Tres tipos de ataques en línea | Mikko Hypponen | TEDxBrussels

Esta charla es de un evento TEDx, organizado de manera independiente a las conferencias TED.

El experto en ciberdelincuencia Mikko Hypponen nos habla de tres tipos de ataques en línea a nuestra intimidad y nuestros datos, tres de los cuales solo dos se consideran delito. "¿Confiamos ciegamente en cualquier gobierno futuro? Porque cualquier derecho que cedemos, lo cedemos para siempre".

En los años 80,

en la Alemania del Este comunista,

si tenías una máquina de escribir,

tenías que registrarla
ante el gobierno.

Tenías que registrar
una hoja de texto de ejemplo

sacada de la máquina de escribir.

Era para que el gobierno pudiera
rastrear de dónde venía ese texto.

Si encontraban un papel

con ideas inapropiadas,

podían rastrear quién
había escrito esa idea.

Y los del oeste no entendíamos

cómo podían hacer algo así,

cuánto restringiría esto
la libertad de expresión.

Nunca lo haríamos en nuestros países.

Pero hoy, en 2011,

si compras una impresora láser a color

de cualquier fabricante grande
de impresoras láser

e imprimes una página,

esa página tendrá puntitos amarillos

impresos en cada una de las páginas

con un patrón que la hace única,
tuya y de tu impresora.

Esto nos ocurre hoy a nosotros.

Y no parece que nadie
arme un escándalo por ello.

Esto es un ejemplo del modo

en el que nuestros propios gobiernos

usan la tecnología contra nosotros,
los ciudadanos.

Y es una de las 3 principales fuentes

de problemas actuales en la red.

Si miramos lo que pasa de
verdad en el mundo de la red,

podemos agrupar los ataques
basados en los atacantes.

Tenemos 3 grupos principales.

Tenemos los delincuentes de la red.

Como, por ejemplo,
el Sr. Dimitry Golubov,

procedente de Kiev, en Ucrania.

Y los móviles de estos
delincuentes de la red

son fáciles de entender.

Esta gente gana dinero.

Usan los ataques en la red
para ganar mucho dinero,

muchísimo dinero.

En realidad, hay varios casos de
millonarios en la red, multimillonarios,

que ganan dinero con sus ataques.

Aquí tenemos a Vladimir Tsastsin,
de Tartu, en Estonia.

Este es Alfred González.

Este es Stephen Watt.

Este es Bjorn Sundin.

Este es Matthew Anderson,

Tariq Al-Dauor y sigue y sigue.

Estos tipos consiguen
su fortuna en la red,

pero lo hacen de manera ilegal,

usando cosas como troyanos bancarios

para robar dinero de nuestras cuentas
mientras hacemos gestiones en línea.

O con keyloggers, para conseguir
nuestra información crediticia

mientras compramos en línea
desde un ordenador infectado.

El Servicio Secreto
de EE.UU., hace 2 meses,

congeló la cuenta bancaria suiza
de este hombre, el Sr. Sam Jain.

Y en esa cuenta tenía USD 14,9 millones
cuando se congeló.

El Sr. Jain se dio a la fuga
y nadie sabe dónde está.

Y yo digo que, hoy en día,

es más probable que alguno de nosotros

seamos víctimas de un delito en la red

que aquí, en el mundo real.

Y está muy claro que va a ir a peor.

En el futuro, la mayoría de delitos
se cometerán en la red.

Al segundo grupo de atacantes
que conocemos hoy

no los mueve el dinero,
los mueve algo diferente;

los mueven las protestas,
los mueve una opinión,

los mueven las risas.

Grupos como Anonymous han emergido
en los últimos 12 meses

y se han convertido en líderes

de los ataques en la red.

Estos son los 3 atacantes principales:

los delincuentes que quieren dinero,

los hacktivistas como Anonymous

que quieren protestar,

y el último grupo son los Estados
nación, los gobiernos, quienes atacan.

Entonces miramos esos casos,
como lo que ocurrió en DigiNotar.

Es un ejemplo perfecto de lo que
pasa cuando los gobiernos atacan

a sus propios ciudadanos.

DigiNotar es una Autoridad
de Certificación de Holanda.

O, más bien, lo era.

Cayó en la bancarrota
el pasado otoño

porque la hackearon.

Alguien la pirateó y la
hackearon bien a fondo.

Yo pregunté la semana pasada

en una reunión con representantes
del gobierno holandés,

pregunté a uno de los
líderes del equipo

si creía que era posible
que la gente muriera

por culpa del hackeo a DigiNotar.

Respondió que sí.

¿Cómo muere la gente
por un hackeo como este?

DigiNotar es una A.C.
Venden certificados.

¿Qué se hace con los certificados?

Necesitas uno si tienes
un sitio web https,

para servicios de codificación SSL,
servicios como Gmail.

Ahora todos, o la mayoría, usamos
Gmail o alguno de sus competidores,

pero estos servicios son
especialmente populares

en los estados totalitarios como Irán,

donde los disidentes usan
servicios extranjeros como Gmail

porque saben que son más fiables
que los servicios locales

y están codificados
mediante conexiones SSL

para que sus gobiernos no puedan
fisgar sus conversaciones.

Excepto que sí pueden si hackean

una A.C. extranjera y expiden
certificados falsos.

Y eso es exactamente lo que pasó
con el caso de DigiNotar.

¿Y qué dicen de la Primavera Árabe y lo
que ha pasado, por ejemplo, en Egipto?

En Egipto, los rebeldes saquearon
las sedes centrales

de la policía secreta egipcia
en abril de 2011,

y, mientras saqueaban el edificio,
encontraron muchos papeles.

Entre esos papeles había una
carpeta llamada "FINFISHER".

Y dentro de esa carpeta había notas
de una empresa con sede en Alemania

que había vendido al gobierno egipcio
una serie de herramientas

para interceptar --a enorme escala--

todos los mensajes de
los ciudadanos del país.

Se la habían vendido por 280.000 euros
al gobierno egipcio.

La sede de esa empresa está aquí mismo.

Los gobiernos occidentales dan
herramientas a gobiernos totalitarios

para que las usen contra
sus propios ciudadanos.

Pero los gobiernos occidentales
también lo hacen con los suyos.

Por ejemplo, en Alemania,
hace apenas un par de semanas,

se encontró el llamado Troyano
del Estado, que era un troyano

usado por los trabajadores
del gobierno alemán

para investigar a sus propios ciudadanos.

Si eres sospechoso en un caso penal,

está claro que te pincharán el teléfono.

Pero hoy en día va más allá.

Pinchan tu conexión a Internet.

Usan herramientas como este troyano
para infectar su ordenador

y así permitirles ver todos sus mensajes,

escuchar sus conversaciones en línea,

conseguir sus contraseñas.

Si pensamos bien todas estas cosas,

la respuesta obvia de la gente sería:

"Bien, suena mal,

pero no me afecta porque
soy un ciudadano legal.

¿Por qué voy a preocuparme?
Si no tengo nada que esconder".

Y este argumento
no tiene ningún sentido.

La privacidad se sobreentiende.

La privacidad no debe negociarse.

No se trata de una cuestión

entre la privacidad contra la seguridad.

Es una cuestión de libertad
contra el control.

Y mientras confiamos
en nuestros gobiernos,

ahora mismo, en 2011,

cualquier derecho al que renunciemos,
renunciamos a él para siempre.

¿De verdad confiamos tan ciegamente

en cualquier futuro gobierno,
un gobierno que tengamos

dentro de 50 años?

Estos son los asuntos

sobre los que debemos preocuparnos
los siguientes 50 años.

Muchas gracias.

(Aplausos)