De paralitzar el SEPE a la bretxa més gran de la història: 2021, l’any de la inseguretat informàtica

El 9 de desembre passat, experts en ciberseguretat de tot el món es van posar les mans al cap després de descobrir una vulnerabilitat catastròfica: Log4j, una funcionalitat clau del llenguatge de programació Java, tenia una porta posterior que permetia als delinqüents informàtics infiltrar-se en el sistema i robar informació. La diferència amb altres atacs és que aquest codi és utilitzat massivament per milions de serveis digitals. Els núvols d’Amazon, Apple i Microsoft, els cotxes de Tesla, el videojoc Minecraft, les aplicacions de Twitter, bancs, companyies d’assegurances o organismes públics van quedar exposats i amb aquests milers de milions dels seus usuaris. «Internet està en flames», va explicar Adam Meyers, vicepresident de la firma de ciberseguretat Crowdstrike.

Aquesta bretxa, considerada per diversos experts com la pitjor de la història, tanca un 2021 marcat per la inseguretat informàtica. I és que les mesures de restricció imposades per la covid, com la normalització del teletreball, han accentuat la nostra dependència de les pantalles. Els pirates informàtics no han desaprofitat aquesta oportunitat d’or i han llançat una onada d’atacs que no para de batre nous rècords, una tendència que ha arribat per quedar-se. El negoci opac del crim cibernètic, en el qual participen des de grups organitzats a agències d’intel·ligència, ha passat de moure tres bilions d’euros el 2015 a sis bilions aquest any, segons càlculs de Cybercrime Magazine. El 2025 podria superar els 10 bilions, un ritme de creixement del 15% anual.

Els atacs més grans de l’any

El 2021 ha deixat un llarg historial d’agressions informàtiques, amb diferents mètodes i objectius. Durant els primers sis mesos els atacs havien crescut un 29%, segons un informe global de Checkpoint, però sens dubte la via d’extorsió més en auge és el ‘ransomware’, virus que bloqueja l’accés a dades sensibles i demana pagar un rescat per alliberar-les. I com més estratègic o crític és el servei paralitzat més gran pot ser la quantitat exigida a les víctimes.

Aquesta pràctica va ser utilitzada el maig contra Colonial Pipeline, la xarxa d’oleoductes més gran dels Estats Units. El principal atac d’aquest any va paralitzar el subministrament de gasolina a 17 estats, que van activar una resposta d’emergència, i es van pagar 75 bitcoins (equivalent a 3,89 milions d’euros) per rescatar-la. Amb aquest mateix mètode, es va forçar el productor carni més gran del món, JBS Foods, i la companyia d’assegurances CNA a desembutxacar respectivament fins a 10 i 35,4 milions, el pagament més alt fet públic. El grup criminal rus REvil va exigir al gegant informàtic taiwanès Acer el pagament de l’equivalent a 88,4 milions, però es desconeix si va acabar pagant. Des de la sanitat pública d’Irlanda a l’NBA, l’ús del ‘ransomware’ s’ha disparat un 93% contra tota mena de negocis.

A més de Log4j, entre les bretxes més grans de l’any figuren la de Microsoft Exchange Server que va afectar 60.000 companyies i nou agències del govern als EUA i l’Autoritat Bancària Europea; la que va exposar 125 GB de dades de Twitch, entre les quals el codi de la plataforma i els salaris dels seus principals creadors; o la que va filtrar dades robades de fins a 533 milions d’usuaris de Facebook, 11 milions dels quals de comptes espanyols.

40.000 atacs al dia a Espanya

Espanya no ha sigut aliena a aquest fenomen global. El 2020 es van detectar uns 40.000 atacs al dia, un 125% més que l’any anterior, segons l’empresa Datos101, una xifra que aquest any ha seguit a l’alça. Tot i que no tots van tenir èxit, aquest volum ajuda a visualitzar el perpetu setge criminal que es produeix darrere de les pantalles al país. Una anàlisi de l’escola de formació tecnològica Ironhack situa Espanya com a tercera nació amb més risc de ser atacada, només per darrere dels EUA i Alemanya.

Aquest any hem vist com diferents virus informàtics s’han infiltrat a les entranyes de grans empreses com Telefónica, Mediamarkt o Estrella Damm o en les de mitjans independents com El Salto o La Marea per segrestar dades i exigir rescats. «La majoria d’atacs es concentren contra pimes i autònoms perquè són els que compten amb menys mesures de ciberseguretat», apunta Marcos Gómez, subdirector de serveis de l’Institut Nacional de Ciberseguretat (INCIBE). «Cada vegada hi ha més protecció, però encara queda molta feina per fer».

Notícies relacionades

Ciberatacs contra hospitals, una amenaça aguditzada per la pandèmia

Els quatre atacs cibernètics més comuns a Espanya

No obstant, els objectius més sensibles han sigut organismes públics. És el cas del Servei Públic d’Ocupació Estatal (SEPE), els serveis del qual van quedar paralitzats durant dues setmanes després de patir un atac orquestrat per ciberdelinqüents russos que buscaven desprestigiar l’Estat, segons va apuntar el Centre Nacional d’Intel·ligència (CNI), cosa que va retardar gestions essencials en plena crisi com l’atur o el pagament dels ertos. Fa pocs dies, una infiltració similar va aconseguir bloquejar durant tres hores l’accés als serveis digitals de la Generalitat de Catalunya.

Després de destapar el forat de seguretat de Log4Shell, la firma de ciberseguretat Cloudfare va detectar que cada dia criminals informàtics de tot el món escanejaven la web 35 milions de vegades a la recerca de vulnerabilitats per explotar. La magnitud d’atacs que això pugui desencadenar és encara una incògnita. Els experts adverteixen que davant aquesta creixent amenaça és indispensable reforçar la seguretat dels sistemes. I és que tot i que va acabar reparant-se, qui va frenar la bretxa de Log4Shell van ser tres desenvolupadors voluntaris que treballaven en el projecte «en el seu temps lliure».