El mundo de los hackers

Era una tarde calurosa, aún cuando la lluvia de hojas del otoño se hacía presente. Él, un joven de 27 años, al que llamaremos Rodrigo 1, y quién aceptó a participar de esta nota bajo estricta reserva de su identidad, es citado para contar los entretelones de su veta de hacker, tal como nos lo presentaron. Explica que es un aficionado a la tecnología desde los ocho años, cuando realizó su primera capacitación en programación, pero fue a los 15 que empezó a curiosear en sistemas ajenos como un observador omnisciente. En ese momento, dio sus primeros pasos “pinchando las líneas telefónicas. Hoy, ya devino en un profesional en Seguridad Informática, más allá de no tener un título formal, es el responsable de explorar los sistemas para encontrar vulnerabilidades en varias empresas argentinas e internacionales, según como le toque. Entre sus pasos laborales participó dentro del área de sistemas seguridad de uno de los organismos recaudadores de impuestos más importantes del país.

Lejos de ser físicamente un freak, flogger, punk o un nerd de la tecnología, a primeras miras doña Rosa diría que parece un “buen chico . Aunque todo padre guardaría su cuota de duda a la hora de entregarle su hija a este joven, que aparenta ser como cualquier otro, que va a trabajar en bicicleta. Sin embargo, como dice el dicho “no todo lo que reluce es oro y en este caso aplica como anillo al dedo , dado que los conocimientos tecnológicos que Rodrigo 1 posee sobre la Web lo hacen un arma de doble filo para el mundo virtual. Se adjudica el término de hacker ético, aunque con algunos resquemores: “un día podés estar de este lado y al día siguiente, del otro .

Cambiando de perspectiva, Alessio Aguirre Pimentel, director del rea Seguridad Informática e Informática Forense de FTI Consulting de Argentina, define al hacker como “una persona que se dedica a encontrar vulnerabilidades y a explotarlas para obtener un nivel de acceso superior al que tiene. Una vez explotadas, la mayoría son subsanadas por los administradores que defienden la red, tornando el conocimiento de esa vulnerabilidad inútil para ese sistema en particular .

En números claros

Si bien todos los consultados ára esta nota confiesan que no se puede calcular exactamente cuáles son los valores que ronda al mundo hacker. Hay distintos relevamientos que permiten una aproximación: Según un estudio sobre pérdida de datos de KPMG, la cantidad de personas en todo el mundo que lo sufren ascendería a 190 millones en 2009, en comparación con los 92 millones alcanzados el año pasado, a medida que la crisis financiera se profundice.

Jeffrey Cassidy, gerente General de Core Security para las Operaciones de América del Sur, cuenta que “el mundo hacker cambio completamente en los últimos 10 años. Antes tenías a un chico en su casa que entraba a un sitio y ponía su apodo por diversión o fama. Ahora tenemos una industria del hackeo, donde el crimen es realmente fuerte y crece de manera impresionante . Hasta se anima a decir: “Es más grande que el mercado negro de las drogas ya que el cibercrimen es fácil, con una PC, Internet y alguien que sepa de IT, ya está .

En esa sintonía, Symantec desarrolló un informe sobre la Economía Clandestina, donde arribó a que u$s 276 millones es el valor total de los bienes anunciados en servidores clandestinos, entre julio 2007 y junio 2008. Además, la información de tarjetas de crédito representa la categoría con más anuncios, con 31% del total, y se venden entre uSs 0,10 y u$s 25 por tarjeta, con un límite de crédito promedio de u$s 4.000. Para el periodo del reporte, representaría asía un negocio de u$s 5.300 millones. Las cuentas bancarias le siguen, con 20% del total, y su información se vende entre u$s 10 y u$s 1.000. Mientras, el saldo promedio ronda los u$s 40.000 y el valor total -en ese año relevado- correspondió a u$s 1.700 millones.

Según los diferentes grupos de hackeo, en su búsqueda por diferenciarse entre los que llevan a cabo actos criminales y los que no, convinieron en denominar a unos black hat y a otros white hat. El hacker de sombrero negro o conocido también como crackers son los que rompen sistemas de seguridad, colapsan servidores, se apoderan o infectan redes, entre otras. En busca de un reto intelectual y lucrar económicamente. Mientras que el de sombrero blanco se refiere a los que se adjudican una ética hacker, centrada en asegurar y proteger los sistemas tecnológicos. Éstos suelen trabajar para empresas de seguridad informática.

Aguirre Pimentel categoriza sus perfiles: “podrían determinarse dos tipos diferenciados, profesional y amateur. Según la finalidad de cada uno, los mismos pueden ser activistas, extorsivos o recreativos. El profesional extorsiona para obtener algún beneficio, el amateur busca crearse una reputación para ganar prestigio y el recreativo, lo toma como un reto o le interesa la fama .

Por su parte, Alejandro Gramajo, director de Ingeniería de Baicom Networks, los califica entre los que pertenecen a la vieja y a la nueva escuela. “Antes el hacking se realizaba principalmente desde terminales conectadas a líneas telefónicas de alguna PBX (central telefónica) publica o no. Hoy, Internet abrió una enorme cantidad de opciones de hacking e información al respecto, de ahí que salen nuevos chicos que se interesan en el tema. A mi entender la vieja escuela es gente entre 30 y 50 años (o más) y todos los menores a esa edad pertenecen a la nueva escuela , resume y amplía: “ambos cuentan con mucho conocimientos (o debería serlo) y se separan por la ética, que uno lo hace para ayudar y el otro para dañar. Una cosa importante es que un white hat no necesariamente vive de la seguridad, puede ser que lo haga para aprender o divulgar .

La visión de los actores

En diálogo con IT Business, Rodrigo 1 lo confirma: “Si tengo que elegir entre el de sombrero blanco o negro, creo ser más bien blanco, aunque sería mejor calificado como gris. Dado que soy curioso, por fuera de mi trabajo profesional deparo, en promedio, 20 horas -lo cual es una cifra relativamente baja- a explotar vulnerabilidades ajenas por conocimiento y desarrollo intelectual. Pero no busco, hoy, generar daño. De hecho, trabajé hace unos años como consultor independiente en seguridad y cobraba u$s 300 por hora, asíque me encuentro lejos de ser un cracker .

Tras una charla telefónica, fuimos más allá con otro hombre al que llamaremos Rodrigo 2, quien con voz tímida pero decidida nos contó que se relacionó con el hackeo, también, en la adolescencia. Sin embargo, hoy trabaja en una empresa de licencias de seguridad y se considera un hacker por hobbie, porque no busca reconocimiento sino aprender las vulnerabilidades de los sistemas para mejorar su trabajo.

Ambos Rodrigos, concuerdan que la actividad de sus oponentes maliciosos se incrementa y las mafias son una realidad, sobre todo en tiempos de crisis, porque ingresar al sector formal es tan difícil como ser apresado.

Si bien los consultados para esta nota adjudican la concentración de los hackers black hat en Estados Unidos (EE.UU.), Europa y los países asiáticos. La región gana posiciones entre los centros urbanos de mayor delincuencia informática, más allá de que al cambiar sus ubicaciones para evadir su localización y detección no puedan precisarse con más detalle.

Argentina en 4°lugar

Hernán Coronel, system engineering de Symantec, recuerda que en el Internet Security Report 2008 elaborado por la empresa “en el primer lugar se encuentra Perú; mientras, la Argentina ha comenzado un periodo de adaptación rápida, donde pasó del 6º al 4º lugar en el ranking. Lo más preocupante es que la Capital Federal es líder en Latinoamérica en redes botnet y bots". Continúa, “pero la ubicación está condicionada a normativas legales, justamente, Israel pasó del 2º al 5º y EE.UU. saltó del 5º al 2º .

Sector corporate

Según el informe de Economía Clandestina de Symantec, “el mapa geográfico es diverso y genera ingresos a los ciberdelincuentes que van desde grupos indefinidos de personas hasta grupos organizados y sofisticados. América del Norte tuvo el mayor número, con 45% del total; la región de Europa, Oriente Medio y frica albergó el 38%; seguido de Asia-Pacífico con 12% y América latina con un 5% .

Para Gramajo y Aguirre, la Argentina cuenta con “muchos y buenos hackers, pero todavía se encuentra lejos de tener un monopolio.

Cada vez más, las compañías requieren de conocimientos profundos en comunicaciones, sistemas de información, tecnologías de seguridad, estándares de calidad, técnicas de análisis, políticas de seguridad, protocolos de comunicación y manejo de sistemas operativos; para lograr la protección adecuada de la información privilegiada. “Contar con personal especializado en Seguridad de la Información es una garantía para las compañías, dado que tienen la certeza de seleccionar personal con amplia experiencia, conocimientos profundos, y entrenados en gestión de incidentes de seguridad , afirma Juan Carlos Vuoso, gerente General de ETEK Argentina y Chile.

Gramajo va más allá y cuenta acerca del funcionamiento de la actividad del hackeo ético en la industria de seguridad informática: “Se trata de ponerse en la piel de un hacker malicioso, intentar entrar a un sistema dado de cualquier método posible, dentro del rango de tiempo que fue contratado el servicio .

En cuanto a costos del servicio, Cassidy, de Core Security, cuenta que “el paquete de software, funcionando 7 x 24, cuesta en promedio u$s 30.000, pero la cifra dependerá de la cantidad de PCs para probar, direcciones IP y el tiempo de capacitación . En la misma sintonía, el Alejandro Gramajo, de Baicom, señala que “El precio es muy variable, porque es de acuerdo a la envergadura de la red o sistemas asociados y al tiempo que quieren pagarlo. Puede ser una consultoría o algo recurrente para mejorar la seguridad .

Otra tipo de empresas dedicadas a la seguridad que ha tenido un crecimiento exponencial en los últimos años es la Informática Forense. Matías Nahón, office head de Kroll Argentina, afirma que el requerimiento de sus servicios para el mercado corporativo se incrementó en un 40% en los últimos tres años. “Se debió a que más del 75% del información crucial de las empresas se encuentra digitalizada y expuesta a la utilización indebida , argumenta. Todos concluyen que seguirá existiendo el mercado negro del hackeo, en la medida que haya un comprador.

El futuro

Para los Rodrigos, nadie está seguro, ni siquiera ellos mismos. No obstante, para estar preparados la empresa Websense predijo las amenazas más destacadas para 2009: los servicios basados en cloud computing se utilizarán más con propósitos malignos; aumentará el uso de Rich Internet Applications (RIAs), como Flash y Google Gears, para fines indebidos; los atacantes aprovecharán la Web programable; aumentará exponencialmente el spam Web y contenido malévolo en blogs y redes sociales; los atacantes adoptarán un modelo distribuido para controlar botnets y hospedar código malicioso; por último, los sitios con “buena reputación tendrán negras intenciones.