Bloomberg — Además de las sirenas antiaéreas, los bombardeos y los desplazamientos ocasionales que perturban sus vidas, los estresados ucranianos que mantienen en funcionamiento las infraestructuras críticas de su país se enfrentan a otro peligro: el fuerte aumento de los ciberataques.
Para hacer frente a esta amenaza, las autoridades de Ucrania certificaron el 5 de abril el uso por parte del gobierno de llaves de seguridad físicas, que son pequeños dispositivos portátiles que proporcionan una capa adicional de seguridad.
Ucrania está distribuyendo las llaves al mayor número posible de organismos públicos, dijo Oleksandr Potii, jefe adjunto del Servicio Estatal de Comunicación Especial y Protección de la Información. El gobierno quiere “impulsar soluciones de autenticación sin contraseña a prueba de phishing (delito de engañar a las personas para que compartan información confidencial como contraseñas y números de tarjetas de crédito) en Ucrania”, dijo.
Ellos han recibido ayuda de Yubico Inc., una empresa con sede en Palo Alto, California que ha donado 20.000 “Yubikeys”, y de Hideez Group, una empresa de ciberseguridad con sede en Herndon, Virginia, que opera en Ucrania y está colaborando en la logística.
La ayuda no ha llegado demasiado pronto. Los trabajadores ucranianos de una empresa estatal del sector de infraestructuras críticas están tan estresados por la guerra que muchos olvidan sus contraseñas y las cambian por versiones débiles y fáciles de recordar, según el jefe de ciberseguridad de la empresa. Los atacantes también están automatizando los intentos de contraseña dos veces por hora para evitar que se produzcan cortes de seguridad, y utilizan viejas listas de contraseñas filtradas y otras técnicas para arengar al personal, dijo el funcionario.
Un funcionario de inteligencia occidental dijo a Bloomberg News que era mucho más fácil para los hackers ir tras las personas que gestionan los servicios esenciales que tras los equipos que los sustentan, como subestaciones, interruptores de telecomunicaciones y otros. El funcionario añadió que, para que los hackers tengan éxito, es esencial que sus objetivos humanos respondan con estrés, y describió el phishing como un ataque personal más que técnico.
“Se trata de poner a alguien en un estado psicológico elevado, de modo que no piense racionalmente”, dijo el funcionario, explicando que incluso quienes están entrenados para no hacer clic en los enlaces sospechosos que caracterizan a los correos electrónicos de phishing pueden cometer errores bajo coacción.
Las claves de seguridad son un método de autenticación adicional que se basa en la criptografía de clave pública, verificando la identidad de un usuario mediante la comprobación de la información almacenada en un chip con los servidores en línea. Son menos susceptibles de ser comprometidas que los nombres de usuario y las contraseñas, que pueden ser adivinados por bots o robados y vendidos en foros de la web oscura.
Google, que también ofrece sus propias claves de seguridad, anima a utilizarlas a las personas y organizaciones con mayor riesgo de sufrir ataques en línea, como los funcionarios electos, las campañas políticas, los activistas y los periodistas.
Los expertos en ciberseguridad señalan que las claves no están exentas de inconvenientes, como el coste y el riesgo de perderlas. La donación de Yubico de 20.000 claves tiene un valor de venta de 1 millón de dólares, ya que los dispositivos YubiKey cuestan aproximadamente US$50 cada uno (otras empresas tecnológicas, como Microsoft Corp. (MSFT) y Google, de Alphabet Inc. (GOOGL), han prestado servicios para ayudar a la ciberdefensa de Ucrania).
Para poner las claves de seguridad en manos de los empleados, el gobierno ucraniano aceleró lo que normalmente es un proceso de certificación de seis meses para la introducción de nuevas herramientas cibernéticas en todo el gobierno a sólo unas cuantas semanas.
El gobierno ucraniano declaró la semana pasada que el país ha sufrido el triple de ciberataques en el primer mes y medio de guerra que en el mismo periodo del año pasado. Se han producido 786.000 intentos de hackeo contra la empresa propiedad del Estado desde el inicio de la guerra, frente a los 22.000 de todo 2021, según el responsable de ciberseguridad de la compañía, que pidió el anonimato por motivos de seguridad.
Las empresas estatales ucranianas, el ejército y los servicios de inteligencia están entre los beneficiarios del esfuerzo, con unas 10.000 claves distribuidas hasta ahora, dijo Oleg Naumenko, CEO y fundador de Hideez.
Naumenko, que fundó Hideez en 2017 después de decir que su cuenta bancaria fue vaciada de fondos, ha distribuido previamente 10.000 claves de seguridad producidas por su propia empresa en toda Ucrania. Pero dijo que en el momento en que comenzó la guerra, el 24 de febrero, no le quedaba ninguna en su almacén. El empresario huyó de Kiev tras esconderse en un aparcamiento subterráneo durante los primeros seis días de la guerra con su mujer, su hija adolescente y su gato.
Su empresa pidió ayuda a Yubico. A las pocas horas de recibir la solicitud, el 4 de marzo, Stina Ehrensvärd, directora general y cofundadora de Yubico, autorizó la donación de 20.000 “YubiKeys” al gobierno ucraniano.
“Están siendo atacados tanto en el mundo físico como en el digital”, dijo Ehrensvärd. “La realidad es que en una guerra hay que entrar en muchas cosas”.
Aun así, distribuir las claves durante un conflicto sangriento e imprevisible ha resultado difícil.
Yuriy Ackermann, un ucraniano que vive en el extranjero y está especializado en autenticación, se unió a Hideez como voluntario tras la invasión rusa. No le pagan, pero le dieron un título: vicepresidente de esfuerzos bélicos. Dijo que dependen de un mosaico de servicios de correo del gobierno, de conductores privados de confianza “e incluso de amigos que simplemente conducen por ahí” para distribuir las llaves.
Naumenko dijo que era imposible entregar llaves en algunas regiones de Ucrania debido al conflicto. “Ahora la principal necesidad la tienen los proveedores de electricidad y los organismos militares”, dijo, y añadió que calculaba que Ucrania necesitaba más de 100.000 llaves.
Este artículo fue traducido por Estefanía Salinas Concha.
