Hacking Team: ¿Quién lo hizo y por qué?

Cazador cazado. Es quizás esta expresión la que mejor se ajusta a lo sucedido con la empresa italiana “Hacking Team, por el descalabro sufrido ante sus clientes y la opinión pública mundial al serle hackeadas sus cuentas, datos e informaciones que poseía, y que revelan un manejo cuestionable de la seguridad y la información; tráfico de influencias; sobornos y demás delitos.

CIO América Latina/Mario A. Beroes Ríos

Quizás lo peor de esta “operación cibernética”, que no tiene responsables aún, pero que ha sido comparada tecnológicamente con las informaciones reveladas por WikiLeaks y las de Edward Snowden, es que demuestra una vez más el alto nivel tecnológico que manejan los ciberdelincuentes o hackers, quienes además no tienen reparos en tarifar sus servicios y, por lo que se observa, inmiscuirse en la vida privada de quien le parezca.

No olviden pagarle a la dama…

La internet extinguió las fronteras en muchos sentidos y la ilegalidad ha encontrado espacios en línea que permiten transar productos de una forma relativamente fácil y globalizada. En la deep web se pueden comprar armas, drogas, y acceder a ríos de pornografía. Pero no todo lo que allí reside es del bajo mundo, también hay quienes comparten bibliotecas, bases de datos e información que por derechos de autor u otros asuntos no es posible encontrar en la red superficial.

En el caso de Hacking Team el hecho de “ofrecer programas para evitar ser hackeados y hackear”, pareciera ser lo que hizo más apetitoso el hecho de poder demostrar que sí podían ser atacados y su información podía quedar totalmente comprometida; en cualquier lugar del mundo donde tuviesen oficinas…Y así fue.

Los ciberdelincuentes que entraron a sus sistemas y publicaron en internet más de 400 gigas de información confidencial de la compañía, correos internos entre los integrantes de la empresa, lista de clientes, países y agencias de seguridad en todo el mundo que los habían contratado. Todos, ahora, tienen esos datos circulando libremente por la red.

La historia de Hacking Team es breve, y así parece que quedará. Se trata de una compañía con sede en Milán, Italia, creada por dos ingenieros italianos que hace 15 años desarrollaron una herramienta informática capaz de robar contraseñas, chuzar celulares y manipular remotamente computadores. La policía italiana comenzó a usar esa tecnología con el fin de combatir el crimen y eso se convirtió en el trampolín de la empresa que empezó a crecer rápidamente y a tener clientes en fuerzas de policía y seguridad en diferentes lugares del mundo.

Aunque se promocionaba como una compañía que ofrecía herramientas para ayudar a gobiernos y a fuerzas de la ley a combatir terroristas y delincuentes, la gama de servicios que entregaba empezaron a ser duramente cuestionados por el uso que algunos de sus clientes le empezaron a dar. La aplicación que desarrollaron es conocida con el nombre de Da Vinci o Galileo y le permitía a quien la compraba una variedad de opciones informáticas, muchas cuestionables o con capacidades que iban más allá de la operatividad informática.

Los cuestionamientos contra Hacking Team comenzaron hace un par de años cuando el instituto universitario canadiense Citizen Lab los denunció públicamente de vender esa herramienta a gobiernos cuestionados, y de usarla como instrumento para la violación de los derechos humanos. Unos de los casos documentados fueron Sudán, Marruecos, Etiopía y Emiratos Árabes en donde se habría usado para interceptar correos y comunicaciones de periodistas, activistas y opositores. Por esta razón, la ONG Reporteros sin Fronteras declaró a la empresa como “enemigos de internet”, por vender sus servicios a Estados opresores.

Con el tiempo Hacking Team empezó a ofrecer sus servicios en Iberoamérica. Unas veces de forma directa y otras por intermedio de empresas localizadas en cada país que actuaban como sus ‘socias’ o representantes. España, México, Honduras, Panamá, Colombia, Ecuador, Chile, Uruguay, Brasil, Venezuela y Paraguay hacen parte de la lista. En algunos de estos lugares los servicios de inteligencia, la Policía, el Ejército, ministerios y gobernaciones compraron la aplicación de Hacking Team y se sospecha que no con fines muy claros o correctos.

“No hay nada peor que perder la reputación en la web”

El software de espionaje desarrollado y vendido por la empresa ubicada en Milán estaba tasado en 750.000 dólares, unos 335.000 euros, según documentos dados a conocer por la misma Hacking Team. Por su parte, Juan Guillermo Ospino, gerente general de Trend Micro-Colombia, país donde el escándalo ha tocado las puertas del gobierno del presidente Santos, es de la opinión que “ni siquiera una empresa dedicada a hacer hackeo o hacking, está exenta a los ataques dirigidos pues claramente lo que les paso, no fue un accidente”.

Añade que no hay nada peor que perder la reputación en la web. “Es como perder el tiempo, no se recupera jamás. El objetivo de Hacking Team, sus clientes a nivel mundial, el uso adecuado o no de esta información seguramente será motivo de investigación pero además, nos pone sobre la mesa un tema de reflexión, sobre si la tecnología es o no mala, o lo es el uso inadecuado de ella”.

Compañías como Kaspersky Lab habían hecho advertencias públicas sobre los riesgos de las herramientas de espionaje denominadas “legales” como el RCS y el Gamma FinFisher del HackingTeam. Javier Vargas, gerente de Investigación de Easy Solutions dijo que Hacking Team “había cruzado ciertos límites y se ganó enemigos que resultaron finalmente tener los skills necesarios para infligirles un daño como el que recibieron”.  

“Lo que veo interesante es el hecho de que parece ser que desarrollaban herramientas con un alto nivel de sofisticación, la muestra es que incluso se evidenció que tenían en su poder exploits que no eran públicos, como el caso de Adobe Flash que tuvo que sacar un parche a raiz de un exploit que contenía el material filtrado”.

Queda claro que Hacking Team ha quedado fuera de la competencia. David Vincenzetti, fundador de la empresa y sus socios, a pesar de querer minimizar el problema afirmando que “los clientes que hayan seguido las instrucciones dictadas por la empresa no van a tener problemas de seguridad, ya que sólo fue una parte del código fuente lo robado”. Definitivamente, no las tienen a su favor.

Quién o quiénes lo hicieron y por qué es la pregunta que muchos en el ambiente de la seguridad tecnológica se hacen. Probablemente un pase de factura o una venganza personal haya sido el detonante. Ahora quien lo hizo demostró tener el suficiente poder como para ser tomado en cuenta, por lo menos en este ámbito.

La conclusión de todo esto es que la guerra continúa. Los ciberdelincuentes seguirán afinando sus técnicas y las empresas ahora pensarán más en “invertir” en seguridad; no viéndolo como un gasto, sino como una inversión