Trace Id is missing

Defendiendo Ucrania: Primeras lecciones de la guerra cibernética

Las operaciones de ciberinfluencia son una táctica prevalente en la guerra contra Ucrania

La historia registrada de cada guerra suele incluir un relato de los primeros disparos y quién fue testigo de ellos. Cada relato proporciona un vistazo no solo al inicio de la guerra, sino también a la naturaleza de la era en la que vivía esa gente.

Los historiadores que hablan sobre los disparos de la Guerra Civil Estadounidense de 1861 suelen describir pistolas, cañones y barcos alrededor de un fuerte cerca de Charleston, Carolina del Sur.

Los eventos que llevaron al inicio de la Primera Guerra Mundial en 1914 siguieron a un ataque terrorista a plena luz del día en una calle de Sarajevo con granadas y una pistola para asesinar al archiduque del Impero Austro-Húngaro.

Los hechos acaecidos cerca de la frontera de Polonia 25 años más tarde no se aclararon hasta los juicios de Nuremberg. En 1939, las tropas de las SS Nazis, vestidas con uniformes polacos, escenificaron un ataque contra una estación de radio alemana. Adolf Hitler citó esos ataques como la justificación para la invasión relámpago que combinó tanques, aviones y tropas terrestres para arrasar las ciudades polacas y oprimir a la población civil.

Cada uno de estos incidentes proporciona un relato de la tecnología de la época, que tendría un papel fundamental en la guerra y las vidas de las personas que la sufrieron.

La guerra de Ucrania sigue este mismo patrón. Las fuerzas militares rusas cruzaron la frontera de Ucrania el 24 de febrero de 2022 con una combinación de tropas terrestres, tanques, aviación y misiles de crucero. Pero los primeros disparos se realizaron horas antes, cuando el calendario aún estaba en el 23 de febrero. Implicaron un ciberarma denominada "Foxblade", que se desplegó contra los PC en Ucrania. Al igual que sucede con la tecnología de nuestra época, las primeras personas en ver el ataque se encontraban a medio mundo de distancia, trabajando en Redmond, Washington, en los Estados Unidos.

Como con otros aspectos, esto captura la importancia de un vistazo conjunto a los primeros meses de la guerra en Ucrania, que han sido devastadores para el país en cuanto a la destrucción y la pérdida de vidas, incluidas las de civiles inocentes. Si bien nadie puede predecir cuánto durará esta guerra, ya queda claro que refleja una tendencia observada en otros conflictos importantes de los últimos dos siglos. Los países llevan a cabo guerras empleando la última tecnología, y las guerras en sí aceleran el cambio tecnológico. Por tanto, es importante la evaluación continua del impacto de la guerra en el desarrollo y uso de la tecnología.

La invasión rusa se basa en parte en una ciberestrategia que incluye al menos tres esfuerzos distintos y en ocasiones coordinados: ciberataques destructivos en Ucrania, penetración de redes y espionaje fuera de Ucrania, y operaciones de ciberinfluencia dirigidas a personas de todo el mundo. Este informe proporciona una actualización y análisis de cada una de estas áreas y la coordinación entre ellas. También ofrece ideas sobre cómo contrarrestar mejor estas amenazas en esta guerra y mas allá, con nuevas oportunidades para organismos gubernamentales y el sector privado de colaborar mejor.

El aspecto cibernético de la actual guerra va más allá de Ucrania y refleja la naturaleza única del ciberespacio. Cuando los países envían el código a la batalla, sus armas se mueven a la velocidad de la luz. Las vías de comunicación globales de Internet implican que las ciberactividades eliminan muchas de las protecciones históricas que ofrecen las fronteras, los muros y los océanos. E Internet, a diferencia de la tierra, el mar y el aire, es una creación humana que depende de una combinación de propiedad, operaciones y protección del sector público y del privado.

Esto lleva a que sea necesaria una nueva forma de defensa colectiva. Esta guerra posiciona a Rusia, una de las principales ciberpotencias, no solo frente a una alianza de países. La ciberdefensa de Ucrania depende de una coalición de países, empresas y ONG.

Ahora, el mundo puede empezar a evaluar las fortalezas y debilidades iniciales y relativas de las ciberoperaciones ofensivas y defensivas. ¿En qué situaciones tienen éxito las defensas colectivas a la hora de limitar los ataques y en qué situaciones se quedan cortas? ¿Qué tipos de innovaciones tecnológicas se están dando? Y, en especial, ¿qué pasos son necesarios para una defensa eficaz contra los ciberataques en el futuro? Entre otros aspectos, es importante basar estas evaluaciones en datos precisos y no dejarse engañar por una falsa sensación de tranquilidad debido a la percepción externa de que la ciberguerra en Ucrania no ha sido tan destructiva como se temía.

Este informe ofrece cinco conclusiones basadas en los cuatro primeros meses de la guerra:

En primer lugar, la defensa contra la invasión militar ahora requiere que la mayoría de países cuenten con la capacidad de implementar y distribuir recursos digitales en las fronteras y otros países.

No es de sorprender que Rusia atacase al centro de datos del gobierno ucraniano con un ataque temprano con misiles de crucero, y otros servidores locales también fueron vulnerables a ataques por armas convencionales. Rusia también realizó ataques "de barrido" contra redes de equipos locales. Pero el gobierno ucraniano también ha sustentado exitosamente sus operaciones militares y civiles actuando de forma rápida para trasladar su infraestructura digital a la nube pública, hospedada en centros de datos de toda Europa.

Esto ha requerido pasos urgentes y extraordinarios por parte de los miembros del sector tecnológico, incluida Microsoft. Si bien el trabajo del sector tecnológico ha sido crucial, también es importante pensar sobre las lecciones duraderas que resultan de estas tareas.

En segundo lugar, los recientes avances en inteligencia sobre amenazas y protección en puntos de conexión han ayudado a Ucrania a resistir a un gran porcentaje de ciberataques rusos destructivos.

Dado que estas ciberactividades son invisibles para el ojo humano, es más difícil que los periodistas e incluso los militares las rastreen. Microsoft ha visto cómo los cuerpos militares rusos han iniciado varias olas de ciberataques destructivos contra 48 agencias y empresas ucranianas distintas. Estos ataques intentaron penetrar dominios de red poniendo en peligro en primera instancia cientos de PC y después distribuyendo malware diseñado para destruir el software y los datos de miles de PC adicionales.

Las cibertácticas rusas en la guerra son distintas de las empleadas en el ataque de NotPetya contra Ucrania en 2017. El ataque usó malware destructivo de tipo gusano que podía saltar de un dominio de PC a otro y, por tanto, cruzar fronteras a otros países. Rusia ha tenido cuidado durante 2022 a la hora de limitar este "software de borrado" destructivo e dominios de red específicos dentro de Ucrania. Pero los ataques destructivos recientes y continuos se han vuelto más sofisticados y comunes de lo que reconocen la mayoría de informes. Y el ejército ruso continúa adaptando estos ataques destructivos a las necesidades cambiantes de la guerra, incluido el uso conjunto de ciberataques y armas convencionales.

Un aspecto definitorio de estos ataques hasta la fecha ha sido la fuerza y el éxito relativo de las ciberdefensas. Si bien no son perfectas y ciertos ataques destructivos han tenido éxito, estas ciberdefensas han demostrado ser más fuertes que las cibercapacidades ofensivas. Esto refleja dos tendencias importantes recientes. En primer lugar, los avances en inteligencia sobre amenazas, incluido el uso de inteligencia artificial, han ayudado a posibilitar la detección de estos ataque de forma más eficaz. Y segundo, la protección de puntos de conexión conectados a Internet ha posibilitado la distribución de código de software de protección de forma rápida, tanto en servicios en la nube como en otros dispositivos informáticos conectados, para identificar y desactivar este malware. Las innovaciones constantes en las épocas bélicas y las medidas adoptadas por el gobierno ucraniano han fortalecido aún más esta protección. Pero será necesario contar con vigilancia e innovación continuas para mantener esta ventaja defensiva.

En tercer lugar, dado que se ha formado una coalición de países para defender a Ucrania, las agencias de inteligencia rusas han intensificado las actividades de espionaje y penetración de redes contra los gobiernos fuera de Ucrania.

Desde Microsoft hemos detectado actividades de intrusión de redes por parte de Rusia contra 128 organizaciones y 42 países fuera de Ucrania. Si bien los Estados Unidos han sido el principal objetivo de Rusia, esta actividad también ha dado prioridad a Polonia, donde se coordina la mayor parte de la actividad logística de ayuda militar y humanitaria. Las actividades rusas también han tenido como objetivo a los países bálticos, y durante los últimos dos meses se ha visto un incremento en los ataques contra redes de PC en Dinamarca, Noruega, Finlandia, Suecia y Turquía. También hemos visto un incremento en actividad similar contra los ministerios de asuntos exteriores de otros países de la OTAN.

Los ataques rusos tienen como prioridad los gobiernos, en especial los miembros de la OTAN. Pero la lista de objetivos también incluye a grupos de expertos, organizaciones humanitarias, empresas tecnológicas, energéticas y otros proveedores de infraestructura crítica. Desde el inicio de la guerra, los ataques rusos que hemos identificado han tenido un porcentaje de éxito del 29 %. Un cuarto de estos ataques exitosos han llevado a la filtración confirmada de datos de organizaciones, aunque, tal como se explica en el informe, es probable que esto subestime el éxito ruso.

Siguen preocupándonos los PC gubernamentales en entornos lugares en lugar de en la nube. Esto refleja el estado actual y global de las ofensivas de ciberespionaje y ciberprotección defensiva. Tal como demostró el incidente de SolarWinds hace 18 meses, las agencias de inteligencia rusas cuentan con capacidades extremadamente sofisticadas para implantar código y operar como una amenaza avanzada persistente (APT) que puede obtener y filtrar información confidencial de una rede de forma constante. Se han producido avances considerables en la protección defensiva desde entonces, pero la implementación de estos avances ha sido más desigual entre los gobiernos europeos que en los Estados Unidos. Como resultado, siguen existiendo debilidades defensivas colectivas significativas.

En cuarto lugar, en coordinación con estas otras ciberactividades, las agencias rusas han realizado operaciones de ciberinfluencia globales para apoyar sus actividades bélicas.

Estas actividades combinan tácticas desarrolladas por la KGB a lo largo de varias décadas con las nuevas tecnologías digitales e Internet para dar un mayor alcance geográfico a las operaciones de influencia en el extranjero, un mayor volumen, objetivos precisos y una mayor velocidad y agilidad. Por desgracia, con planificación y sofisticación suficiente, estas operaciones de ciberinfluencia cuentan con una buena posición para aprovechar la apertura continuada de las sociedades democráticas y la polarización pública característica de la actualidad.

A medida que avanza la guerra en Ucrania, las agencias rusas concentran sus operaciones de ciberinfluencia en cuatro audiencias distintas. La población rusa con el objetivo de mantener el apoyo a la campaña bélica. La población ucraniana con el objetivo de reducir la confianza en la voluntad y capacidad del país de resistir los ataques rusos. Las poblaciones europeas y estadounidenses con el objetivo de debilitar la unidad occidental y desviar las críticas contra los crímenes de guerra del aparato militar ruso. Y están empezando ha dirigirse a la población de países no posicionados, en parte para obtener su apoyo en las Naciones Unidas y otros organismos.

Las operaciones de ciberinfluencia rusas se basan en tácticas desarrolladas para otras ciberactividades. Al igual que los equipos de APT que colaboran con los servicios de inteligencia rusos, los equipos de manipulación persistente avanzada (APM) asociados con las agencias gubernamentales rusas actúa a través de las redes sociales y plataformas digitales. Difunden previamente narrativas falsas de formas similares a la colocación previa de malware y otro código de software. Después inician ataques simultáneos contra múltiples objetivos "informando" sobre estas narrativas desde sitios webs gubernamentales e influenciados por el gobierno, y amplifican sus narrativas mediante herramientas tecnológicas diseñadas para aprovecharse de las redes sociales. Entre los ejemplos recientes se incluyen las narrativas sobre biolaboratorios en Ucrania y varios esfuerzos para ofuscar los ataques militares contra objetivos civiles ucranianos.

Como parte de una nueva iniciativa en Microsoft, usamos IA, nuevas herramientas analíticas, conjuntos de datos más amplios y una plantilla de expertos en crecimiento para supervisar esta ciberamenaza y predecir sus próximos movimientos. Mediante estas nuevas capacidades podemos estimar que las operaciones de ciberinfluencia rusas han aumentado con éxito la difusión de propaganda rusa tras el comienzo de la guerra en un 216 % en Ucrania y en un 82 % en los Estados Unidos.

Estas operaciones continuadas rusas se basan en esfuerzos sofisticados recientes para difundir narrativas falsas sobre la COVID-19 en varios países occidentales. Estas operaciones incluyen operaciones de ciberinfluencia patrocinadas por el estado en 2021 que intentaron disuadir contra la vacunación mediante noticias de Internet en inglés a la vez que se animaba a la vacunación a través de sitios en ruso. Durante los últimos seis meses, operaciones de ciberinfluencia rusas similares han intentado fomentar la oposición pública a las políticas contra la COVID-19 en Nueva Zelanda y Canadá.

Microsoft continuará ampliando su trabajo en este campo durante las próximas semanas y meses. Esto incluye el crecimiento interno y el acuerdo que anunciamos la semana pasada para la adquisición de Miburo Solutions, una empresa líder en investigación y análisis de ciberamenazas especializada en la detección y la respuesta a operaciones de ciberinfluencia extranjeras.

Nos preocupa que muchas de las operaciones de ciberinfluencia rusas actuales pasan meses sin ser detectadas, analizadas o difundidas al público. Esto afecta cada vez más a una amplia gama de instituciones importantes tanto en el sector público como en el privado. Y cuanto más dure la guerra en Ucrania, mas importante se volverán estas operaciones para la propia Ucrania. Esto se debe a que una guerra más larga requiere apoyo público continuado frente al reto inevitable de una mayor fatiga. Esto hace que sea más importante fortalecer las defensas occidentales frente a estos tipos de ataques de ciberinfluencia extranjeros.

Por último, las lecciones aprendidas en Ucrania exigen una estrategia coordenada y completa para fortalecer las defensas frente a la gama completa de operaciones ciberdestructivas, de ciberespionaje y de ciberinfluencia.

Tal como muestra la guerra en Ucrania, si bien ha diferencias entre estas amenazas, el gobierno ruso no las trata como esfuerzos independientes, por lo que no deberíamos analizarlas por separado. Además, las estrategias defensivas deben tener en cuenta la coordinación de las ciberoperaciones con operaciones militares cinéticas, como se ha demostrado en Ucrania.

Se necesitan nuevos avances para frustrar estas ciberamenazas y dependerán de cuatro pilares comunes (al menos a un alto nivel) y una estrategia común. El primer pilar defensivo debería reconocer que las ciberamenazas rusas se ven propagadas por agentes dentro y fuera del gobierno ruso y confían en tácticas digitales similares. Como resultado, se necesitan avances en tecnología digital, la IA y los datos para contrarrestarlos. Como reflejo de esto, un segundo pilar debería ser reconocer que, a diferencia de las amenazas tradicionales del pasado, las ciberrespuestas deben basarse en una mayor colaboración pública y privada. Un tercer pilar debería ser abrazar la necesidad de colaboración estrecha y multilateral entre gobiernos para proteger las sociedades abiertas y democráticas. Y el cuarto y último pilar defensivo debería preservar la expresión libre y evitar la censura en sociedades democráticas, incluso cuando sea necesario dar nuevos pasos para responder a la amplia gama de ciberamenazas que incluyen las operaciones de ciberinfluencia.

Una respuesta eficaz debe basarse en estos cuatro pilares estratégicos. Deben incluir capacidades colectivas para mejorar (1) la detección, (2) la defensa, (3) la interrupción y, (4) la disuasión de ciberamenazas extranjeras. Este enfoque ya se ve reflejado en muchos esfuerzos colectivos para responder a ciberamenazas destructivas y el ciberespionaje. También se aplican al trabajo crucial y continuo necesario para responder a ataques de ransomware. Ahora necesitamos un enfoque similar y completo con nuevas capacidades y defensas para combatir las operaciones de ciberinfluencia rusas.

Como se indicó en este informe, la guerra en Ucrania no solo ofrece lecciones sino también una llamada a la acción para aplicar medidas eficaces que serán vitales para la protección del futuro de la democracia. Como empresa, nos comprometemos a apoyar estos esfuerzos mediante inversiones nuevas y continuas en tecnología, datos y asociaciones que ayudarán a los gobiernos, las empresas, las ONG y las universidades.

Para obtener más información, lee el informe completo.

Artículos relacionados

Informe especial: Ucrania

Microsoft comparte información sobre ciberamenazas contra Ucrania, destacando detalles sobre el ataque y el contexto relacionados con el ámbito, la escala y los métodos de los atacantes estatales rusos.

Informe sobre resiliencia cibernética

Seguridad de Microsoft realizó una encuesta a más de 500 profesionales de la seguridad para comprender las tendencias emergentes de seguridad y las preocupaciones principales de los directores de seguridad de la información y ciberseguridad.

Información de billones de señales de seguridad diarias

Los expertos en seguridad de Microsoft explican el panorama de las amenazas actual y ofrecen información sobre las tendencias emergentes y las amenazas que persisten en el tiempo.