¿Es el Reino Unido lo suficientemente resistente como para soportar un gran ciberataque? | Interrupción del sistema informático de Microsoft

Aviones en tierra, trenes con retrasos, canales de televisión sin emitir, citas en hospitales canceladas, pagos electrónicos suspendidos. No, no fue el comienzo de un ciberataque masivo de Rusia ni el telón de fondo de una superproducción de Hollywood, sino una actualización informática que inesperadamente salió desastrosamente mal.

El hecho de que haya tenido efectos tan generalizados es, en cierta medida, un testimonio de la ubicuidad del sistema operativo Windows de Microsoft, una dependencia global bien conocida, y más particularmente de una actualización de software defectuosa lanzada por la empresa de seguridad y antivirus CrowdStrike para su sistema de software Falcon, ampliamente utilizado.

Estas actualizaciones de software están automatizadas (el proceso debería ser demasiado aburrido y rutinario para verificarlo), pero crean una vulnerabilidad y si hay un problema grave (en este caso, la actualización hizo que las computadoras con Windows fallaran), puede resultar en una cascada catastrófica que nadie hubiera anticipado.

La pregunta ahora es cuán rápido podrán recuperarse los afectados. Los vuelos eventualmente se reanudarán, pero ¿qué pasará con el impacto en las empresas más pequeñas? ¿Podrá el servicio de salud del Reino Unido, bajo presión, recuperar las citas perdidas? ¿Tienen las organizaciones sistemas de respaldo efectivos? Los costos tardarán en contabilizarse.

Hace apenas un día, el primer informe de la investigación británica sobre la COVID-19 concluyó que Gran Bretaña había sido demasiado optimista en su planificación (o más bien en su falta de planificación) para una pandemia. “Los ministros y funcionarios fueron culpables de un ‘pensamiento colectivo’ que llevó a un falso consenso de que el Reino Unido estaba bien preparado”, concluyó el informe Hallett de 240 páginas.

Algunos creen que el gobierno laborista tiene una oportunidad que puede aprovechar, incorporando cuestiones de tecnología de la información al debate sobre la resiliencia nacional. “Este es un buen momento para reflexionar sobre las cuestiones planteadas”, dijo un ex funcionario de alto rango. “El Reino Unido –y otros países– deben considerar si están al tanto de los riesgos tecnológicos”. A la luz de las pruebas del viernes, no es obvio que este sea el caso.

Esta vez la causa parece ser un error humano, aunque es demasiado pronto para ser definitivo. El sistema de actualizaciones automáticas de software para programas básicos pero aburridos ya ha sido explotado anteriormente, y esta vez por un estado hostil.

En 2020, piratas informáticos rusos vinculados a la agencia de inteligencia exterior SVR de Moscú lograron piratear una actualización del software de gestión de red Orion, fabricado por SolarWinds, y lo utilizaron para obtener acceso a varios departamentos del gobierno estadounidense, incluidos el Pentágono y el Tesoro.

No estaba claro hasta qué punto podían utilizarlo para espiar, pero Estados Unidos se sintió muy avergonzado por la vulnerabilidad. Más concretamente, los ataques de piratas informáticos rusos no han desaparecido.

Aunque la idea de un conflicto cibernético a gran escala con Rusia –que, según algunos, equivaldría a una declaración de guerra– es remota, el hecho es que al menos durante una mañana hubo una interrupción generalizada cuando una actualización de software salió mal y apunta a una vulnerabilidad sistémica que podría explotarse de manera más destructiva.

Ucrania ha sido objeto de repetidos ciberataques por parte de Rusia desde el inicio de la invasión en febrero de 2022. El episodio más grave se produjo en diciembre de 2023, cuando el principal operador de telecomunicaciones de Kiev, Kyivstar, quedó fuera de servicio durante días debido a un virus destructivo que arrasó con sus servidores. La compañía telefónica creía que los piratas informáticos habían estado acechando en el sistema durante meses, preparándose.

Los virus informáticos y los códigos maliciosos no respetan las fronteras nacionales, y sigue siendo preocupante que una vulnerabilidad explotada con un único fin (la guerra en Ucrania) pueda propagarse a otros países. Ya ocurrió en 2017, cuando el ataque NotPetya dirigido a empresas ucranianas se propagó indiscriminadamente y estuvo a punto de hacer caer de rodillas a la naviera danesa Maersk.

La pregunta inmediata es con qué rapidez y por completo podrán recuperarse las empresas y organizaciones afectadas. Pero la preocupación más amplia es que los desastres de software generalizados, ya sean accidentales o maliciosos, siguen ocurriendo y no hay una forma obvia de eliminarlos.

No habrá sido la intención de CrowdStrike producir una actualización que colapsara los ordenadores Windows. El hecho de que lo hiciera pone de relieve lo complejos e interconectados que son los sistemas digitales modernos. Hace menos de tres años, Facebook se cayó durante varias horas, en octubre de 2021, cortando las comunicaciones en la red social e Instagram y afectando a cientos de empresas.

Como dice Ciaran Martin, ex director del Centro Nacional de Ciberseguridad de Gran Bretaña: “Esta es una ilustración muy, muy incómoda de la fragilidad que se encuentra en el núcleo de nuestro mundo tecnológico”. Pero la cuestión es más que meramente filosófica: las consecuencias de un colapso más grave podrían ser severas.