando lo mejor de las soluciones tecnológicas para la vida doméstica, pero también lo peor de sus vulnerabilidades. Si nuestro terminal queda bajo control ajeno, y si con él lo hacemos todo o prácticamente todo en nuestra vida diaria, estamos expuestos a un riesgo que ni la peor de las epidemias del pasado podría emular.

Cada vez somos más vulnerables y algo tendremos que hacer al respecto. O más interconexión o más seguridad, ése es el dilema. Es una elección difícil, pero no podremos escapar de ella.