Aquellos que en alguna ocasión fueron víctimas de los ciberdelincuentes saben que detrás de esa desagradable sensación de haber sido vulnerados hay otra todavía más difícil de dejar atrás, la de sospechar que, hasta cierto punto, la culpa fue nuestra. Tal vez hicimos clic donde no debíamos, abrimos un archivo adjunto que parecía inofensivo, entregamos un código secreto, usamos una contraseña demasiado obvia, o, peor aún, la misma de siempre en demasiadas cuentas.
Los consejos de seguridad que se repiten hasta el hartazgo desde hace años refuerzan esa recriminación, porque parten de la idea de que el eslabón más débil siempre es el usuario y que alcanza con ser lo suficientemente prudente para mantenerse a salvo. Pero ese énfasis en nuestros errores también puede hacernos perder de vista que no todos los peligros informáticos dependen de un descuido. Porque a veces no importa cuántas precauciones tomemos si la amenaza ya viene instalada en el propio aparato desde mucho antes de que lo saquemos de la caja.
Eso es justamente lo que descubrió Google, revelando a principios de noviembre que había desmantelado una red criminal de alcance planetario responsable de infectar millones de dispositivos Android, entre ellos los populares TV Box, esas pequeñas cajas que se conectan al televisor para usar plataformas de streaming. Los investigadores también encontraron el mismo malware en equipos de telemedicina, reproductores de karaoke y hasta pantallas de cartelería digital. Google aseguró además que sus medidas podrían bloquear el acceso de la red a por lo menos otros 10 millones de aparatos comprometidos.
Lo particular del caso no era solamente la cantidad de sistemas afectados, sino la forma en que habían sido infectados. Según la investigación, el fabricante chino Videostrong había incorporado deliberadamente software malicioso en algunos de sus equipos, de manera que podían llegar a manos de sus compradores con una puerta trasera instalada de fábrica. No se trataba de una vulnerabilidad descubierta y aprovechada por los atacantes, sino de código que formaba parte de su programación original y había sido diseñado para activarse sin despertar sospechas mientras los dispositivos funcionaban con total normalidad.
Mediante este mecanismo de acceso, los delincuentes habían construido una botnet, una gigantesca red de máquinas que controlaban a distancia sin que sus propietarios lo supieran. Los aparatos eran utilizados para cometer fraudes publicitarios, simulando visitas a páginas web y clics en anuncios para cobrar por una actividad que nunca había existido. También podían instalar nuevos programas y, especialmente, aprovechar las conexiones a internet para ocultar el origen de estas maniobras, todo esto mientras sus dueños seguían mirando series o películas sin advertir nada extraño.
Pero las pequeñas cajas de streaming no son los únicos productos que pueden llegar a los hogares con sorpresas en su interior. En octubre, otros episodios expusieron una modalidad aún más sofisticada de manipulación, esta vez en hardware diseñado precisamente para proteger información extremadamente valiosa. Es lo que ocurrió con las billeteras físicas de criptomonedas de la marca Ledger, que permiten almacenar de manera segura las claves necesarias para acceder a fondos en Bitcoin y otras monedas digitales.
Estos aparatos no guardan los activos digitales sino las claves que permiten manejarlos, y al configurarlos por primera vez, crean una llave privada dentro de su chip de seguridad y muestran en su propia pantalla una frase de recuperación de 24 palabras. Si alguno se pierde o se rompe, el dueño puede restaurar su capital ingresándolas en otro dispositivo compatible, como si se tratara de una llave maestra. Sin embargo, con esas palabras en su poder, cualquier persona puede reconstruir el monedero en otro lugar y disponer del dinero sin necesidad de tener el original.
Ese era el objetivo de los delincuentes, que habían conseguido manipular billeteras originales durante la distribución, incorporando minúsculos circuitos electrónicos espía antes de volver a ponerlas a la venta. Estos componentes eran capaces de interceptar la información que aparecía en la pantalla durante la configuración inicial, capturar las 24 palabras de recuperación y transmitirlas mediante una conexión celular independiente, sin utilizar el teléfono ni el acceso a internet del comprador.
Así, mientras el propietario creía tener sus criptomonedas a salvo, los delincuentes obtenían a distancia todos los datos necesarios para apropiarse de sus ahorros. Lo más preocupante es que las billeteras podían superar las verificaciones de autenticidad del fabricante, porque sus elementos de seguridad seguían intactos y funcionando correctamente.
La manipulación de equipos electrónicos antes de que lleguen a sus destinatarios no es un fenómeno nuevo. Ya en 2016 Kryptowire, una empresa norteamericana especializada en seguridad de dispositivos móviles, descubrió que varios teléfonos de la marca BLU enviaban mensajes de texto, contactos e historial de llamadas a un servidor en Shanghái sin que sus dueños lo supieran.
El responsable era un programa de la firma china Adups, instalado de fábrica, que había pasado inadvertido para los antivirus que consideraban confiable el software original de los aparatos. Con los años aparecieron otros episodios similares, como el de la organización cibercriminal Lemon Group que, según la multinacional japonesa de ciberseguridad Trend Micro, habría preinstalado malware en casi 9 millones de dispositivos Android.
Quizás el caso más resonante de la historia reciente haya sido el que salió a la luz en octubre de 2018, cuando una investigación de Bloomberg afirmó que una unidad del Ejército chino había conseguido introducir diminutos chips espía en las placas madre de servidores fabricados en ese país para la tecnológica estadounidense Supermicro. Según la publicación, esos componentes se habían incorporado durante el ensamblado y habrían permitido abrir una entrada secreta a los sistemas informáticos de quienes utilizaban estos equipos, aunque las empresas involucradas lo desmintieron y las acusaciones nunca pudieron corroborarse de manera concluyente.
Haya sucedido o no, la publicación contribuyó a alimentar la desconfianza de los gobiernos hacia los productos tecnológicos chinos y trasladarla a sus decisiones administrativas. Estados Unidos fue sumando restricciones a su utilización en áreas estratégicas, que este año alcanzaron desde la red eléctrica hasta los robots humanoides.
Argentina avanzó en una dirección comparable el 6 de noviembre, cuando el Centro Nacional de Ciberseguridad estableció nuevos requisitos para la cadena de suministro del equipamiento de infraestructuras críticas del Estado, una condición que en la práctica puede dejar afuera a fabricantes como Huawei y ZTE. La medida coincide con un programa de cooperación bilateral con EE.UU. por 15 millones de dólares que busca fortalecer la seguridad de las redes estatales y que también contempla el reemplazo progresivo de hardware chino.
Todo esto plantea un problema que va mucho más allá de las precauciones que tomemos como usuarios, por más que sigamos al pie de la letra todas las recomendaciones de los especialistas. Podemos elegir las contraseñas más seguras, desconfiar de los mensajes sospechosos y mantener nuestros equipos actualizados al minuto, pero nada de esto puede protegernos de aquello que escapa a nuestro control, como lo que sucede con la tecnología antes de que llegue a nuestras manos. Al comprar un producto electrónico nuevo, estamos depositando nuestra confianza en una larga cadena de fabricantes, proveedores y distribuidores de la que prácticamente no sabemos nada. Y cuando uno de estos eslabones falla, ni siquiera hace falta que cometamos un error para convertirnos en víctimas.