La ONU deliberadamente ocultó un ataque de piratería masiva que podría haber puesto a muchas personas en peligro

Las noticias de ataques cibernéticos dirigidos a organizaciones de todas las formas y tamaños salen a diario, y a menudo van acompañadas de muchas críticas para la víctima. Por lo general, el problema radica en la forma en que se maneja el incidente, pero también hay casos en que las víctimas de ataques cibernéticos son condenados por no tomar suficientes precauciones para evitar que la violación ocurra en primer lugar. Ayer, las Naciones Unidas, la organización responsable de, entre otras cosas, preservar la frágil paz en nuestro precioso planeta, admitió que ha sido blanco de hackers. Es seguro decir que la gente puede criticarlo no solo por no evitar la violación, sino también por la forma en que la denunció.

La ONU sufrió un ciberataque “con buenos recursos” en el verano de 2019

Antes de llegar a los errores de la ONU, primero debemos ver qué sucedió. Después de todo, estamos hablando de una enorme organización responsable de una gran cantidad de datos. Algunos de ellos son tan sensibles que si caen en las manos equivocadas, podrían conducir a la pérdida de vidas humanas. Afortunadamente, si se cree en la ONU, los piratas informáticos no pudieron acceder a los datos más confidenciales.

Según el anuncio oficial, el ataque golpeó a "componentes centrales de la infraestructura" en las oficinas de la ONU en Viena y Ginebra. Una de las armas de la ONU en Ginebra es la Oficina del Alto Comisionado para los Derechos Humanos (ACNUDH), y se confirmó que sus servidores fueron atacados. Afortunadamente, los atacantes solo lograron llegar al entorno de desarrollo, lo cual es igual porque el ACNUDH probablemente maneja datos confidenciales que podrían conducir a la persecución de activistas por parte de ciertos regímenes. Si bien no pudieron ver esa información, los piratas informáticos lograron comprometer algunas ID de usuario de Active Directory, aunque la ONU se apresuró a señalar que no se han robado contraseñas.

Los funcionarios de la ONU prefirieron no entrar en demasiados detalles sobre qué más estaba comprometido. Sin embargo, señalaron que el incidente fue "grave" e implicaron que la ONU fue atacada por un grupo sofisticado de piratas informáticos que tienen muchos recursos. Aunque este puede ser el caso, el éxito del ataque no puede atribuirse por completo a las habilidades de los piratas informáticos. La gestión de parches descuidados de la ONU también jugó un papel clave.

El ataque tuvo éxito debido a una actualización retrasada

Muchas personas están preocupadas porque el anuncio de ayer demuestra una vez más que incluso grandes organizaciones con importancia global pueden ser pirateadas con éxito. Sin embargo, lo verdaderamente aterrador es que estas organizaciones se dejan vulnerables a los ataques cibernéticos.

Para comprender lo que realmente sucedió, debemos retroceder el reloj hasta febrero de 2019, cuando los investigadores de seguridad encontraron un error de ejecución remota de código en Microsoft SharePoint, un sistema colaborativo de gestión de documentos y archivos utilizado por cientos de miles de organizaciones en todo el mundo. La falla podría permitir a los piratas informáticos eludir la autenticación de SharePoint y ejecutar código en el servidor del objetivo. Las posibles consecuencias de tal ataque fueron enormes, por lo que la vulnerabilidad se clasificó como crítica, se le dio un número CVE (CVE-2019-0604) y el trabajo en un parche comenzó de inmediato. En marzo, Microsoft emitió una actualización para abordar CVE-2019-0604 en la mayoría de las versiones de SharePoint afectadas, y el 25 de abril de 2019, lanzó otro parche para el resto de las plataformas vulnerables.

Las políticas de TI de la ONU aparentemente dictan que las actualizaciones de seguridad deben instalarse dentro de un mes de su lanzamiento, pero desafortunadamente, las reglas no se siguen muy estrictamente. En julio de 2019, los piratas informáticos explotaron CVE-2019-0604 en la plataforma SharePoint de la ONU y obtuvieron acceso a los servidores de la organización.

Los especialistas en ciberseguridad invierten mucho tiempo y esfuerzo para convencer a los usuarios y las empresas de que mantener las aplicaciones de software y los sistemas operativos actualizados es extremadamente importante. Todos tendemos a suponer que los expertos en TI que trabajan para organizaciones de importancia mundial no necesitan que se les recuerde esto, pero aparentemente, este no es el caso.

Ya es hora de que todos sepamos que no hay absolutamente ninguna excusa para ignorar las actualizaciones de seguridad. También debemos ver cómo la ONU manejó el incidente y aprender de sus errores.

La ONU mantuvo deliberadamente el ataque en secreto

Es difícil especular si la ONU tenía o no la intención de revelar la violación ayer, pero el hecho es que, unas horas antes de que los funcionarios de la organización se pararan frente a las cámaras, una agencia llamada The New Humanitarian (TNH) dio la noticia. El informe fue el resultado de una investigación bastante larga, que comenzó en noviembre de 2019 cuando Ben Parker, editor principal de TNH, se topó con un informe interno de la ONU a fines de agosto del año pasado.

Reveló que en aquel entonces, el equipo de TI de la ONU estaba en medio de tapar todos los agujeros e investigar lo que había sucedido. En ese momento, los expertos se comunicaban entre ellos y trataban de evaluar el daño. Un funcionario anónimo de TI le dijo a TNH que todo fue un "colapso importante" y, de hecho, la investigación de Ben Parker revela que no menos de 40 servidores se vieron comprometidos durante el ataque. Es probable que los servidores estuvieran vinculados a recursos humanos y sistemas de seguro de salud, lo que significa que si bien no pudieron ver listas de activistas de derechos humanos, los piratas informáticos lograron acceder a los datos personales del personal de la ONU en Ginebra y Viena.

La investigación de TNH también muestra que la ONU instó a sus empleados a cambiar sus contraseñas, pero no tenía ninguna intención de decirles que sus datos habían sido objeto de un ataque cibernético. Las únicas personas que sabían sobre el incidente fueron los especialistas de TI a cargo de limpiar el desorden y las personas más arriba en la jerarquía.

Si se tratara de una organización normal, habría tenido todo tipo de problemas. La multa bajo el RGPD de la UE habría sido masiva, y el hecho de que los empleados afectados no fueran informados a tiempo habría servido como un terreno sólido para una demanda. Sin embargo, la ONU no es una organización normal. Tiene inmunidad diplomática, lo que significa que los reguladores no tienen los derechos legales para responsabilizarlo, y las opciones para las personas afectadas tampoco son exactamente abundantes.

Lo único que podemos hacer en este momento es esperar que otras organizaciones, grandes y pequeñas, aprendan algunas lecciones.