Así se va a blindar la elección 2018 en tiempos del ciberdelito, hackeo, bots y fake news

Para llegar a ella se debe recorrer una especie de laberinto formado por muros y pasillos estilo industrial. Tras cruzar tres puertas de seguridad, encontramos el área flanqueada por paredes de cristal. La llaman la “pecera” y es uno de los centros de cómputo y operaciones que soporta “parte del sistema nervioso” que transmite información que el Instituto Nacional Electoral (INE) requiere para operar.

De los cinco centros de sistemas, cómputo y operaciones con los que cuenta el instituto en todo el país, visitamos uno estratégico: el que soporta los procesos electorales y el resto de funciones del INE. Aquí se procesa toda la información relacionada con las prerrogativas a los partidos políticos y la fiscalización del dinero público. Además, la que se vincula con la capacitación electoral, el seguimiento de observadores, así como la información que reporta el personal de campo que, a escala distrital y nacional, participa en la organización de la elección y hace reportes diarios que se concentran en este sistema.

Lo anterior lo explica Jorge Humberto Torres Antuñano, quien está al mando de la Unidad Técnica de Servicios de Informática del INE. El ingeniero, egresado de la Facultad de Ingeniería de la UNAM, llegó al instituto hace 20 años. Formó parte de un equipo pionero de la UNAM que en 1997 publicó, por vez primera, en internet, el Programa de Resultados Electorales (PREP). Cuando se integró al entonces IFE inició la revolución tecnológica gracias a la cual, en la actualidad, buena parte de los procesos electorales se hacen ya vía digital.

Los servidores resguardados en la “pecera” contienen los datos electorales de un país que está próximo a vivir una de las contiendas más reñidas de su historia. El próximo 1 de julio los votantes acudirán a las urnas para elegir 3,400 cargos públicos a escala federal y local, incluido presidente de la república, congresistas, gobernadores y alcaldes.

“Esta unidad se creó en 1998 —cuenta— con el propósito de integrar tecnologías de información y comunicación al instituto y hemos venido evolucionando porque los primeros sistemas se empezaron a implementar en 2000, y ahora muchas etapas del proceso electoral son vía tecnológica, como el PREP. La tecnología catapultó al instituto”, sostiene. Y de inmediato agrega: “La importancia radica en que soportamos parte del sistema nervioso que transmite la información que requiere el INE para sus funciones”.

En el marco del reciente e inédito ataque cibernético a bancos mexicanos, mediante el cual se habrían sustraído casi 400 millones de pesos, el tema de la ciberseguridad resurge con interés para distintos sectores. Newsweek en español charla en exclusiva con Jorge Humberto Torres Antuñano, coordinador general de la Unidad de Servicios de Informática del INE, sobre el blindaje de la elección 2018. Al respecto, afirma: “Aquí sí tomamos muy en serio la seguridad informática, y por ese lado el ciudadano puede tener la claridad de que nosotros estamos muy conscientes de nuestra gran responsabilidad, y cada día tomamos previsiones”.

Hablar de ataques cibernéticos evoca videojuegos de héroes y villanos, en un imaginario virtual que hoy es real: en el tecnologizado mundo del siglo XXI, estos ocurren masivamente desde direcciones IP (internet protocol) de país a país o internamente. Gráficamente es posible observarlos a través de mapas como el que Torres Antuñano monitorea en una de las seis pantallas instaladas frente a su escritorio.

Por motivaciones económicas, políticas, ideológicas, de criminalidad y hasta ocurrencia o divertimento, se intenta atacar sistemas de gobiernos, bancos, organizaciones no gubernamentales, telecomunicaciones, correos o cualquier portal; incluso se ha convertido en reto de practicantes, “porque hoy muchos ataques ya hasta son como recetas de cocina que aparecen incluso en páginas de internet donde un estudiante a lo mejor ve qué pasos seguir y aplica el ciberataque, pero dependerá del objetivo: el qué tanto está protegido, actualizado y preparado para repelerlos”.

“Se ejecutan millones de solicitudes de no humanos, es decir, de computadoras (esclavas) procurando que la página del INE no responda, sin embargo, ya tenemos mecanismos para mitigarlos: identificamos esas millones de solicitudes y se les manda literalmente a la basura, para que los usuarios reales lleguen sin ningún problema y no se interrumpa el servicio”.

Y prosigue:

“Hay otro tipo de ataques que consisten en buscar un hueco en el sistema para alterar la información o extraerla, que intentan vulnerar la integridad, y para esos también tenemos mecanismos de mitigación. Es decir, esos ataques son comunes, pero siempre estamos preparados. Desde el diseño de los sistemas establecemos aspectos de seguridad. En una analogía simple: cuando yo diseño una casa se hace acorde también a los riesgos. Con los sistemas, sabiendo que hay muchos riesgos, implemento mecanismos de seguridad que incluyen simulaciones como si fuéramos atacantes, para verificar si funciona o no y detectar nuevos riesgos, pero además siempre monitoreamos, porque no es solo ponerle cerradura a la casa, también policías vigilando cualquier actividad sospechosa”.

El reto en un proceso electoral que tiene como aliado la tecnología, “es que no se va a tener respaldo en papel para muchas de las actividades y dependemos de que los sistemas operen de forma continua y confiable. A lo largo de los años la tecnología ha venido evolucionando, pero los riesgos asociados también, y por eso la ciberseguridad sí es un reto, y buscamos siempre identificar cuáles pueden ser los impactos para mitigarlos.

“El día de la jornada electoral, por ejemplo, la integración de casillas será apoyada con una aplicación, y cuando estemos dando resultados preliminares —refiere el ingeniero— la mayor cantidad de accesos será a través de teléfonos móviles con otra aplicación. Pero aun con toda la tecnología que traemos en todo el proceso electoral, hay un componente muy importante que es el factor humano, por ejemplo, el escrutinio en casillas aún es a mano”.

—En el imaginario mexicano aún está esa famosa caída del sistema de 1988, ¿actualmente hay riesgo?

—Todos los estamos mitigando, si no es que anulando, porque aparte de la prevención, tenemos auditorías y revisiones externas. Se ha invertido para operar con personal experimentado en ciberseguridad, pero también tenemos ojos externos, ojos frescos sin ceguera de taller que puedan detectar debilidades. En el caso del PREP, la UNAM se encarga de la auditoría externa en materia de funcionalidad, pero también de seguridad, sus especialistas revisan con una óptica distinta y pueden ubicar riesgos. En cada sistema simulamos los riesgos. Para esta elección haremos tres simulacros para el PREP los días 10, 17 y 24 de junio, y en estos se contabilizará desde la primer acta hasta la última; eso nos da la pauta de seguridad.

—¿Cómo se blinda una elección?

—Se blinda desde muchos frentes, desde los sistemas y la tecnología hasta el factor humano, y efectivamente puede haber muchísimos riesgos. En la parte de ciberseguridad existen riesgos de ataques, incluso ya hay una clasificación muy estandarizada y lo que hacemos es estar preparados para evitar que cumplan su objetivo.

Blindar la elección, agrega Torres, requiere también evaluar contingencias de carácter humano o naturales. Cuando se planifica en función de estas, semeja estrategias estilo Game of Thrones, en donde preciados tesoros deben flanquearse. Se piensa en secuestro de casillas, atentados, siniestros y hasta sismos, como los que últimamente sacuden con frecuencia tierras mexicanas.

“En el caso del PREP, que es el más emblemático, simplemente partimos de que si este depende de un servidor, ese servidor puede tener una falla o ser vulnerado, y si deja de operar entonces ya no tendríamos PREP, así que una premisa básica es que no podemos tener un solo servidor, hay que tener dos. ¿Y si fallan?, ¿y si el inmueble donde están se ve afectado? Entonces yo analicé el riesgo: tengo dos servidores más en otro lugar diferente porque puede haber conato de incendio, manifestación social, que no quieran dejar entrar al personal que va a operarlo, así que tengo otro centro alterno”.

Otro tema vital es la infraestructura eléctrica: “Dentro del sistema tengo los equipos de cómputo, pero si no tengo suministro eléctrico confiable o hay interrupción de energía corro el riesgo de no tener sistema, por eso trabajamos con la CFE para asegurar el suministro a todas las instalaciones y plantas de emergencia. Y no nada más aquí, porque yo puedo tener el sistema central muy blindado, pero donde se va a hacer la captura de información en todos los distritos también se debe asegurar. Con las empresas de telecomunicaciones hacemos lo mismo: identificamos riesgos como el de un enlace que se puede dañar y tenemos otros tres en edificios alternos”.

El blindaje, añade el ingeniero, entraña prospectiva sobre situaciones de desastre. “Por ejemplo, ¿qué pasa si se presenta un sismo incluso de niveles superiores a los de septiembre? Nuestra evaluación es que no tendríamos afectación; pero si la hubiera para eso tengo el otro sistema de cómputo. Aunque también tengo que pensar que quizá podría haber afectación de vidas humanas, entonces no solo es el esquema de continuidad del sistema, sino de operación, y de motivación del personal que está presenciando una tragedia, y el contexto anímico de la sociedad”.

—¿Qué es lo más descabellado en materia de contingencia?

—En tantos años hemos abordado muchas situaciones que pueden tener ese carácter. Lo más normal pueden ser ataques de negación de servicios o ataques internos, porque también pueden darse, y justamente no nos confiamos ni de lo interno, porque yo confío en la mayor parte de mis compañeros, pero también tengo que tener mis reservas de que alguna persona quiera actuar de mala manera.

Por eso la base de datos del PREP se aísla de internet, para que esa base de datos permanezca intacta. Incluso pensamos: suponiendo que pudiera haber un colapso de internet —no del PREP, sino de internet, que ya ha habido en algunas ocasiones ataques que afectan Amazon, Facebook y muchos sitios públicos, y pueden afectarnos a nosotros y a los usuarios—, pensamos en la alternativa: irnos a los medios tradicionales para no depender de internet.

“Blindar la elección implica también procedimientos adicionales, desde el cómo se conforma la mesa de casilla, porque son ciudadanos sorteados de la propia colonia, de la comunidad, junto con los representantes de partido recibiendo a todos para que ejerzan su voto, y al término de la jornada, del cierre de las casillas, también en su presencia llevarán a cabo el escrutinio y cómputo”, sostiene el funcionario del INE.

ELECCIONES, DEEP WEB Y FAKE NEWS

En el subterráneo más profundo de internet, en la llamada “deep web”, plataforma de páginas no indexadas a la que se accede no por los navegadores comunes sino mediante especiales como Tor y dominios .onion, por estos días pulula información sobre las elecciones mexicanas: foros en los que usuarios hacen proselitismo, ofertan supuestos padrones electorales, incitan a ataques digitales o sabotajes, que intentarán subir al nivel de la red abierta, la de los nodos indexados.

La red profunda es identificada por autoridades como ONUDOC, como el subterráneo donde personas o grupos delictivos organizados fraguan delitos cibernéticos con mercados negros establecidos en un ciclo de creación de programas informáticos maliciosos, infección de computadoras, administración de redes zombi o botnet, recolección y venta de datos personales y financieros.

Actualmente en uno y otro universo de internet crece el catálogo de actividad maliciosa, sobre todo bots y fake news creados con la intención de ensuciar las elecciones, advierte el Observatorio Electoral 2.0, un proyecto de la UNAM a través de su Instituto de Investigaciones Jurídicas (con colaboración del INE y el Tribunal Electoral), especializado en tecnología y elecciones combinados con la métrica para hacer monitoreo, seguimiento, análisis de candidatos y partidos con un diagnóstico prácticamente en tiempo real.

Su coordinador, Carlos Ramírez Castañeda, explica: “Uno de los principales riesgos que hemos visto durante todo este periodo electoral es el auge de las fake news, y los bots que crean posicionamiento para guerra sucia, y los troles para hacer ataques. Se trata de perfiles falsos del tipo algoritmos digitales creados para replicar información y son para ayudar o perjudicar a un candidato en específico, estos son especializados para crear tendencias”.

Mientras Ramírez habla, en los monitores se aprecia la fluctuación de las campañas: candidatos colocados como trendig topic, proliferantes memes ante los deslices, y una intensa actividad en redes sociales. “Los candidatos con mejores estrategias digitales también son los que se aprecian mejor posicionados, pero el mundo digital es muy fluctuante”, explica.

Este observatorio comenzó a operar desde noviembre de 2011 y monitorea elecciones en México y el extranjero, con objetivos como el de generar información electoral procesada con rigor científico, para que el ciudadano participe en el democrático ejercicio de manera más dinámica y ejerza su voto de forma razonada. En este sentido, la era digital exige “que el ciudadano conozca también los riesgos y retos de ciberseguridad”, dice Ramírez.

Los analistas del Observatorio Electoral 2.0 avistan que en las siguientes semanas se intensificará la presencia masiva de bots tipo troles, enfocados a trolear (molestar) en cuentas de candidatos o partido antagónicos; las fake news a través de dominios tipo blog, buscando incidir en el electorado o incluso azuzarlo para alentar el abstencionismo, y el intento de vulneración a sitios oficiales.

“El día de la elección puede haber actividad digital nociva en materia de ciberataques tanto a páginas de la autoridad como a las de los candidatos, o la red se puede ver inmersa en un mar de noticias falsas; también el uso de bots intentando influir por medio de trendig topics o fake news en los usuarios que estarán dudando de su voto”.

En estos momentos, uno de los focos rojos que han detectado, alerta el coordinador, son “ejércitos de bots desplegados en países ajenos que pudieran buscar influir en el votante mexicano”. Lo cual, dice, “es lo más peligroso”, porque “la masificación de una tendencia para un usuario que está dudando es que sin saberlo se puede dejar guiar por bots y allí se fue su voto”.

Ramírez añade: “La ciberdelincuencia en tiempos electorales crece, y hay que estar al tanto de los peligros y vulnerabilidades, y tener conciencia digital para no caer en las redes de los ciberdelincuentes”. Por ello recomienda “aprender a reconocer fake news y bots”.

Al respecto, Jorge Humberto Torres Antuñano, cerebro cibernético del INE, expresa: “La seguridad informática no solo es responsabilidad de los analistas, porque cada persona que entra en un sitio puede ponerlo en riesgo. La seguridad informática debemos verla ya como una cultura, y así podemos contribuir a blindar la elección”.

CIBERBLINDAJE ELECTORAL A OJOS DE LA OEA

La ciberseguridad es prioridad para la Organización de Estados Americanos (OEA), que cuenta con un área especializada a través del Programa de Seguridad Cibernética de la Secretaría del Comité Interamericano contra el Terrorismo (CICTE), que da a los gobiernos apoyo programático y de gestión en la planificación, organización y ejecución de iniciativas en la materia.

Su titular, Belisario Contreras, entrevistado por Newsweek en Español explica que la protección “implica reconocer que todos los países hasta cierto grado son vulnerables, y tanto en el tema electoral como en cualquier otro lo imprescindible es que tengan una estrategia nacional de ciberseguridad. Pero más allá de todas las instituciones, la ciudadanía tiene que comprender que la ciberseguridad debe ser parte de su vida, que así como se preocupa de echar cerrojo a su casa, o de con quien habla en la calle, es muy importante que también lo haga en el espacio digital”.

—¿Cómo se blinda una elección en materia de ciberseguridad?

—Debemos abordar la ciberseguridad de manera integral. Las autoridades electorales de la región tienen, en su gran mayoría, protocolos y sistemas de seguridad que buscan identificar y prevenir todo tipo de ataques. Y las autoridades electorales sin duda desempeñan lógicamente un papel clave en el cuidado de sus datos y su información. Sin embargo, la tecnología evoluciona y con ella surgen nuevos riesgos. Por ello, el área de ciberseguridad y el área electoral de la OEA están trabajando conjuntamente para diseñar un protocolo de prevención y respuesta a los ciberataques, que estamos seguros será de gran utilidad para que la implementación de herramientas tecnológicas en los procesos electorales sea cada vez más segura.

—¿Tiene conocimiento de fraudes en procesos electorales a través de la ciberdelincuencia?

—De acuerdo con el trabajo de las Misiones de Observación Electoral de la OEA, los intentos de ataque a las distintas herramientas tecnológicas que utilizan los países, desde el registro de electores hasta los sistemas de transmisión de resultados, no son nuevos. Sin embargo, hemos visto que frente a estos riesgos las autoridades electorales han ido tomando medidas para protegerse. En ningún caso en que la OEA ha observado elecciones los ataques externos han afectado los resultados electorales.

Es cierto que aún muchos países deben adecuar sus marcos políticos, jurídicos y regulatorios con el propósito de garantizar la seguridad de los ciudadanos en todo el espacio digital, y a eso nos dedicamos desde hace 15 años en el Programa de Ciberseguridad del Comité Interamericano contra el Terrorismo (CICTE). Lo importante es que todos los actores de la sociedad redoblen esfuerzos e inviertan más recursos en garantizar los derechos de la ciudadanía en el ciberespacio.

—¿Qué retos tiene México en materia de ciberseguridad para el proceso electoral en puerta?

—La OEA está observando el proceso electoral en curso en México a través del Departamento para la Cooperación y Observación Electoral. La Misión contará con un experto en tecnología electoral. En caso de existir oportunidades de mejora, retos a superar y buenas prácticas que resaltar se consignarán en el informe que la Misión de Observación Electoral elaborará. De igual forma, todos los Estados miembro de la OEA tienen la tarea de implementar los compromisos adquiridos en materia de ciberseguridad y Protección de Infraestructuras Críticas.

—¿Qué precauciones recomienda a las autoridades electorales, a los actores políticos y a los electores?

—Nuestros colegas que trabajan en cooperación y observación electoral han constatado que prácticamente todos los países de la región tienen soluciones tecnológicas en alguna fase de la preparación o ejecución del proceso electoral. Todas estas soluciones tecnológicas son un potencial riesgo y muchos países han sufrido ataques a sus procesos electorales. Sin embargo, las autoridades electorales tienen planes de contingencia y prevén este tipo de ataques.

“Gracias a estos esfuerzos, hasta el momento, quienes buscan afectar los resultados electorales no lo han logrado. En todo caso, la recomendación siempre ha sido incrementar el grado de colaboración y cooperación entre todas las partes interesadas: autoridad electoral, centros de respuesta a incidentes cibernéticos nacionales, instituciones y organismos encargados de hacer cumplir la ley, entre otros. Y al mismo tiempo, hay que invertir los recursos que se destinan para aumentar la concienciación del público en general y darles las herramientas para que puedan hacer frente a la desinformación”.

“Jamás nos confiamos”

Aunque la “pecera” del INE es el sistema central, se cuenta con otros cuatro centros de cómputo y operaciones distribuidos en distintos puntos del país que sirven como respaldo o apoyo en caso de eventualidades: fallas o situaciones de carácter superior como incidentes, sismos y alguna otra eventualidad. Sus ubicaciones están bajo secretismo por cuestiones de seguridad.

En estos cinco centros de sistemas se guarda, entre mucha otra información, bases de datos para 35 diferentes sistemas o programas “igual de importantes que el PREP”, los cuales utiliza el INE para los procesos electorales.

Por protocolo de seguridad, explica Torres Antuñano, “no se puede concentrar todo en un mismo sitio”. El respaldo incluye información resguardada “en la nube”, es decir, en el ciberespacio; así como la segmentación de los recursos humanos, porque entre los informáticos se dice que los hackeos a menudo suelen ser articulados por la misma gente que conoce los sistemas.

“Jamás nos confiamos, porque en materia cibernética los riesgos no se pueden eliminar al cien por ciento, y siempre hay un grado de probabilidad de que estos ocurran. Nuestro reto permanente es garantizar la continuidad de operaciones”, dice.