Las filtraciones de datos y el hackeo nos golpean a un ritmo alarmante. Prácticamente todos los días nos recuerdan cómo de frágil es nuestra infraestructura financiera y comercial basada en Internet. El 7%, o alrededor de $1.35 billones de dólares del PIB de los Estados Unidos, se genera digitalmente, lo que hace que el crackeo o pirateo criminal de grandes empresas sea una actividad atractiva para criminales online. Actualmente, existen distintas formas para clasificar las filtraciones de datos: algunas tienen una importancia política y otras representan nuevas tendencias en ciberseguridad y delitos en línea. A la luz de la reciente vulneración que afectó a Capital One, recopilamos las mayores filtraciones de datos que han dejado huella en EE.UU.
Equifax
Quizás en el caso citado con mayor frecuencia en materia de filtración de datos, Equifax admitió en septiembre de 2017 que los registros de hábitos de gasto del consumidor que estaban en su poder habían sido comprometidos. El ataque expuso datos financieros sensibles de más de 145 millones de consumidores de Estados Unidos y varios millones del Reino Unido. Sus efectos repercutieron más allá de esta compañía, afectando también los registros en poder de TransUnion, el competidor de Equifax.
Hay una serie de factores que ubican el caso de Equifax como el más grave de la historia. Por un lado, a diferencia de otras filtraciones de datos, la respuesta de la empresa fue extremadamente inadecuada. Tras enterarse del compromiso de sus sistemas empresariales, Equifax inicialmente negó públicamente durante cinco meses cualquier falla. La mala gestión de Equifax llegó a tal nivel que fue uno de los pocos casos en que los ejecutivos de una compañía también sufren las consecuencias, obligando al entonces CEO, Richard F. Smith, a renunciar.
Otro elemento que distingue este caso es porque ilustró claramente cómo las empresas con las que los consumidores no hacen negocios directamente manejan información confidencial y sufren secuelas cuando esos datos son mal manejados. Dos años después, todavía vemos este incidente en los titulares, con los consumidores luchando por cobrar su parte del enorme acuerdo de demanda colectiva.
Capital One
Hace solo unos días, el robo de datos de aproximadamente 100 millones de cuentas de clientes de Capital One está demostrando ser lo suficientemente significativo como para ocupar un lugar en la historia de la seguridad digital. Se abrió una investigación criminal sobre el incidente y se está estimando el costo de la pérdida en los ingresos y los gastos de recuperación. La rápida respuesta de la compañía se debe no solo a las lecciones aprendidas del caso Equifax, sino a lo inquietante que resulta que una institución financiera tan importante pueda ser infiltrada digitalmente.
La firma sostiene que gran parte de los datos robados más sensibles están encriptados, pero al igual que el caso de Equifax, la medida preventiva de congelar el crédito que los consumidores están obligados a tomar implica efectos colaterales sustanciales que persistirán durante años. El supuesto atacante solitario también muestra cuán vulnerables somos cuando un individuo está empeñado en sembrar el caos.
WannaCry
Aunque no tocó directamente a los consumidores, el ataque WannaCry de mayo de 2017 sorprendió a muchos con su escala global. En total, afectó a más de 200,000 víctimas en más de 150 países, y se tradujo en la destrucción de numerosos sistemas de producción más allá de la recuperación cuando el rescate no se pudo (o no se quiso) pagar. Como resultado, millones de empleados de todo el mundo fueron pasados inmediatamente al modo de remediación de crisis.
WannaCry merece un lugar en la historia de hackeos por las numerosas lecciones que enseñó a los consumidores y a la industria de la seguridad informática. Para empezar, ilustró hasta qué punto muchas industrias siguen confiando en tecnologías que están fuera del ciclo de soporte, ya que el ataque se centró principalmente en dispositivos con Windows XP. Esto se desarrolló de una manera particularmente aterradora cuando puso rodillas una infraestructura tan crítica como el Servicio Nacional de Salud del Reino Unido, pese al número relativamente pequeño de sistemas afectados.
Además, debido a que el exploit supuestamente se originó con la Agencia Nacional de Seguridad (NSA, por sus siglas en inglés), y posteriormente se filtró a través del grupo The Shadow Brokers, demostró claramente las consecuencias involuntarias de segundo orden de la acumulación de exploits del estado-nación y el manejo inadecuado de los mismos. Todo esto combinado llevó a una profunda reflexión sobre el estado en que se encuentra la seguridad de la infraestructura crítica.
Oficina de Administración de Personal
Una intrusión en la red de la Oficina de Administración de Personal (OPM, por sus siglas en inglés) permitió a los atacantes robar datos personales de 22 millones de empleados del gobierno de los Estados Unidos, algunos de los cuales tenían acceso a información clasificada. Como parte del botín, los intrusos huyeron con los registros de más de 5 millones de huellas digitales.
Aún más alarmante fue lo profundamente vulnerable que resultaron los datos de la OPM. Lo que comúnmente se considera como «la» filtración de OPM, en realidad fueron dos ataques. El primero ocurrió en 2013, cuando se robó documentación del departamento (aparentemente para preparar la etapa posterior) y el segundo tuvo lugar en 2014, cuando ocurrió la filtración de datos de los empleados. El Congreso fue advertido repetidamente de que lamentablemente la OPM no estaba preparada para defenderse de un ataque.
Lo informes sobre este punto han culpado a China. Sin embargo, independientemente de los actores que perpetraron el ataque, la posición vulnerable en la que se encuentra tanto el personal militar y de inteligencia de los Estados Unidos tiene graves consecuencias para la seguridad nacional, que podrían sentirse las próximas décadas.
Ashley Madison
En julio de 2015, las cuentas de 36 millones de usuarios del sitio de citas Ashley Madison fueron robados y publicados en Internet. Debido a la naturaleza de los servicios ofrecidos, muchas de estas cuentas solo se distinguían por seudónimo. Sin embargo, aunque no hay una cifra confiable de cuántas identidades reveló realmente, varios usuarios fueron identificados por la información de la tarjeta de crédito o por el uso de correos electrónicos de trabajo, incluidos funcionarios de gobierno.
Lo que hizo que el ataque fuera particularmente desagradable -y notable- fueron los intentos por chantajear a las víctimas y la batalla moral que siguió en la esfera pública. También fascinó por la forma en que trajo a la luz un aspecto turbio y tabú de la sociedad. Dado que los datos estaban disponibles públicamente, muchos analistas sociales revisaron los datos para investigar algunas tendencias. La filtración de datos de Ashley Madison fue un ejemplo destacado de un caso de nicho en el que un compromiso digital sacudió a la sociedad, incluso sin grandes pérdidas financieras.
