Una vez que se ha iniciado un ciberataque, es necesario atacar determinados objetivos para paralizar al oponente. Se han señalado ciertas infraestructuras como objetivos críticos en tiempos de conflicto que pueden paralizar gravemente a una nación. Los sistemas de control, los recursos energéticos, las finanzas, las telecomunicaciones, el transporte y las instalaciones de agua se consideran objetivos de infraestructura críticos durante el conflicto. Un nuevo informe sobre los problemas de ciberseguridad industrial, elaborado por el Instituto de Tecnología de Columbia Británica y el PA Consulting Group, utilizando datos que se remontan a 1981, habría descubierto un aumento de diez veces en el número de ciberataques exitosos a los sistemas de control de supervisión y adquisición de datos (SCADA) de infraestructura desde el año 2000. [1] Los ciberataques que tienen un efecto físico adverso se conocen como ataques ciberfísicos. [2]
Los sistemas de control son responsables de activar y monitorear controles industriales o mecánicos. Muchos dispositivos están integrados con plataformas informáticas para controlar válvulas y compuertas de ciertas infraestructuras físicas. Los sistemas de control suelen estar diseñados como dispositivos de telemetría remotos que se vinculan a otros dispositivos físicos a través del acceso a Internet o módems. Se puede ofrecer poca seguridad cuando se trata de estos dispositivos, lo que permite que muchos piratas informáticos o ciberterroristas busquen vulnerabilidades sistemáticas. Paul Blomgren, gerente de ingeniería de ventas de una empresa de ciberseguridad, explicó cómo su gente condujo hasta una subestación remota, vio una antena de red inalámbrica e inmediatamente conectó sus tarjetas LAN inalámbricas. Sacaron sus computadoras portátiles y se conectaron al sistema porque no usaba contraseñas. "En 10 minutos, habían mapeado cada pieza de equipo en la instalación", dijo Blomgren. "En 15 minutos, mapearon cada pieza de equipo en la red de control operativo. En 20 minutos, estaban hablando con la red empresarial y habían realizado varios informes comerciales. Ni siquiera salieron del vehículo". [3]
La energía es considerada como la segunda infraestructura que podría ser atacada. [4] Se divide en dos categorías, electricidad y gas natural. La electricidad, también conocida como redes eléctricas, alimenta ciudades, regiones y hogares; alimenta máquinas y otros mecanismos utilizados en la vida cotidiana. Tomando a EE. UU. como ejemplo, en un conflicto, los ciberterroristas pueden acceder a datos a través del Informe diario del estado del sistema que muestra los flujos de energía en todo el sistema y puede señalar las secciones más concurridas de la red. Al apagar esas redes, pueden causar histeria colectiva, retrasos y confusión; también pueden localizar áreas críticas de operación para realizar más ataques de un modo más directo. Los ciberterroristas pueden acceder a instrucciones sobre cómo conectarse a la Administración de Energía de Bonneville, que les ayuda a orientarse sobre cómo no fallar el sistema en el proceso. Esta es una gran ventaja que se puede utilizar cuando se realizan ciberataques porque los atacantes extranjeros sin conocimiento previo del sistema pueden atacar con la mayor precisión sin inconvenientes. Los ciberataques a las instalaciones de gas natural siguen un camino muy similar al de los ataques a las redes eléctricas. Los ciberterroristas pueden cerrar estas instalaciones y detener el flujo, o incluso pueden desviar el flujo de gas a otra sección que pueda ser ocupada por uno de sus aliados. En Rusia, hubo un caso con un proveedor de gas conocido como Gazprom, que perdió el control de su centralita que enruta el flujo de gas después de que un operador interno y un programa troyano burlaran la seguridad. [3]
El ciberataque al Colonial Pipeline de 2021 provocó el cierre repentino del oleoducto que transportaba el 45% de la gasolina, el diésel y el combustible para aviones que se consumen en la costa este de Estados Unidos .
Los parques eólicos , tanto terrestres como marinos, también corren el riesgo de sufrir ciberataques. En febrero de 2022, un fabricante alemán de turbinas eólicas, Enercon , perdió la conexión remota con unas 5.800 turbinas tras una interrupción a gran escala de los enlaces por satélite. En abril de 2022, otra empresa, Deutsche Windtechnik, también perdió el control de unas 2.000 turbinas debido a un ciberataque. Si bien las turbinas eólicas no resultaron dañadas durante estos incidentes, estos ataques ilustran cuán vulnerables son sus sistemas informáticos. [5]
Las infraestructuras financieras podrían verse gravemente afectadas por los ciberataques, ya que el sistema financiero está conectado por sistemas informáticos. [6] En estas instituciones se intercambia dinero constantemente y, si los ciberterroristas atacaran y se desviaran las transacciones y se robaran grandes cantidades de dinero, las industrias financieras colapsarían y los civiles se quedarían sin trabajo y sin seguridad. Las operaciones se paralizarían de una región a otra, lo que provocaría una degradación económica a nivel nacional. Solo en los EE. UU., el volumen diario promedio de transacciones alcanzó los 3 billones de dólares y el 99% de ese volumen no es flujo de efectivo. [3] Poder interrumpir esa cantidad de dinero durante un día o durante un período de días puede causar un daño duradero que haga que los inversores se retiren de la financiación y erosione la confianza pública.
Un ciberataque a una institución financiera o a sus transacciones puede denominarse robo cibernético . Estos ataques pueden comenzar con un ataque de phishing dirigido a los empleados, utilizando ingeniería social para obtener información de ellos. Pueden permitir a los atacantes hackear la red e instalar keyloggers en los sistemas de contabilidad . Con el tiempo, los cibercriminales pueden obtener información sobre contraseñas y claves. A continuación, se puede acceder a las cuentas bancarias de una organización a través de la información que han robado utilizando los keyloggers. [7] En mayo de 2013, una banda llevó a cabo un robo cibernético de 40 millones de dólares en el Banco de Mascate . [8]
La infraestructura de transporte refleja las instalaciones de telecomunicaciones: al impedir el transporte de las personas en una ciudad o región, la economía se degradará ligeramente con el tiempo. Los ataques cibernéticos exitosos pueden afectar la programación y la accesibilidad, creando una interrupción en la cadena económica. Los métodos de transporte se verán afectados, lo que dificultará el envío de carga de un lugar a otro. En enero de 2003, durante el virus "slammer", Continental Airlines se vio obligada a cerrar vuelos debido a problemas informáticos. [3] Los ciberterroristas pueden atacar los ferrocarriles alterando los cambios de agujas, el software de vuelo para obstaculizar los aviones y el uso de las carreteras para impedir los métodos de transporte más convencionales. En mayo de 2015, un hombre, Chris Roberts, que era consultor cibernético, reveló al FBI que había logrado repetidamente, desde 2011 a 2014, piratear los controles de los vuelos de Boeing y Airbus a través del sistema de entretenimiento a bordo, supuestamente, y al menos una vez había ordenado a un vuelo que ascendiera. El FBI, después de detenerlo en abril de 2015 en Syracuse, lo entrevistó sobre las acusaciones. [9]
El agua como infraestructura podría ser una de las más críticas para ser atacada. Se la considera uno de los mayores peligros para la seguridad entre todos los sistemas controlados por ordenador. Existe la posibilidad de que se liberen cantidades masivas de agua en una zona que podría quedar desprotegida, lo que provocaría pérdidas de vidas y daños materiales. Incluso los suministros de agua podrían ser atacados; los sistemas de alcantarillado también pueden verse comprometidos. No se ha calculado el coste de los daños, pero el coste estimado de sustitución de los sistemas de agua críticos podría ascender a cientos de miles de millones de dólares. [3] La mayoría de estas infraestructuras hídricas están bien desarrolladas, por lo que es difícil que los ciberataques provoquen daños importantes; como mucho, pueden producirse fallos en los equipos que provoquen la interrupción del suministro eléctrico durante un breve periodo de tiempo.
En 2024, varios equipos industriales de instalaciones de agua de Estados Unidos fueron atacados por piratas informáticos para mostrar mensajes antiisraelíes. Aunque no se han producido daños importantes, se ha puesto de manifiesto que las instalaciones de agua de Estados Unidos están experimentando una falta de financiación y recursos para reparar las vulnerabilidades de seguridad en su infraestructura. [10]
Además de las instalaciones de agua, las instalaciones de gestión de residuos también pueden ser y han sido objetivos de ciberataques.
En 2023, la empresa Radio Waste Management (RWM), propiedad del gobierno del Reino Unido, sufrió una vulneración de ciberseguridad sin éxito mediante el uso de LinkedIn. El ataque intentó identificar y acceder a las personas que forman parte de la empresa. [11]
En 2023, Sellafield, el vertedero de residuos nucleares más grande y peligroso del Reino Unido, fue blanco de piratas informáticos extranjeros, vinculados a Rusia y China. Se descubrió malware durmiente dentro de las redes del sitio, y se desconoce cuánto tiempo había estado instalado o si se había eliminado por completo. El alcance total de la débil seguridad quedó expuesto cuando el personal descubrió que podía acceder a los servidores de Sellafield desde fuera del sitio. Los informes de 2012 y 2015 informaron que la empresa y la alta dirección estaban al tanto de las vulnerabilidades de seguridad, pero no informaron ni gastaron recursos para abordarlas. Los documentos confidenciales de Sellafield, como los planes de defensa de emergencia ante ataques extranjeros o desastres y la gestión de residuos radiactivos, pueden haber sido comprometidos. [12]
Es posible que los dispositivos electrónicos de menor escala que se encuentran en los desechos electrónicos se conviertan en blanco de ciberataques. PwC estima que, para 2030, la cantidad de dispositivos de Internet de las cosas (IoT) en posesión de todo el mundo alcanzará los 25 mil millones, y de esa cantidad, se generarán y eliminarán 70 millones de toneladas de desechos electrónicos. Aunque solo se basa en evidencia anecdótica, se estima que la mayoría de estos desechos electrónicos se eliminan de manera incorrecta, lo que permite que los componentes de estos dispositivos conserven información confidencial y datos personales. Los ciberdelincuentes pueden apuntar a los desechos electrónicos de personas u organizaciones para obtener acceso a datos confidenciales que no están tan protegidos como los dispositivos activos. [13]
Los hospitales, como infraestructura, son uno de los principales activos que se han visto afectados por los ciberataques, que podrían “conducir directamente a muertes”. Los ciberataques están diseñados para negar a los trabajadores de los hospitales el acceso a los sistemas de cuidados críticos. Recientemente, se ha producido un importante aumento de los ciberataques contra los hospitales en medio de la pandemia de COVID-19 . Los piratas informáticos bloquean una red y exigen un rescate para recuperar el acceso a estos sistemas. El CICR y otros grupos de derechos humanos han instado a las fuerzas del orden a adoptar “medidas inmediatas y decisivas” para castigar a estos ciberatacantes. [14]
Los hospitales y las instalaciones médicas han visto un aumento en los ataques de ransomware en los que los delincuentes codifican la información médica protegida (PHI) y otra información identificable privada. Cuando se paga el rescate, el dinero se intercambia por una clave para decodificar la información y devolver los datos robados. [15] Los puntos de acceso a la infraestructura del hospital suelen ser a través de empresas de terceros a través de las cuales los hospitales pueden contratar trabajos. La regla ómnibus HIPAA creada en 2013 requiere que todas las empresas contratadas para realizar trabajos para el hospital donde la información del paciente podría estar involucrada estarían obligadas a cumplir con los mismos estándares de seguridad. [16] Un punto de acceso cada vez más común ha sido a través de cámaras y sistemas de seguridad que se están agregando a la red de los hospitales. A medida que más empresas y dispositivos externos se conectan a través de Internet, aumentan los riesgos de ciberataques. Durante la pandemia de COVID-19 se observó un aumento de los ataques. Los investigadores concluyeron que esto fue el resultado del aumento del trabajo remoto en el que el personal del hospital tenía más dispositivos conectados a las redes, lo que aumenta las áreas potenciales de vulnerabilidad. [17] Una táctica que ha resultado eficaz para prevenir los ciberataques en el sector sanitario es el método de confianza cero. En este modelo, todos los usuarios, conocidos y desconocidos, se consideran una amenaza potencial y se exige que todos verifiquen su identidad con las credenciales adecuadas. [15]
Con el aumento del uso de registros médicos electrónicos (EMR, por sus siglas en inglés), surge una mayor necesidad de seguridad para proteger la información y la privacidad de los pacientes. [16] Cuando un hospital sufre una violación de datos en los Estados Unidos, la instalación está obligada a informar de la violación a las personas afectadas según la Ley de Tecnología de la Información de Salud para la Salud Económica y Clínica , también llamada HITECH ACT, ya que tiene la Regla de Notificación de Violaciones. La regla establece que las instalaciones están obligadas a informar sobre las violaciones de datos si la instalación proporciona atención al paciente según las pautas de HIPAA. La Ley de Portabilidad y Responsabilidad del Seguro Médico protege el derecho del paciente a la privacidad con respecto a su Información Médica Protegida (PHI, por sus siglas en inglés). [18] Acceder a la PHI puede ser muy lucrativo para los ciberdelincuentes, ya que esta información puede contener direcciones de domicilio, números de seguro social, información bancaria y otra información de identificación personal. [15]