Al principio de la singularidad informática todo fue hardware y software. Estaba clara la cosa: lo físico y lo lógico. Lo que podías tocar y lo que no podías tocar. Luego se complicó un poco más y llegaron cosas como el firmware o términos como vaporware, para aludir a proyectos que nunca llegaban a hacerse realidad.
Antes no había nada de esto. De hecho, “los ordenadores/computadores” eran habitaciones enormes con máquinas enormes y potentes sistemas de ventilación para disipar calor (al estilo de los grandes centros de minado de bitcoins hoy día). Eran parte del imaginario, porque no eran parte de nuestra realidad cotidiana, exactamente igual que un cohete espacial: su tecnología existía pero el teflón aún no había llegado a nuestras sartenes.
A lo mejor os parece increíble, pero yo he tenido cartillas de banco que se actualizaban a mano: las inscripciones en el “blockchain” del banco de turno se hacían sobre papel, con bolígrafo, firma manual y sello. Y las copias (por si había discrepancias) se guardaban en cajas que almacenaban miles de duplicados –o triplicados– de papel ordenados por fecha y oficina. Cómo gestionaba la megaentidad de turno esos datos era un misterio, pero a ti te valía con una firma del cajero y un sello junto a la anotación en tu cartilla de papel. Nada de ordenadores. Era la sociedad analógica, habitada por quienes imaginaron Internet pero ahora se ven a menudo superados por esa creación, al menos en mayor medida que sus propios hijos pequeños, ya nacidos dentro del mundo de lo digital y la comunicación inmediata.
Antes éramos “los más jóvenes” los primeros que aprendíamos a programar el vídeo 2000, Beta o VHS, a hacer funcionar las primitivas consolas de juegos, y fuimos los primeros que entramos en Internet y tuvimos que adaptarnos a un aluvión de más términos, como SPAM, módem, virus, troyano, firewall, exploit, actualización, APP, wifi, etc. Y así llegamos hasta una de las últimas tendencias a las que tendremos que acostumbrarnos hasta incorporarlas a nuestro lenguaje, de la misma forma que ahora mismo decir “tuit” es un término recogido en el “poco flexible y lento” diccionario de la RAE: el temido ransomware.
¿Eso qué clase de ware es?
En concreto el ransomware es un tipo de malware (nombre que recibe el código creado para ganar acceso a un ordenador, a contraseñas, cuentas o información sensible) que «secuestra» y pone un precio a la información que contiene un ordenador. ¿Qué valor le pondrías a todas tus claves, fotos, videos, datos, textos, monederos de Bitcoin o de otra clase de moneda digital? ¿Qué valor le das a todo lo que contiene tu ordenador y no puedes recuperar mediante un backup? Ese sería el valor de tu “ransom” o del rescate que pagarías a cualquier desconocido que pudiera devolverte –inalterados– esos datos que creías perdidos. Si bien el ransom es el precio que te piden, es el ransomware el responsable del secuestro de tus datos. Este tipo de código gana acceso a tu dispositivo de la misma forma que el resto de virus y códigos maliciosos: una vulnerabilidad de tu sistema-aplicaciones o tu propio fallo al darle a ejecutar, instalar o cualquier otra forma de dar permiso al sistema para que incruste un código dañino en tu dispositivo. Nada nuevo en ese aspecto.
En realidad, ni el término ni la artimaña son tan nuevos. El primer caso de ransomware es de 1989 y su programador, cuando fue atrapado, recibió la calificación “mentalmente incapaz” de afrontar un juicio penal por sus actos (no por deterioro cognitivo sino por «comportamiento errático»). El autor era Joseph Popp, que creo un código que encriptaba el nombre de los archivos del ordenador y a continuación pedía un pago de US$ 189. Fue el conocido como “Troyano SIDA” (“AIDS trojan”) y su programador prometió donar todo el dinero a la investigación contra dicha enfermedad, pero ya hacemos notar que el juez no le vio capaz de “atender” a un juicio, así que se libró por la campana.
Desde sus inicios, en los que se cobraba la extorsión por cheque bancario y encima lo enviabas por correo, el ransomware ha tenido dos grandes hitos. El primero fueron los avances en criptografía, que permiten a los códigos actuales encriptar el disco duro de forma mucho más sólida –menos resistente a ingeniería inversa y menos susceptible de ser rota mediante fuerza bruta–. El segundo, también íntimamente unido a la criptografía, ha sido Bitcoin.
Bitcoin no ha aportado nada nuevo al esquema básico del funcionamiento del ransomware. En el fondo nada cambió. Ahora simplemente resulta más simple –y seguro– el cobro del rescate para el criminal. También añade una cierta seguridad para el pagador: es preferible pagar una extorsión con Bitcoin que dar tu tarjeta de crédito para el pago, lo que implicaría identificarse ante el criminal. Pero los medios no tienen en cuenta esas cosas; a la prensa le da igual que esto ya existiera hace 20 años: da lo mismo. Ahora la palabra clave es Bitcoin, ese “puerto seguro” para el mal en la red, que no es más que una forma de pago con unas características determinadas (unas ventajosas y otras no, según para qué y para quién).
Si bien el rasonware existe desde hace mucho en diversas formas, ha sido en estos último 5 años cuando su despegue ha sido mayor, con algunos “éxitos” que produjeron decenas de millones de dólares. Pero ahora mismo resurge en los medios siempre asociado, y con gran hincapié, a Bitcoin. Vamos a ver 3 ejemplos que ilustran la situación.
En el primero, una sorprendida mujer de negocios de Irlanda llamada Shirley Palmer se veía entre la espada y la pared tras una sesión de lo que ella consideró una navegación normal. Un código ransomware encriptaba su disco duro y le pedía una pequeña suma de 2 bitcoins –unos 500 dólares– que no tuvo más remedio que pagar ya que necesitaba dichos datos. Según sus propias palabras no vio nada anormal, “todo parecía un link correcto y seguro de Facebook” que ella creía que apuntaba a un vídeo de Youtube. No era así: el ordenador ejecutó el código, y al reiniciarse le daba 90 horas para pagar el rescate si quería recuperar sus datos. En menos de 2 días, esta empresaria compró bitcoins y aprendió a usarlos, al menos lo suficiente para pagar el rescate y recuperar “su vida digital”.
En el segundo ejemplo, esto no sólo le pasa a desprevenidos ciudadanos. Nuestros cuerpos de policía también sufren estos ataques, y también pagan dependiendo de qué daño les provocaría la pérdida de los datos. La policía de Midlothian en Chicago pagó 500 dólares a un hacker desconocido que, haciendo uso de ransomware, había encriptado algún que otro dispositivo. No han sido los únicos: miembros de las fuerzas de “seguridad” del estado en Tennessee también han tenido que pagar los 500 dólares de rescate a un desconocido hacker para que desencriptase sus archivos. La policía de Detroit, cuando sufrió este ataque, o tenían copia de seguridad o muy poco interés por los datos de la red comprometida, pues se negaron a pagar.
El último gran pez que ha caído en una extorsión por ransomware –el tercer ejemplo– es todo un distrito escolar de New Jersey, que tuvo que paralizar los exámenes dado que el material didáctico del profesorado y el de uso del alumnado se había visto afectado. No así las calificaciones, que se almacenaban en servidores aparte, pero sí todo tipo de documentos de uso común, como texto, hojas de cálculo, o PDF’s que han hecho que los profesores lleguen a afirmar que “se sienten como si hubieran vuelto a 1981”, en parte por tener que volver a usar libros o a escribir a mano.
En este último caso, no queda claro si el rescate solicitado son 500 dólares en bitcoins, o 500 bitcoins. La cosa cambia mucho en términos de valor, y dependiendo del medio que escojas, al distrito escolar le han pedido una cosa o la otra. Me temo que están como nuestros padres cuando no sabían como programar el vídeo: ni siquiera se aclaran con lo que tienen que hacer.
He aquí una lista de consejos útiles para protegerse del ransomware. Lo que no ayuda en absoluto es tratar de liberarse de la responsabilidad culpando a la moneda –en lugar de al criminal–.
Pero si vamos a culpar a Bitcoin, culpemos también a todas las monedas que sirven a fines con los que no estamos de acuerdo. ¿Se salva alguna? 😉