La precaria ciberseguridad de Colombia

Se identifican como soldados de la libertad pero tienen t¨¦cnicas de extorsionistas. Un grupo an¨®nimo de hackeo llamado RansomHouse naci¨® en marzo de este a?o con un doble discurso sobre la ciberseguridad. Dicen querer proteger a los usuarios de las grandes empresas alrededor del mundo que no cuidan su informaci¨®n personal. Pero luego hacen un ataque inform¨¢tico a estas para demostrar que pueden robar sus datos privados y extorsionan a la empresa a que pague a cambio de no publicarlos (o venderlos). Ransom, en ingl¨¦s, se traduce a ¡®rescate¡¯. En ese sentido, RansomHouse no oculta su objetivo: roba datos privados para pedir una coima.

A finales de noviembre el grupo atac¨® el sistema inform¨¢tico de la empresa Keralty, que opera servicios de salud en 11 pa¨ªses. En Colombia es due?a de la EPS Sanitas y de la empresa de medicina prepagada Colsanitas, que administran la salud a m¨¢s de cinco millones de colombianos. Los ciudadanos de repente no pod¨ªan agendar o acceder digitalmente a citas m¨¦dicas, ex¨¢menes, o realizar tr¨¢mites administrativos. Y el 19 de diciembre RansomHouse hizo p¨²blico, a trav¨¦s de la red social Telegram, que ellos estaban detr¨¢s del hackeo. ¡°Las v¨ªctimas son usuarios pobres¡±, les escribi¨® un usuario de Telegram que vive al lado de un centro de Sanitas donde se acumulaba una fila interminable de personas mayores. RansomHouse le respondi¨® que, ¡°desafortunadamente¡±, estaban a¨²n negociando con Keralty. ¡°?Liberen la p¨¢gina de Sanitas!¡±, les escribi¨® otra usuaria.

¡°Desde el momento que nos enteramos del ciberataque contratamos a expertos cibern¨¦ticos y auditores forenses a nivel nacional e internacional¡±, dijo en rueda de prensa Sergio Mart¨ªnez, CEO global de Keralty, que neg¨® estar negociando una coima con el grupo de extorsionistas. Asegur¨® que est¨¢n investigando qu¨¦ informaci¨®n podr¨ªa estar expuesta ¡ªRansomHouse dice que consigui¨® obtener 0.7 terabytes de informaci¨®n, y mostr¨® en la deep web 13 documentos para demostrar que no estaban mintiendo¡ª y a?adi¨® que est¨¢n en proceso de volver m¨¢s robusto su esquema de ciberseguridad. ¡°En otras palabras ten¨ªamos una valla de forja que proteg¨ªa nuestra casa, y ahora hemos puesto un muro de concreto¡±, dijo Mart¨ªnez .¡±Sabemos que algunos tr¨¢mites no son tan sencillos como lo eran antes y en algunos casos volvimos al papel y al bol¨ªgrafo: puede parecer que volvimos a los 90. ?Pero saben? A esta organizaci¨®n se la valora por las personas que la conforman¡±, a?adi¨®.

Aunque RansomHouse es un grupo que delinque a nivel internacional ¡ªen los ¨²ltimos nueve meses ha hackeado empresas desde el sur de ?frica hasta Filipinas¡ªlas autoridades colombianas ya est¨¢n investigando el caso. Ese ciberataque es el m¨¢s reciente de una creciente vulnerabilidad en Colombia a este tipo de delitos. De acuerdo al Centro Cibern¨¦tico de la Polic¨ªa Nacional, en todo el 2021 hubo 11.223 denuncias de ciberataques, mientras que de enero a octubre del 2022 la cifra se hab¨ªa multiplicado a 54.121 denuncias.

Muchos de esos ciberdelitos son robos a ciudadanos a trav¨¦s de sus m¨®viles: cuando, por ejemplo, hacen clic en un enlace desconocido que les llega por mensaje de texto. Pero otros son casos m¨¢s emblem¨¢ticos. En noviembre, por ejemplo, una persona hacke¨® una transmisi¨®n virtual del Senado de la Rep¨²blica para transmitir un video pornogr¨¢fico en el que un hombre se masturbaba. Otro ejemplo ocurri¨® en febrero de este a?o, cuando un hackeo al Invima (Instituto Nacional de Vigilancia de Medicamentos y Alimentos) paraliz¨® al puerto de Buenaventura porque los alimentos y otras mercanc¨ªas no pod¨ªan transportarse sin Certificados de Inspecci¨®n Sanitaria.

¡°El sector m¨¢s afectado [por estos ciberdelitos] en los ¨²ltimos seis meses ha sido el de salud, por ser el m¨¢s vulnerable y el que m¨¢s tiende a pagar rescates¡±, dice a EL PA?S el senador David Luna, qui¨¦n fue Ministro de Tecnolog¨ªas y de la Informaci¨®n (TIC) del 2015 al 2018. Son m¨¢s vulnerables porque las empresas de salud tienen informaci¨®n privada de casi todos los colombianos (99% de los ciudadanos est¨¢n afiliados a una), y no cualquier informaci¨®n: saben sus enfermedades, h¨¢bitos o ingresos. Entre los hackers, una historia cl¨ªnica vale oro.

El senador Luna a?ade que en los ¨²ltimos a?os se han debilitado las instituciones encargadas de luchar contra los ciberdelitos. ¡°Colombia era uno de los pa¨ªses m¨¢s preparados, con una institucionalidad fuerte, como un comando conjunto sobre delitos cibern¨¦ticos, un centro cibern¨¦tico policial, un sistema de respuesta r¨¢pida, y lamentablemente entre el pasado Gobierno y lo que va de este se ha disminuido personal, capacidades, y la situaci¨®n es bastante critica¡±, dice el senador. ¡°Ahora en el nuevo Gobierno dicen que quieren crear una nueva agencia [un ¡°observatorio de ciberseguridad¡±], pero yo recomendar¨ªa fortalecer lo que ya hay¡±. El senador prepara un debate en el Congreso sobre las consecuencias que tienen los ciberataques.

Bayron Prieto es un experto en el pa¨ªs en temas de seguridad cibern¨¦tica. Fue director de inform¨¢tica forense de la Superintendencia de Industria y Comercio, y es director de la empresa de seguridad inform¨¢tica Ediligence. Concuerda con el senador Luna en que falta fortalecer el sistema de protecci¨®n inform¨¢tica desde el Estado, como en la Fiscal¨ªa o en el Ministerio de TIC. ¡°No es que no existan instrumentos de pol¨ªtica, se han hecho muchos documentos, pero se han quedado en el papel y el Estado se ha quedado cojo¡±, dice Prieto. ¡°Un ejemplo muy claro es que el presidente Petro no ha nombrado a¨²n a su Superintendente de Industria y Comercio, que es el m¨¢ximo ¨®rgano de protecci¨®n de nuestros datos personales. Eso, en mi opini¨®n, demuestra un desinter¨¦s¡±.

Prieto explica que las empresas tambi¨¦n tienen, obviamente, una responsabilidad: mientras los hackers aprenden nuevas rutas para llegar a informaci¨®n privada, las empresas deben estar actualizando sus medidas preventivas para evitar hackeos. Pero eso debe ir paralelo a los esfuerzos del estado para perseguir esos delitos o apoyar a las empresas m¨¢s vulnerables (como las de salud, que son m¨¢s atractivas que, por ejemplo, una empresa de cemento) para prevenir hackeos.

¡°Si alguien roba una casa, el Estado no puede solo decir: ¡®es que usted ten¨ªa que poner una alarma¡¯, sino que tiene que proteger el cuadrante, tiene que fortalecer a la polic¨ªa, a la Fiscal¨ªa, y eso no veo que ocurra¡±, dice Prieto.

Suscr¨ªbase aqu¨ª a la newsletter de EL PA?S sobre Colombia y reciba todas las claves informativas de la actualidad del pa¨ªs.