Ciberguerra

En las décadas de 1950 y 1960, la investigación sobre armas biológicas modernas estaba en pleno auge en los Estados Unidos, y en todos los países con potencial militar y aspiraciones hegemónicas regionales o globales. Fort Detrick era -y es todavía- la mítica base de investigación en armas biológicas y sede del USAMRIID, oscuro acrónimo que se refiere al brazo armado biológico del ejército norteamericano.

En Fort Detrick se desarrollaron multitud de armas biológicas, y sobre todo se realizó investigación sobre los vectores más adecuados para su diseminación. Algunos de ellos muy curiosos, como bombas que contenían decenas de miles de pulgas o mosquitos que, convenientemente infectados, podían causar epidemias devastadoras en el frente o en la retaguardia.

Sin embargo, la forma más efectiva de usar las armas biológicas ha sido siempre mediante el uso de medios y agentes dispersantes que facilitaran la contaminación de amplias zonas geográficas. Para ello, se hicieron multitud de ensayos con animales y con voluntarios, preferentemente militares, que fueron expuestos a agentes infecciosos de diversa potencia, bajo programas -como la Operación Whitecoat- que fueron alto secreto durante decenios.

Estos programas de guerra biológica necesitaban, sin embargo, de ensayos reales sobre zonas pobladas, y específicamente sobre la población civil. Así que, ni corto ni perezoso, el Departamento de Defensa autorizó el uso de bacterias de escasa o nula patogenicidad para las pruebas sobre zonas densamente pobladas. Destaca la dispersión en la bahía de San Francisco de bacterias presuntamente inocuas pero fácilmente trazables en un ensayo de los años cincuenta del siglo pasado. También se efectuaron ensayos en el metro de Nueva York en la década de los sesenta. Todos estos experimentos tenían como objetivo la optimización de los vectores de lanzamiento y dispersión de los agentes biológicos en medios densamente poblados, tanto para la planificación de ataques sobre el enemigo como para la biodefensa de los militares y de la población civil en caso de guerra.

A finales de los años sesenta, el presidente Nixon prohibió y canceló toda investigación y desarrollo de armas biológicas, y lo mismo hicieron casi todas las potencias que habían invertido esfuerzos en ellas. Sobre todo debido a la convicción de que las armas biológicas eran terriblemente incontrolables y no podía garantizarse su contención fuera de un teatro de operaciones limitado. Fort Detrick siguió existiendo, y también el USAMRIID, que en su momento álgido llegó a contar con más de ochocientos efectivos y que hoy en día alberga uno de los laboratorios  biológicos más avanzados del mundo, de los pocos con nivel de bioseguridad 4.

Hoy los esfuerzos de guerra se han trasladado de Fort Detrick a Fort Meade, a poco más de setenta kilómetros en el mismo estado de Maryland. Fort Meade es la sede del Cyber Command de los Estados Unidos, una rama del Departamento de Defensa que cuenta con una plantilla teórica de seis mil empleados (frente a los ochocientos del USAMRIID en su época de esplendor) y que comparte instalaciones con la National Security Agency, un monstruo del ciberespionaje y de la inteligencia electrónica, con una plantilla que es información clasificada pero que se estima en más de treinta mil efectivos. De hecho, el director de la NSA es a su vez el del Cyber Command, con lo cual sólo quiero poner de manifiesto la tremenda interpenetración y desdibujamiento entre inteligencia electrónica civil y militar por un lado, y los ingentes recursos que los Estados Unidos dedican a la ciberdefensa y a la guerra en la red, por el otro.

Aunque todos los programas del Cyber Command son clasificados y muy poco conocidos, es asumido por todos los expertos que en Fort Meade se desarrollan y prueban decenas, si no centenares, de virus informáticos, en la convicción de que las guerras del futuro serán guerras en la red. Serán confrontaciones en las que cada oponente buscará la parálisis de los sectores estratégicos del enemigo: comunicaciones, energía, transportes, sanidad, entre otros.

Un enemigo paralizado es un enemigo inerme, y su rendición será inmediata sin casi disparar ni un sólo tiro. El que consiga penetrar las ciberdefensas del oponente lo tendrá  bajo control absoluto. De ahí la escalada de gasto en investigación de ciberguerra que se está produciendo en los últimos años en todos los países avanzados. Pocas cosas se saben públicamente de todo este asunto, pero algunos retazos han salido a la luz, como por ejemplo, el caso de Stuxnet, un patógeno muy sofisticado con el que se inutilizaron cientos de centrifugadoras para el programa iraní de enriquecimiento de uranio. 

El caso de Stuxnet fue muy particular, porque las instalaciones nucleares iraníes estaban aisladas de internet, y era preciso que el virus se introdujera mediante un soporte físico, presumiblemente un pendrive de algún empleado de alto nivel, que se conectó a un ordenador mediante un puerto USB y de ahí propagó la infección por toda la instalación hasta afectar al programa que controlaba la velocidad de las centrifugadoras, destruyendo gran parte de ellas.  Con esto se demostró que un virus  lo suficientemente sofisticado era capaz de afectar instalaciones estratégicas de un país enemigo.

La siguiente fase en esta escalada cibermilitar consiste en conseguir que el vector de la infección no sea físico, sino que el virus pueda transportarse y diseminarse por la misma red y tal vez quedar aletargado e indetectable -durmiente- hasta que sea preciso activarlo. La biología y la bioquímica han suministado muchas ideas al respecto, porque en el fondo, los virus informáticos copian estrategias biológicas para su propagación, reproducción y ocultación.

Ahora bien, los expertos coincidieron en su momento que Stuxnet no podía ser obra de unos hackers aficionados, por muy competentes que fueran. La razón es que Stuxnet es un virus de tal complejidad y sofisticación que se han necesitado muchísimos recursos económicos y la intervención de todo tipo de especialistas en su diseño, algo que sólo está al alcance de unos pocos organismos gubernamentales. Ni siquiera las grandes empresas privadas, por si solas, podrían haber sido capaces de elaborar algo tan letal.

Así pues, la siguiente generación de ciberpatógenos se ha de caracterizar por poderse difundir por la red de forma masiva pero camuflada y permitir un ataque contra multitud de objetivos enemigos de forma coordinada y simultánea. Dado que la mayoría de los organismos altamente sensibles de un país suelen intentar autoprotegerse con escudos  realmente formidables, lo más sencillo es utilizar caballos de troya, en forma de usuarios autorizados que no son conscientes de ser los vectores de una infección gravísima. Y cuantos más usuarios estén infectados, más probabilidades hay de que alguno de ellos consiga atravesar las barreras de contención. La analogía con la fecundación sexual es evidente: hay millones de espermatozoides  "atacando" un sólo óvulo, pero eso garantiza que, al menos uno de ellos alcanzará su objetivo. 

En el reciente ataque masivo, que ha afectado a decenas de países y a infraestructuras muy sensibles de comunicaciones, transportes, sanidad y grandes empresas de diversos países, se distinguen claramente todos los elementos que he apuntado anteriormente, por lo que parece muy difícil -aún a costa de parecer un conspiranoico- que semejante destrozo lo hayan causado unos hackers gamberros, unos delincuentes comunes o unos ciberterroristas, pues es muy poco verosímil que ninguno de estos grupos que operan actualmente disponga de los recursos económicos y humanos suficientes para diseñar algo que cause tal volumen de estragos, bajo la improbable cobertura de una extorsión criptográfica por trescientos miserables dólares de rescate.

Más bien parece una especie de ensayo de un arma de ciberguerra, o del estudio del sistema de vectorización y difusión de un patógeno  de forma similar a los que el USAMRIID supervisaba en los años de la guerra biológica. Idea reforzada por el hecho de que Microsfot había advertido de la vulnerabilidad a la NSA en el mes de marzo, y que al parecer (sólo al parecer) la NSA omitió descaradamente en sus boletines de alerta, pese a la peligrosidad que entrañaba esa vulnerabilidad. Es decir, este episodio podría ser un ensayo relativamente inocuo, pero que seguramente ha aportado muchísima información vital al Cyber Command, Porque lo que es seguro es que el estudio de la infección, su difusión y el modo de controlarla han supuesto una cantidad ingente de datos para la elaboración de las estrategias de la guerra cibernética que asoma en el horizonte de un futuro no muy lejano.