Nuevos perfiles, nuevas amenazas.
En los años 90, la imagen que teníamos de un hacker, pirata informático o como queramos llamarle, era un adolescente que vivía en casa de sus padres y que desde su habitación se conectaba a Internet vía modem con una computadora que hoy nos parecería primitiva, tecleando comandos indescifrables en una pantalla negra con letras verde fosforescente.
Los primeros hackers eran prácticamente tan jóvenes como la tecnología que estaban probando, y la experimentación era su máxima, llegar más allá que cualquier otro, saltándose cortafuegos o medidas de seguridad que en aquel momento eran también primitivas o inexistentes.
Dejando a un lado los efectos especiales y ciertas licencias creativas, películas como Hackers (1995) ofrecen una visión más o menos acertada de aquellos primeros piratas informáticos, su cultura tecnopunk y su ideología anarquista y contra los poderes dominantes. La libertad del individuo, en el mundo real y en Internet.
Sin embargo, con el tiempo, esa imagen del hacker adolescente ha derivado en un tipo de pirata informático que deja a un lado la ideología para centrarse en el lucro económico.
China, Rusia y, especialmente, las exrepúblicas soviéticas cuentan con grupos de un tipo de hacker que se vende al mejor postor, o que trabaja directamente para sus Gobiernos, con el propósito de robar información, extorsionar con el ransomware o incluso boicotear unas elecciones.
Nuevos hackers, viejas prácticas
Junto con el tipo más nombroso de hacker, el que busca el lucro económico, vuelve a aparecer un perfil que ya vimos en los años 90, el de los piratas adolescentes.
Sin embargo, existen diferencias entre aquellos pioneros y los nuevos hackers. Mientras que los primeros tenían una ideología o filosofía de vida detrás, el nuevo perfil de hacker tiene como objetivo superar un reto sin importar las consecuencias.
Así, jóvenes menores de edad o que apenas llegan a los 20 años, pueden entrar a un sistema desprotegido o saltarse medidas de seguridad, infectar una o más computadoras o pedir un rescate mediante ransomware sin tener demasiadas nociones de programación.
Mientras que los primeros piratas contaban con redes y computadoras prehistóricas y apenas un par de libros de consulta, el nuevo perfil tiene conexiones de banda ancha, ordenadores a la última listos para correr los juegos más exigentes y foros y páginas repletos de software para acceder a computadoras ajenas.
Tal y como indica Adam Tyler, Chief Innovation Officer de CSID, entre ladrones no hay honor, y es habitual que grupos de hackers se enfrenten unos a otros y acaben publicando el código o la tecnología de sus rivales para que cualquiera pueda usarla libremente.
La consecuencia es que cualquiera con un mínimo de inquietud tiene acceso a programas que permiten crear virus, troyanos o ransomware y, sin necesidad de una infraestructura cara ni compleja, pueden infectar ordenadores, bloquear sistemas domésticos o cifrar datos ajenos a cambio de un pago.
Ejemplos concretos
A finales de 2013, Target fue atacado por un hacker de 25 años que obtuvo datos financieros de más de 70 millones de clientes mediante malware en los servidores y sistemas de pago de esta cadena de hipermercados. Casi 3 millones de números de tarjetas fueron vendidos en el mercado negro.
En 2014, JPMorgan Chase fue víctima de un ciberataque que afectó a más de 76 millones de clientes. El atacante, de 36 años, accedió a los sistemas aprovechando vulnerabilidades de la red de este gigante de inversiones y obtuvo los datos de millones de clientes. Datos tan sensibles como información bancaria o números de tarjetas de crédito.
“Porque podemos”. Ese fue el motivo que llevó a un grupo de hackers a bombardear las redes de Xbox Live y Playstation Network con ataques DDoS en las navidades de 2016. Si bien el ataque no afectó a toda la red, sí hubo usuarios con dificultades para jugar online de un total de casi 160 millones de usuarios entre las dos redes, víctimas potenciales. Su principal responsable no tenía más de 18 años.
Con tan sólo 16 años, un hacker obtuvo información de más de 160.000 clientes de TalkTalk en 2015. Números de cuenta y códigos secretos.
El perfil del nuevo hacker
¿Cómo es el perfil de los nuevos hackers? ¿Qué lleva a un adolescente a entrar en los servidores de una empresa y robar datos de sus clientes?
Según Adam Tyler, el perfil de los nuevos piratas informáticos es el de un joven común, aficionado a los videojuegos, habituado a Internet y las redes sociales, y que aprende hacking como un reto personal, de la misma manera que intenta superar un videojuego complicado.
Tyler habla en primera persona cuando dice que este nuevo perfil utiliza el hacking como diversión, para retarse a sí mismo y para obtener notoriedad en la comunidad, en la red o en el mundo físico.
Su motivación no es financiera, si bien en algunos casos, como hemos visto antes, acaba lucrándose económicamente. Lo que empieza como un juego acaba siendo un negocio.
El nuevo perfil de hacker ve el hacking como un juego más, una nueva experiencia lúdica para la que tiene muchas herramientas en Internet gracias a los foros y repositorios de malware que varios grupos de hackers ofrecen en la red. A la vista de todos, no hace falta entrar en la mitificada deep web.
En sus charlas sobre cómo se crea un hacker, Adam Tyler habla de la gamificación o ludificación del hacking, es decir, todo empieza experimentando con videojuegos, trasteando con mods, cheats y otros programas que sirven para alterar elementos de un juego. Hackear un juego como juego en sí mismo.
En muchos casos la consecuencia es la expulsión del servidor del juego en cuestión, pero no siempre son detectadas estas prácticas y suponen un primer nivel de hacking.
Además, a temprana edad no se es consciente de la implicación moral de estas acciones, en muchos casos no ven “hacer trampas” como algo malo. Al contrario, “alterar el juego” es visto como un reto conseguido por encima de los logros del juego.
De ahí hay unos pocos pasos a investigar sobre exploits, vulnerabilidades, malware, ataques DDoS, etc. Si encima das con la página adecuada, ya tenemos un nuevo hacker.