Hasta no hace mucho, un ataque a una empresa de logística implicaba el secuestro de sus sistemas y la petición de un rescate. Aunque todavía se practica el ransomware, este guion ha cambiado. Los grupos de cibercrimen han descubierto que lo valioso no es paralizar la mercancía, sino los datos que la acompañan: clientes, rutas, movimientos de producto, cifras económicas... Han aprendido a robarlos sin que nadie se entere para venderlos después.

Lo que iguala a unos y otros es la inteligencia artificial. Los atacantes la emplean para cruzar volúmenes enormes de información, afinar el engaño y lanzar ofensivas que antes requerían semanas de trabajo humano. La defensa, en cambio, sigue anclada en herramientas pensadas para un escenario más antiguo. España, uno de los países que más ataques recibe, ha invertido bien en seguridad durante los últimos años, pero según Juan Luis García Rambla, no está preparada para lo que se nos echa encima.

El responsable del negocio de ciberseguridad de la consultora Izertis dedica su trabajo a estudiar al adversario —tal como él lo denomina— antes de que ataque. La amenaza se extiende desde el robo silencioso de datos hasta el horizonte de la computación cuántica.

¿Por qué se ha convertido la logística en un objetivo tan goloso?

Tradicionalmente, la logística se entendía como un traslado de mercancías, pero desde hace años eso ya no es así. Una de las cosas que han visto los grupos de ciberdelincuentes es que estas empresas manejan datos, y el dato es lo que ellos necesitan para monetizar: datos de clientes, de transporte, económicos, de hacia dónde se mueve un producto. Toda esa información tiene un valor de mercado. Por eso el cibercrimen ha puesto el ojo directamente en la logística como uno de los sectores más viables para ser atacados.

Antes el gran temor era el ransomware, el secuestro de los sistemas. ¿Ya no funciona?

Ya no tanto. Las empresas se han protegido con antivirus avanzados, los que se llaman EDR, y a día de hoy el ransomware no es tan efectivo como lo era en época de la pandemia. Pero han visto que pueden hacer un ataque más silencioso: robar el dato o incluso manipularlo, llegar a modificarlo. Cogen el dato, lo empaquetan y lo venden, principalmente. Y también lo utilizan para cualificar mucho esa información y lanzar después un ataque mucho más dirigido, lo que se llama un spear phishing. Es lo que se conoce como “crimen como servicio”, y es donde está funcionando hoy ese negocio.

¿Y ahí es donde entra la inteligencia artificial?

Cada vez más. Se maneja mucho mayor volumen de datos, y la inteligencia artificial permite explotarlos mejor y generar ataques más dirigidos, porque cruza grandes cantidades de información con mucha más facilidad de la que tendría una persona. Esa es la ventaja que están aprovechando los grupos de ciberdelincuencia con todo lo que roban.

Con ese panorama, ¿el riesgo de paralizar un sector entero es menor de lo que parece?

Con el cibercrimen convencional, sí, porque su objetivo es económico. El problema son los ataques patrocinados por un Estado, los grupos que se conocen como APT (amenaza persistente avanzada). A veces son grupos de ciberdelincuencia, pero financiados directamente por un Estado, y persiguen un objetivo político, geoestratégico. Es el que da mayor miedo a las autoridades. En España, el Centro Criptológico Nacional pone mucho foco en estas amenazas, porque atentan contra sectores críticos.

¿Qué buscan exactamente esos grupos?

Puede haber un motivo económico, pero no suele ser el principal. Buscan el daño reputacional, controlar información sensible para el Estado o, en determinadas circunstancias, bloquear un sistema. Con la importancia que tiene hoy la logística, imagine el bloqueo de un sistema logístico ante una crisis geoestratégica, como una situación de tensión en el estrecho de Ormuz. Ahí puede haber intereses en atacar un sector concreto, como el químico o el petrolífero, para hacer todavía más daño.

¿Ha habido casos sonados?

En España no tenemos constancia de que se hayan producido ataques de este tipo en el sector logístico. Sí se están dando en Ucrania, en zonas de Asia y, sobre todo, en Europa Oriental, por grupos especializados en ataques a la logística que están financiados por Estados. Estamos algo alejados geográficamente, pero al final somos Europa, y un ataque contra Europa es algo previsible.

Vamos a España. ¿Se está haciendo lo que se debería?

Las inversiones, desgraciadamente, no son las adecuadas. No estamos en la situación de hace seis o siete años, las empresas han mejorado mucho y hay muy buenos profesionales, pero ha habido un cambio significativo en las metodologías de ataque con el impulso de la inteligencia artificial. La usan las empresas para mejorar sus procesos, pero también los ciberdelincuentes y los grupos APT, y están acortando los tiempos de ataque. Todo ese proceso que antes necesitaba horas de trabajo humano ahora lo hacen máquinas.

Y la defensa no ha ido al mismo ritmo

Ese es el problema. Nos estamos enfrentando a ataques basados en inteligencia artificial y nos defendemos con un modelo tradicional. Tenemos que implementar mecanismos basados en máquinas para protegernos contra máquinas, porque necesitamos trabajar a la velocidad a la que se desarrolla un ataque, y no podemos hacerlo con mecanismos de otra época, aunque esa época sea muy reciente. Eso todavía no lo han interiorizado del todo las empresas, en parte porque supone un desembolso económico importante.

¿Muchas organizaciones no ven justificada esa inversión?

Es un cálculo de coste y riesgo mal planteado. Piensan que no tienen riesgo, y realmente ya se está atacando con inteligencia artificial. Vemos campañas de phishing que la incorporan, vemos ataques contra vulnerabilidades que hasta hace poco no se conocían. La inteligencia artificial busca huecos y fallos en las infraestructuras las veinticuatro horas del día, sin descanso, con una capacidad de cómputo que una persona no tiene. Protegerse contra eso también cuesta dinero, y hay que hacerlo bien, porque hay demasiado hype: muchas organizaciones quieren meterse en la inteligencia artificial sin tener claro el para qué ni el cómo, y hacerlo mal puede abrirte un agujero de seguridad.

¿Se puede atacar directamente a la inteligencia artificial de una empresa?

Se está haciendo. Hay grupos especializados en ataques adversarios que buscan fallos en inteligencias artificiales mal implementadas. La típica inyección de prompts, por ejemplo, para obtener información que el sistema no debería dar cuando no se han aplicado bien los guardarraíles. O inyectar datos falsos para manipular la información que se maneja. Piense en un sistema logístico que use inteligencia artificial para calcular las rutas más óptimas: si un atacante entra y manipula esos datos, altera las rutas. Por eso, cuando se implementa un sistema de este tipo, hay que proteger también la propia inteligencia artificial, porque si no, se convierte en un problema mucho mayor.

¿Qué proporción del sector industrial diría que está desprotegida?

En general, en España la situación es preocupante, y no solo en este sector. Puede que un 75% de los sistemas estén bien protegidos, pero no lo están para luchar contra la inteligencia artificial. Tenemos buena seguridad, ha habido buenos profesionales y las empresas han invertido, y estamos mucho mejor que otros países. Lo que todavía no se plantea es defenderse frente a sistemas de inteligencia artificial, y ese es el déficit. España, además, es estadísticamente uno de los países que más ataques recibe.

Miremos al futuro. Hay una táctica que consiste en robar datos cifrados hoy para descifrarlos mañana

Muchas organizaciones cifran los datos en reposo para protegerlos, pero con algoritmos convencionales. Con el auge de los procesadores cuánticos, matemáticamente es previsible que sistemas que hasta hace unos años se consideraban impenetrables se puedan llegar a romper. Los atacantes roban ya información cifrada para descifrarla en el futuro, cuando la tecnología cuántica esté disponible. Se ha fijado un límite entre 2027 y 2030 para que las empresas y las entidades públicas analicen qué algoritmos usan y migren a algoritmos postcuánticos resistentes a este tipo de ataque.

¿Está regulado?

No existe una regulación como tal. Lo que hay son recomendaciones y guías de transición postcuántica. El Centro Criptológico Nacional ya ha publicado las suyas sobre cómo llevar a cabo ese proceso.

¿Qué datos corren más peligro con esa amenaza?

Cuanto mayor sea la sensibilidad del dato a futuro, mayor es el impacto. No es lo mismo el dato logístico, cuyo valor suele estar limitado a un momento puntual, que la información de un programa de defensa, que se maneja durante muchos años. Robar hoy esa información cifrada para descifrarla más adelante sí tiene sentido para un atacante. No creemos que la ciberdelincuencia común suponga aquí un problema, porque además necesitaría procesadores cuánticos, pero si hablamos de ataques de Estado, ahí sí vemos el riesgo.

Víctor Endrino Cuesta