Toda aquella persona cercana a los círculos del poder económico o político, están expuestas a sufrir ciberataques con consecuencias catastróficas. Desde sabotear una campaña electoral, dañar la imagen pública de algún funcionario u organización, hasta la extorsión económica a cambio de no revelar información sensible.

Los datos son duros, sin embargo, para muchos políticos, empresarios, periodistas, consultores políticos, los escándalos mediáticos de los últimos años sobre ciberespionaje, sobre estadística de los principales riesgos en el uso de las tecnologías de la información y comunicación (TICs); parecieran no ser suficientes para tomar medidas al respecto, hasta que la realidad los golpea y ya para ese entonces, poco o nada podrá hacerse.

Y es que, los hay de todo. Quienes piensan que la honestidad y el buen comportamiento social es la vacuna perfecta contra estas prácticas, porque de ser espiados -según ellos- no importaría, ya que “no esconden nada” y poco o nada podrían utilizar en su contra. Nada más irresponsable e ingenuo como esta creencia. También, están aquellos que están conscientes de los riesgos, pero poco o nada hacen por mitigarlos o gestionarlos de forma adecuada.

Pero para comprender mejor el problema, necesitamos hacer el planteamiento con tres elementos clave; el entorno; las amenazas que enfrentamos o podríamos enfrentar; y la gestión de los riesgos.

En principio debemos asumir que, en el contexto actual, el caos predomina, y más lo están las campañas electorales; son pasajeras, vulnerables en sí mismas, carentes de políticas y medidas de seguridad robustas o en algunos casos son inexistentes.

Además, podemos decir que no hay tecnología, infraestructura tecnológica o empresa que sea 100% segura. Todas han caído y todas han sufrido brechas de seguridad importantes, y la gran mayoría, su información ha sido comprometida.

En este mismo contexto nos encontramos con el eslabón más débil en la cadena de seguridad: el factor humano. Más del 80% de los ciberincidentes son a causa de un descuido o falla en la concientización del personal.

Por otro lado, tenemos las amenazas, éstas pueden Estados-Nación tanto locales como extranjeras, grupos hacktivistas, cibercriminales o APTs (Amenazas Persistentes Avanzadas) las cuales son las más peligrosas por sus características de sofisticación y efectividad. Sin embargo, también están los ex empleados resentidos o las catástrofes naturales, entre otras.

Todas estas amenazas siempre estarán ahí, algunas serán coyunturales y otras —como las agencias de inteligencia— tienen un papel más persistente y estables en el tiempo, ya que su tarea es constante, la de obtener información para efectos de inteligencia que, en muchos casos, esta información es utilizada para fines políticos.

Imagine en una campaña electoral en donde cientos de personas entran y salen de la sede de campaña, y con ellos, cientos de dispositivos móviles conectándose a su red wifi. Además, uno que otro infiltrado logra inyectar archivos maliciosos en su red, computadoras o servidores; sencillamente el caos total, sin control, sin protección y sin protocolos de seguridad ni mucho menos manuales de manejo de crisis; la tormenta perfecta.

Las bases de datos de sus votantes y promovidos se filtran. Sus ciberadversarios tienen meses extrayendo información de manera silenciosa, y de pronto, se encuentra a 3 días de la elección. Su coordinador de campaña llega a la sede, enciende su ordenador, y ve un mensaje tenebroso anunciando que han sido hackeados y que toda la información de su campaña está encriptada, quienes a su vez le solicitan una cuantiosa suma de dinero a cambio de desencriptar los discos duros, sin la certeza evidentemente que, una vez se haya realizado el pago, la información sea liberada. ¿Qué vas a hacer?

Los cibercriminales cada día mejoran sus habilidades y desarrollan herramientas más sofisticadas que les permiten romper cualquier medida de seguridad. Además, tienen acceso a enormes cantidades de información o recursos tecnológicos sofisticados disponibles en la Dark Web —algo así como el mercado negro, pero del internet— quienes, con mucha frecuencia, pueden llevar a cabo un ataque de enormes proporciones; tanto a empresas, gobiernos, campañas o individuos teniendo enormes posibilidades de alcanzar sus objetivos de ataque.

El contexto en el que hoy vivimos nos exige abrazar el conocimiento, la capacitación constante, la proactividad en adoptar nuevos hábitos que nos ayuden a mitigar y disminuir radicalmente los riesgos de ser víctimas de un ciberataque, o prácticas comunes como el ciberespionaje.

Hoy en día podemos decir que la información ya no es poder, si no se sabe cómo utilizarla. Y esto lo tienen claro los actores atacantes.

Imagina que por las razones que sean —ideológicas, políticas, religiosas o económicas— estos atacantes disidieran que tú eres un objetivo para ellos, el obtener información ya no es un problema, bastaría con realizar un barrido por redes sociales, brechas de seguridad públicas, y en un par de horas, lo que antes a una agencia de inteligencia podía tomarle semanas, hoy en un par de horas se puede conseguir todo un perfil del objetivo; biografía, árbol de relaciones, comportamiento digital, información sensible como fotos, videos y documentos confidenciales.

La privacidad es un derecho humano inalienable el cual muchos valoramos, pero poco se hace para garantizarlo. Somos nosotros mismos el principal verdugo de la privacidad al no tener plena conciencia de los riesgos en el uso de las TICs y exponer nuestras comunicaciones e información sin una correcta gestión de la seguridad de las mismas.

Finalmente podemos decir, que los riesgos se materializan cuando las vulnerabilidades tecnológicas se encuentran con las amenazas que nos asechan; en ese momento el riesgo aparece y si no se tienen capacidades de prevención, de protección y reacción, lo siguiente puede tener impacto catastrófico para los objetivos de las víctimas, que pueden ser gobiernos, partidos políticos, funcionarios etc.

Nunca es demasiado tarde para comenzar a capacitarse sobre cómo gestionar los riesgos en el uso de las TICs; de establecer protocolos en caso de ser víctimas de un ciberataque o ciberespionaje; de saber a quién acudir en caso de que esto ocurra y, sobre todo, ser proactivos ante un ambiente cada vez más hostil e impredecible como el ecosistema digital.

En política, la privacidad sólo existe en la mente y es precisamente ahí la primera batalla que debemos ganar: en la mente.

Tenemos que recablear nuestra forma de pensar y asumir que vivimos en un mundo en dónde se libran batallas paralelas que no se ven, pero que definitivamente tienen un impacto político, económico y social de una nación.

La responsabilidad de proteger nuestra información y blindar comunicaciones es de todos, pero principalmente de los tomadores de decisiones.

Lo importante, es tener claro que una sólo medida de seguridad por sí misma, no es suficiente para proteger y defendernos de las amenazas que se enfrentan, para eso, es necesario establecer una estrategia de ciberseguridad; robusta, flexible y holística.

Al final, la inversión que hagamos en materia de ciberseguridad deberá ser proporcional a las amenazas que enfrentamos y teniendo plena conciencia de las consecuencias de no tenerlo claro, pues siempre habrá quienes se aprovechen de ello y seguramente serán tus adversarios.

Por Efraín Hernández.