Empresas tecnológicas se apresuarn a evaluar daños por filtración CIA

15 de mar. (Dow Jones) -- Justo después de las ocho de la mañana del martes, de la semana pasada, los teléfonos móviles pertenecientes a ejecutivos del equipo de seguridad de Apple comenzaron a sonar alarmados. WikiLeaks acababa de publicar una enorme cantidad de documentos, supuestamente extraídos de la Agencia Central de Inteligencia (CIA, por sus siglas en inglés), que describían las capacidades de intrusión que tiene la agencia para espíar computadoras y otros dispositivos, incluyendo iPhones.

Los ingenieros de Apple rápidamente comenzaron a llamar a sus colegas para ponerlos al corriente sobre la publicación de datos y coordinar la respuesta de la compañía a esta nueva amenaza de seguridad, dijo una persona familiarizada con la situación.

Empresas de toda la industria de la tecnología se han apresurado a evaluar el daño provocado por los ocho mil 761 documentos publicados por WikiLeaks.

Los documentos, revelados por WikiLeaks, revelan el alcance del programa de espionaje cibernético encubierto de la CIA, y mostraron que la agencia estaba explotando errores de programación en los teléfonos móviles, enrutadores e incluso televisores conectados a internet en apoyo a sus actividades de espionaje.

Un portavoz de la CIA no confirmó si los documentos filtrados eran auténticos o comentó el estado de cualquier investigación sobre la filtración, pero criticó las acciones de WikiLeaks.

Para empresas como Apple, Google de Alphabet, Samsung Electronics y Microsoft, los riesgos son sustanciales.

Las herramientas de la CIA aparentemente pueden usarse para obtener acceso no autorizado a las computadoras y teléfonos inteligentes. Y debido a la naturaleza de alto perfil de la filtración de datos, es probable que las herramientas sean ampliamente utilizadas una vez que se divulguen.

WikiLeaks no ha revelado el código real que la CIA utilizó en sus operaciones, aunque el grupo dijo que el código “parece haber sido distribuido entre antiguos piratas cibernéticos y contratistas del gobierno de Estados Unidos de una manera no autorizada”.

Expertos en seguridad dijeron que es probable que éste sea público en un futuro próximo.

“Esto ha provocado unas cuantas semanas muy, pero muy ocupadas”, dijo Alex Rice, director de tecnología de HackerOne, una empresa de San Francisco que ayuda a las empresas a desarrollar programas de detección de errores. “No es pánico, no es caos, pero es mucho más energía consumida a medianoche que la de costumbre”.

Es difícil identificar con precisión todos los errores que los documentos de WikiLeaks han publicado hasta ahora, pero contienen suficientes detalles para que algunas empresas identifiquen algunos defectos en sus productos.

El miércoles pasado, Apple, Microsoft, Samsung y Google dijeron que aún estaban investigando, pero Apple y Google expresaron su confianza en que el impacto podría ser limitado gracias a las medidas ya tomadas para optimizar su sistema operativo móvil iOS.

“Aunque nuestro análisis inicial indica que muchos de los problemas que se filtraron hoy ya fueron subsanados con parches (actualizaciones) de programación en el último iOS, seguiremos trabajando para resolver rápidamente cualquier vulnerabilidad identificada”, dijo un portavoz de Apple.

En un comunicado emitido el miércoles, Google dijo: “Como hemos revisado los documentos, estamos seguros de que las actualizaciones de seguridad y las protecciones tanto de Chrome como de Android protegen a los usuarios de muchas de estas supuestas vulnerabilidades. Nuestro análisis continúa”.

Las empresas ahora se encuentran en una posición difícil: creen que al menos dos organizaciones tienen acceso al código de pirateo cibernético que explota sus productos --la CIA y WikiLeaks-- pero ninguna está compartiendo el programa.

Cisco Systems, que fabrica enrutadores y otros equipos de internet, dijo que sin más información sobre las herramientas exactas y el malware involucrado, “el alcance de la acción que Cisco puede realizar es limitado”. En un blog (diario electrónico), escribió que su análisis preliminar muestra que el malware dirigido a sus dispositivos podría permitir actividades como la recopilación de datos y la reorientación del tráfico de internet, y que las herramientas parecían estar diseñadas a evadir la detección de enrutadores e interruptores. Cisco dijo que espera que WikiLeaks publique el código malware.

Las grandes empresas de tecnología, como Apple y Google, hablan regularmente con agencias de inteligencia estadounidenses y han designado a personas internamente con autorización de seguridad federal que les permite a las compañías manejar solicitudes e información que son confidenciales, dijo una persona que ha trabajado con las empresas en asuntos de seguridad.

Pero es improbable que la CIA proporcione información sobre sus ataques, porque esos datos podrían utilizarse para determinar a quién se han dirigido para su vigilancia, dijo Dan Guido, director de Hack/Secure, una empresa de inversiones en seguridad cibernética. “Ellos no harían esto”, agregó.

Un portavoz de la CIA se negó a comentar si la agencia trabajaría con compañías tecnológicas para corregir estos defectos.

WikiLeaks realizó el miércoles de la semana pasada una encuesta en línea preguntándoles a sus usuarios si debería trabajar directamente con empresas de la tecnología para ayudar a solucionar rápidamente las vulnerabilidades utilizadas por la CIA. Hasta ese miércoles por la tarde, 53% de los ocho mil 500 encuestados habían votado sí. WikiLeaks no respondió a los mensajes con los que se buscaban sus comentarios.

Durante la década pasada, el gobierno federal creó un programa llamado Vulnerability Equities Process (Proceso de Vulnerabilidad Fiduciaria) para compartir información sobre defectos de seguridad que descubre con compañías de Estados Unidos.

Funcionarios están discutiendo si deben o no usar ese proceso para revelar más información sobre los temas descritos en los documentos publicados por WikiLeaks, pero eso es probable que involucre una larga revisión de diferentes agencias, dijo una persona familiarizada con la situación.

La Casa Blanca, que gestiona el proceso, no respondió de inmediato a un mensaje de correo electrónico buscando sus comentarios sobre el tema.

Mientras tanto, la publicación de WikiLeaks es probable que ponga de relevancia el Proceso de Vulnerabilidad Fiduciaria y la cuestión de si el gobierno debe hacer más para mejorar la seguridad de los productos de la tecnología, y si la CIA debería haber revelado algunos de estos errores anteriormente. “Parecería extraño que durante un período de casi una década ninguna de estas vulnerabilidades cumpla con los criterios de divulgación recomendados por el Proceso de Vulnerabilidad Fiduciaria”, dijo Rice, de HackerOne.

Incluso es un escenario que muy bien podría repetirse de nuevo si WikiLeaks revela nuevos secretos supuestamente tomados de la CIA. El grupo dijo que ha revelado apenas 1% de los documentos en su poder. “Si es que tienen muchos más, eso creo que pondrá muy nerviosa a muchas personas”, dijo Thomas Rid, profesor de estudios de seguridad en el King's College de Londres.

Traducido por  Luis Felipe Cedillo