Areas debilitadas de la ciberseguridad de Colombia

Los motivos de los criminales podrían ser obtener rápidos ingresos, seguir polarizando el contexto de la política y ahondar la caótica realidad nacional, lo que deja al país en el puesto nueve en las Américas exponiendo sus carencias en las áreas legal, cooperativa y de capacitación

Haga click para ampliar

Colombia dentro del Índice Global de Ciberseguridad 2020 ocupa el puesto 81 de 182 países en el mundo o el lugar nueve en la clasificación regional de las Américas, según la medición de la Unión Internacional de Telecomunicaciones (UIT). Es decir, la puntuación general del país es de 63.74 sumadas estas cinco medidas: legales 9.14, técnicas 17.58, organizacionales 6.67, cooperativas 15.93 y de capacitación 14.42.

Los datos anteriores indican que Colombia, como país en desarrollo, presenta fortalezas en el área técnica y crecimiento posible en el área organizacional siempre que impulse estrategias nacional y organizacional en el entorno de la seguridad cibernética. Quizá, por eso, el pasado enero 26 en la Comisión Primera de Senado, la Audiencia Pública sobre Ciberseguridad y Ciberdefensa Nacional analizó la situación del aumento de ciberataques a la EPS Sanitas, INVIMA, entre otras, y propuso crear más burocracia con una Agencia Nacional de Ciberseguridad.

Es posible, además, que el otrora ministro del ramo y senador citante, desconozca que el 8 de marzo de 2022 se sancionó el Decreto 338, por el cual se establecen los “lineamientos generales para fortalecer la gobernanza de la seguridad digital y se crea el Modelo y las instancias de Gobernanza de Seguridad Digital”, dentro del marco del Decreto Único 1078 de 2015 o Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones en donde se adicionó este Titulo 21 a la Parte 2 del Libro 2. ¿Estas iniciativas bastan?

Lo cierto es que según los indicadores de ciberseguridad de la Unión Internacional de Telecomunicaciones, organismo de Naciones Unidas, Colombia en las otras 3 mediciones −legal, cooperativa y de capacitación− carece aún de leyes y reglamentos sobre ciberdelincuencia y ciberseguridad para actividades como: protección de datos, exigencias de notificación frente a incidentes, robo de datos personales, usurpación de identidad y protección de los datos y de la privacidad, acceso ilícito y acoso en línea; necesita mayor asociación entre organismos, empresas y países; y debe generar más campañas de sensibilización, formación, educación e incentivos en capacitación acerca de la ciberseguridad.

Un segundo realismo es que desde hace seis meses el Presidente de la República ha mantenido incólume las 927 palabras de su plan de gobierno en Twitter para este sector de las tecnologías de la información, de las comunicaciones y del espectro nacional con el propósito final de trabajar “para que todos los niños y jóvenes gocen del derecho al acceso a internet”.

El avance en el Índice Global de Ciberseguridad impone a los países determinar sus puntos fuertes y débiles en materia de seguridad informática y aprovechar sus ventajas competitivas para promover la cibercapacidad y la salud general. Los datos del 2020 ayudan, sin duda, a iniciar este proceso considerando:

1. evaluar periódicamente el grado de compromiso en materia de ciberseguridad, incluidas las métricas significativas; 
2. continuar con la creación de los equipos nacional y sectorial de intervención en caso de incidente informático; 
3. supervisar y actualizar las estrategias nacionales de ciberseguridad con planes de implementación claros; 
4. velar por la inclusión y la diversidad, especialmente de los grupos subrepresentados, como mujeres y jóvenes, en lo que respecta al empleo en el sector de la ciberseguridad; 
5. participar periódicamente en actividades internacionales para compartir buenas prácticas y estudios de casos, y mejorar la preparación y la capacidad de respuesta; 
6. mejorar la capacidad de ciberseguridad de las microempresas y las pequeñas y medianas empresas (MIPYME); 
7. lograr la implicación periódica de todas las partes interesadas en la ciberseguridad, incluidos el sector privado, el mundo académico y la sociedad civil.

Datos del cibercrimen nacional

En el reporte trimestral de ciberseguridad 2022 por ataques a entidades de gobierno, publicado por la empresa CrowdStrike Intelligence, han aparecido dos nuevos adversarios o intrusiones dirigidas. Ocelot proveniente de Colombia y Wolf de Turquía. Sostiene esta empresa estadounidense de tecnología de ciberseguridad, con sede en Austin (Texas), que “La presencia de aquellos nuevos adversarios destaca el aumento en las capacidades ofensivas tradicionalmente asociadas con operaciones cibernéticas por fuera de los gobiernos y que distinguen la variedad de objetivos finales”.

Para el Tanque de Análisis y Creatividad de las TIC (TicTac) y el programa de Seguridad Aplicada al Fortalecimiento Empresarial (SAFE), de la Cámara Colombiana de Informática y Telecomunicaciones (CCIT), los ciberataques a instituciones del gobierno de Colombia han afectado a entidades nacionales como el Departamento Administrativo Nacional de Estadísticas (DANE), el Instituto Nacional de Vigilancia de Medicamentos y Alimentos (INVIMA), el Departamento Nacional de Planeación (DNP), etc.

A pesar de los ataques indiscriminados, los nacionales de Colombia dejan de denunciar estos delitos a través de los sistemas informáticos ante el Sistema Penal Oral Acusatorio de la Fiscalía General de la Nación. Sin embargo, el comportamiento de los datos del cibercrimen 2022 evidencia incremento leve de 8% respecto a las 29.778 denuncias (entre el periodo 01 enero - 30 junio) del 2022 y las 27.498 del 2021. Las instauradas de hurto por medios informáticos en 2022 fueron 11.078, un aumento moderado del 15% con respecto al 2021. Otros delitos del tipo penal presentan reducciones negativas modestas entre 11%, 13% y 27%, respectivamente para violación de datos personales, suplantación de sitios web para capturar datos personales y uso de software malicioso.

El acceso abusivo a los sistemas informáticos fue claramente el delito de mayor crecimiento durante el año anterior en Colombia, registrando 6.407 denuncias que equivalen a una variación del 46% de incremento, si se comparan los años 2021 y 2022. Este acceso abusivo se genera en la fase inicial del ciberataque porque se realiza con medio de agentes externos al sistema quienes consiguen acceso a un sistema vulnerado o por la acción irresponsable de insiders, como empleados deshonestos quienes acceden a los activos informáticos con el fin de modificarlos, alterarlos o sustraer la información que luego entregan a las organizaciones del cibercrimen.

Durante el primer semestre del 2022, las denuncias instauradas contra el crimen informático se concentraron en más del 70% en zonas urbanas de Bogotá, Medellín, Barranquilla, Cali y Bucaramanga, capitales asociadas con penetración de internet, número de usuarios en plataformas de e-commerce y banca virtual.

La inseguridad informática en Colombia, con base en las escasas denuncias instauradas, manifestaría como motivación de los ciberatacantes “interés económico y facilidad de obtener rentas monetarias de manera rápida a través del apoderamiento de las credenciales de acceso a los portales de interacción de las entidades, usando el compromiso de las cuentas bancarias de las víctimas”, asevera la CCIT. Asimismo, se estaría aprovechando el contexto polarizado de la política y la caótica realidad nacional para afectar “las numerosas campañas de malware asociadas a la suplantación de entidades gubernamentales … mediante infecciones vinculadas a enlaces maliciosos en correos electrónicos de apariencia legítima pero que suplantan el dominio auténtico”. Esta técnica es conocida como spoofing mail.

Ciberamenaza a los móviles

Los dispositivos móviles son los que más llaman la atención de las organizaciones del cibercrimen que impactan el código en las plataformas móviles. Así las principales tendencias detectadas por el programa SAFE para 2022 fueron:

i) Malware que continúa evolucionando y añadiendo técnicas evasivas de antivirus, siendo el principal método de infección las descargas de apps en tiendas y mercados no autorizados;

ii) Smishing como vector de ataque que envía SMS a la aplicación con un enlace y luego se descarga como troyano o falsas ventanas emergentes a través de las cuales se descarga e instala, por ejemplo el malware TeaBot;

iii) Remote Access Trojan que permite al delincuente tomar el control administrativo del dispositivo e interceptar las credenciales de las aplicaciones bancarias o incluso las contraseñas de un solo uso; y

iv) otros vectores a través de documentos Word, Excel y PDF identificados mediante mensajes que parecen provenir aparentemente de fuentes legítimas y nuevas variantes de malware que utilizan las aplicaciones de mensajería.

Proteger el dispositivo móvil requiere compromisos del usuario, tales como: utilizar contraseñas seguras o en lo posible autenticación de múltiples factores; mantener el software actualizado; proteger el dispositivo móvil con cifrado de datos, pantalla de bloqueo activa y código de acceso alfanumérico único; deshabilitar la conectividad remota y conocer las aplicaciones instaladas, sobre todo.

Ciberataques a entidades estatales

Desde el año 2018 se han detectado campañas de difusión de malware contra entidades estatales atribuidas a grupos cibercriminales como Blind Eagle o APT-C-36 de espionaje hacking, según el portal web CiberSeguridad Latam. Blind Eagle ha sido señalado como el responsable de los ataques principalmente a instituciones del gobierno colombiano, así como a importantes corporaciones del sector financiero y de la industria petrolera.

Se ha reflejado el hallazgo de 193 sitios web de entidades públicas colombianas cuyos datos de los usuarios han sido infectados y sustraídos a través del malware Redline Stealer, del ransonware BlackByte, más recientemente, que recopilan las credenciales de las cuentas guardadas en los navegadores web, las sustraen y luego son puestas a la venta en los mercados ilegales de Internet. De las entidades públicas con alerta de datos hurtados se encuentran DIAN, Icfes, Icetex, Colpensiones, Comisión Nacional del Servicio Civil, Unidad del Servicio de Empleo, Agencia Nacional de Contratación Pública, Secretaría de Hacienda del Distrito de Bogotá, Migración Colombia, Fondo Nacional del Ahorro y Alcaldía de Medellín.

Una circunstancia por la cual la seguridad informática en el sector público en Colombia es muy variable se resguarda en el grado de madurez pues “algunas entidades de los sectores defensa, energético y de hidrocarburos cuentan con estrategias de largo alcance bien formuladas y en ejecución, pero en el nivel descentralizado las brechas de seguridad generadas por errores de configuración y obsolescencia tecnología son muy frecuentes”, describe el estudio trimestral de ciberseguridad Ataques a entidades de gobierno de la CCIT.

La ciberseguridad evoluciona

Estos datos son importantes para el entorno nacional de las tecnologías digitales debido a que la prospectiva global, según la cual, cuando los Objetivos de Desarrollo Sostenible (ODS) lleguen a su vencimiento en 2030, 90% de la población mundial estará en línea según Cybersecurity Ventures. Su predicción entonces anuncia para el año 2030 más de 7,5 mil millones de usuarios de Internet de una población mundial proyectada en 8,5 mil millones.

Además, según el informe publicado por los analistas, Jim Morrish y Matt Hatton, los dispositivos IoT (Internet de las Cosas) ahora conectados en todo el mundo, en 2030 saltarán a casi 125 mil millones, 12% promedio anual. Adicional, el mercado global de IoT crecerá en 2030 a más de 24 mil millones de dispositivos, generando $1,5 billones de ingresos anuales calculados en dólares. Esta es la primera iteración de la base de datos Total Anual Móvil o TAM, altamente granular y rigurosamente investigada con base en el análisis de cientos de aplicaciones.

Para Jim Morrish, “El valor de un conjunto sólido del mercado de los datos, de una fuente confiable, no debe subestimarse cuando se planea abordar la oportunidad del mercado”. De esta manera, la tasa del 11% para el crecimiento anual compuesto de los dispositivos IoT activos para 2030 estará acompañada de las redes de corto alcance −WiFi, Bluetooth y Zigbee− que dominarán las conexiones y representarán 72% para entonces. En complemento, las redes públicas, dominadas por redes celulares, crecerán de 1,200 millones de conexiones a 4,700 millones en 2030, aumentando la participación del mercado al 20%. Por su parte, las redes privadas concentrarán el saldo de las conexiones calculado en 8%. En términos de servicios, incluida la conectividad, representarán 66% del gasto, y el resto corresponderá al hardware.

Igualmente, Matt Hatton, señala que “Un beneficio de crear un conjunto de pronósticos altamente detallados es poder descubrir tendencias sorprendentes, como la enorme oportunidad de ingresos asociada con una amplia gama de aplicaciones específicas de nichos verticales”. En efecto, los dispositivos IoT activos, las redes de corto alcance, las redes públicas celulares y las redes privadas para conectividad no generan valor sin el sector del consumo. Por tanto, éste dominará para 2030 en términos de dispositivos conectados, representando 65% de todas las conexiones.

El segmento del consumo empresarial 77% se soportará con base en los dispositivos que corresponderán al 34% de los casos de uso vertical cruzado, como seguimiento y localización genéricos, equipos de oficina y flotas de vehículos; al 31% para servicios públicos, principalmente medidores inteligentes; al 5% para transporte y logística; al 4% para gobierno, y agricultura y el 3% para servicios financieros y minorista/venta al por mayor.

El uso individual más importante se soportará en los dispositivos para Internet y los medios de consumo, que representarían 1/3 de todos los dispositivos para 2030. El siguiente nicho más grande será la Red Inteligente −aquella que permite el flujo bidireccional de electricidad y de datos− que incluye medidores inteligentes, que representarían el 14% de las conexiones. Y la tercera categoría más grande serán los vehículos conectados que representarían el 7% de la base instalada mundial. China, América del Norte y Europa dominarán geográficamente el valor total del mercado de IoT con representación del 26%, 24% y 23% respectivamente en 2030.

Finalmente, Internet de las cosas seguirá revolucionando desde los 27 mil millones de cosas conectadas a dispositivos en 2017 debido al panorama competitivo y el futuro de los negocios y la tecnología. Especialmente porque está transformando las cotidianas prácticas comerciales y de la electronica industrial y abriendo oportunidades nuevas a los sectores médicina, automoción y transporte, consumidor, comunicaciones, computadora, según IHS Markit, un proveedor de servicios de información con sede en Londres que completó la fusión con S&P Global en 2022.

Para la UIT lo que hemos aprendido luego del COVID-19 es que los problemas de acción colectiva, ya sean de salud o de ciberseguridad, se deben abordar de manera interdisciplinaria y global. Luego, para acometer todos los pilares del IGC –en las cinco áreas: legal, técnica, institucional, de capacitación y cooperación– será indispensable conectar a las personas entre sí con IoT y generar confianza.