La preocupante realidad que revelaron las filtraciones de Wikileaks

CIUDAD DE MÉXICO.- Nadie en la industria tecnológica está a salvo de los métodos de ciberespionaje de la Agencia Central de Inteligencia (CIA) de Estados Unidos, de acuerdo con los documentos revelados por WikiLeaks la semana pasada.

Mucho se ha hablado sobre cómo la CIA se enfocó en buscar vulnerabilidades en los dispositivos de los principales fabricantes como Apple, Google, Microsoft y Samsung, mas no son los únicos blancos.

En los más de 8 mil documentos divulgados por la plataforma creada por Julian Assange hay un apartado llamado “Productos de Seguridad Personal”, que hace referencia a las compañías encargadas de diseñar y desarrollar soluciones de seguridad informática como antivirus, firewall, antispam o antispyware, por nombrar algunos, y que sirven tanto para el usuario común como empresas.

Compañías como Kaspersky, F-Secure, Norton, Panda Security, ESET, Avast, Symantec, McAfee, GDATA, TrendMicro y AVG son algunos de los nombres que tenía la CIA en su lista de “Productos de Seguridad Personal”.

Los documentos filtrados por WikiLeaks no demuestran si la Agencia realmente logró encontrar alguna vulnerabilidad en los productos de esas empresas, ya que en la mayoría de los apartados sólo se tiene la leyenda “SECRET/NOFORN”, la cual indica que es información clasificada y que no debe ser compartida con ciudadanos extranjeros.

En casos muy particulares como el de Avast solamente se muestra el código para identificar los “procesos” que realizan sus productos y, en otros, incluso los califican. Esto último porque los agentes indicaron que F-Secure es “un producto de nivel inferior que les causa una dificultad mínima” y que sólo les causa “molestia” en temas relacionados con aplicaciones de troyanos.

Las reacciones

Al ser consultados por Excélsior, voceros de Kasperksy y Avast indicaron que no están sorprendidos por los programas de ciberespionaje, pero sí les preocupa que no exista una verdadera colaboración e intercambio de información en la industria de seguridad, lo que podría convertirse en una ventaja para los cibercriminales.

Por supuesto, la CIA y, probablemente la mayoría de las agencias de espionaje en el mundo, están buscando vulnerabilidades y tratando de explotarlas. Ése es su trabajo. Esta noticia no comparte ninguna información nueva o sorprendente, sino que simplemente confirma las capacidades del Estado”, respondió el CEO de Avast, Vince Steckler.

Y a pesar de que es esperado que la CIA busque vulnerabilidades para acceder a información relevante para la seguridad del país, los voceros de Kaspersky añadieron que este tipo de organizaciones “no deben gastar sus habilidades y recursos tratando de socavar productos de seguridad creados para proteger a las personas”.

De hecho, varias empresas del sector están tomando muy seriamente los documentos liberados por WikiLeaks buscando pistas que les muestren dónde pueden tener algún área de mejora.

Por ejemplo, los voceros de Symantec indicaron que no hay información o evidencia que indique que la CIA logró pasar o explotar una vulnerabilidad en sus productos y servicios. Sin embargo, están revisando cuidadosamente los documentos para identificar dónde mejorar la seguridad.

Kaspersky también precisó que un gran porcentaje de las vulnerabilidades reveladas, inclusive las relacionadas con sus productos, pertenecen a productos obsoletos y han sido corregidas en versiones más recientes.

Mientras que F-Secure se toma los comentarios de la CIA con gracia, ya que uno de sus principales analistas Mikko Hypponen mostró en Twitter la que podría ser una nueva caja de sus productos donde se añade la leyenda “Molesto alborotador: CIA”.

Por su parte, Andy Patel, quien es consejero senior de seguridad de F-Secure, indicó que las investigaciones comenzaron inmediatamente y se toman seriamente, aunque tardarán en tener un informe completo.

El verdadero problema

Los voceros de Kaspersky indicaron que el intercambio de información sobre nuevas vulnerabilidades es uno de los principios básicos de la industria de seguridad, algo que los documentos muestran que no está sucediendo.

Y es que la CIA supo de vulnerabilidades desde el día cero por años, sin avisar a los fabricantes y dando la oportunidad de que también los cibercriminales las encontraran y explotaran. Incluso John McAfee comparó esto con “no dar penicilina a una persona enferma”.

Lo cierto es que Assange se muestra cooperativo en este último punto, ya que aseguró que WikiLeaks compartirá con las compañías tecnológicas las herramientas de hackeo de la CIA para que puedan realizar los parches necesarios en sus sistemas.

Por último, Steckler consideró que esto debe ser una muestra para que haya más colaboración entre los proveedores de seguridad y los sistemas operativos, sobre todo móviles.

En su opinión, se necesita abrir y definir API’s para encontrar los códigos maliciosos ocultos y no tener que esperar a una fuga importante para averiguarlo.

La industria de la seguridad necesita este nivel de visibilidad y acceso para proteger a nuestros usuarios de 
las `hazañas´ del Estado y de los participantes en delito cibernético”, afirmó el especialista.