Os reproducimos la entrevista realizada traducida al español y también
el original en inglés para aquellos de nuestros lectores que dominen la
lengua inglesa.
Debes de ser una de las personas más odiadas por los criminales de
Internet. Has sido amenazado e incluso, hace unos meses te enviaron a
casa a los SWAT. Saben dónde vives. Después de ese incidente, ¿crees que
merece la pena continuar? Significa que estás haciendo las cosas "bien"
o estás molestando a la gente equivocada, ¿Dónde estaría el límite?.
¿El más odiado, eh?, quizás. Mi objetivo principal es acercar al máximo
el cibercrimen haciéndolo comprensible y quizás menos misterioso a los
lectores. Hoy en día hay mucho "hype" (exageración, humo) en la
información del ámbito de la seguridad, pero pienso que dar pruebas y
hechos de primera mano a la gente, más allá del "hype”, nos ayuda a
todos a tomar mejores decisiones sobre cómo debemos protegernos en un
entorno online. Respecto a tu pregunta ¡me sentiría ofendido si los
criminales no se hubieran percatado! He documentado diferentes pruebas
que indican que sí que lo han hecho, la noticia aquí:
http://krebsonsecurity.com/2013/05/krebs-krebsonsecurity-as-malware-memes/
¿Creés que más allá de que los criminales te tengan como objetivo o
del posible "odio" que te profesen, también hay un cierto respeto?. ¿Es
posible que los atacantes te utilicen para difundir sus actividades?
¿Ves esto como un “juego” o realmente como una batalla donde alguien
ganará y perderá al final?.
Me gusta pensar que -al menos en este área- hay una delgada línea entre
el amor y el odio. Es difícil saber cuánto hay de odio y cuánto de
admiración a regañadientes o agradecimientos. Por ejemplo, mi impresión
tras leer diariamente algunos de esos foros criminales, es que un gran
número de las personas involucradas en el cibercrimen no tienen una
buena opinión de los estadounidenses en general y en particular no les
gusta que la gente que ellos creen que no están cualificados critiquen
su trabajo. Por otro lado, como se dice en el gremio del periodismo -No
existe la "mala prensa"- y muchos de los vendedores de innovadores
servicios criminales pueden verlo como publicidad gratuita por parte de
un periodista occidental. Si de verdad se enfadan por algo que he
escrito, suele ser porque uno de sus "dominios" ha salido a relucir a la
atención pública viéndose obligados a moverlos u ocultarlos.
Algunas veces, la información que facilitas en tu blog podría ser
previamente desconocida, y hacerla pública podría verse como
inconveniente, porque las fuerzas de la ley pueden usarla para arrestar
gente, por ejemplo. Nos encontramos con el dilema del "full disclosure".
¿Qué piensas al respecto? ¿Sacrificarías una buena historia por una
buena causa?
Esto es normal y pienso que hay una natural y sana tensión dentro del
área de seguridad -- entre recolectar información por cualquier motivo y
actuar sobre dicha información. Actuar sobre ella causa casi siempre un
inconveniente en alguien más que en los malos, ya sean los
investigadores, fuerzas de la ley o empresas de seguridad.
Las fuerzas de la ley tienen un duro trabajo. No solo tienen que saber
quiénes son y dónde están los malos y cómo realizaron el crimen con
detalle, sino que tienen que tener pruebas. Esto puede parecer obvio e
incluso sencillo para el lector ocasional, pero los que están en
seguridad pueden atestiguar sin duda que se puede ofrecer lo que podría
considerarse un caso criminal en bandeja de plata, solo para luego oír a
las autoridades decir que necesitan recolectar la información a su
manera y según sus propias normas.
Así que, como muchas veces ocurre, lo que parece una apertura y cierre
de un caso bajo el punto de vista de los expertos en seguridad, es un
proceso mucho más complicado y laborioso. En cierta manera, así es como
debería ser: Por razones de privacidad y desconfianza en general hacia
el gobierno, la mayoría de la gente no desea que sus autoridades locales
o federales sean demasiado eficientes a menos que, por supuesto, el
caso les afecte a ellos directamente.
Pero es cierto que me he encontrado en más de una ocasión con historias
que he dado en considerar muy buenas, con un completo conocimiento de
que las fuerzas de orden estaban trabajando para llegar a las mismas
conclusiones. Algunas veces una historia que parece lista para salir,
se vuelve mejor cuando puedes añadir la perspectiva de una fuente
oficial o presuntos implicados. Nunca he considerado esas historias como
"sacrificios". Las buenas historias no caducan, incluso el paso del
tiempo les sienta bien. De hecho en este momento me enfrento a un caso
mientras hablamos, en parte porque el individuo en cuestión es un menor,
tengo curiosidad por saber cómo va a resultar.
Pero hablando como periodista, generalmente no retraso o aplazo una
historia solo porque pueda resultar inconveniente a las fuerzas de la
ley. Haciéndolo ganaría pocos puntos de cara a los investigadores puesto
que raras veces parecen querer convertirlo en algo recíproco o entablar
un acuerdo de intercambio de información.
¿Qué piensas sobre cooperar con las fuerzas de la ley para intentar
detener el crimen de Internet? ¿Tienes buenas relaciones con ellos?
Por supuesto, suelo estar en contacto con agentes federales que
investigan historias publicadas o casos de fraude sobre los que escribo y
buscan más información al respecto.
Nunca revelo las fuentes y métodos con las fuerzas de la ley, pero
normalmente no dudo en compartir o responder preguntas directas sobre
algo que he escrito, asumiendo que la información no es privilegiada de
alguna manera. Pero de nuevo, seria una tontería esperar una actitud
recíproca cuando se comparte información: las fuerzas de la ley de los
EE.UU son muy buenas tomando información pero reconocidamente tacaños a
la hora de ofrecer algo útil a cambio. Tengo una relación de "toma y
daca" con un puñado de fuentes policiales, pero estos son amigos que han
acabado en estos puestos o bien gente que he ido conociendo desde hace
tiempo - son la excepción y no la regla.
Cuando necesitas un conocimiento técnico más profundo, ¿a quién acudes?
He tenido la suerte como periodista de poder trabajar en el Washington
Post, lo cual te abre muchas puertas en la comunidad de la seguridad que
quizás de otra manera no se hubieran abierto tan fácil o rápidamente.
Dicho esto, me esfuerzo en cuidar las fuentes que no solo tienen un
profundo conocimiento de la materia, sino que además disponen de
habilidades prácticas, para meterse entre toneladas de datos y encontrar
la aguja en el pajar que ayuda a enhebrar el resto de la historia. A
menudo, estos no son los mismos que ofrecen las mejores citas en el
artículo (o incluso que tengan permiso para ser citados en un
artículo). No podría conseguir la mayoría de mis historias sin la
decisiva ayuda de estos profesionales mucho más inteligentes que yo que
saben discernir y analizar los detalles importantes de la paja. Por
desgracia, estas personas a menudo no pueden aceptar el reconocimiento
público de su ayuda.
Si tuviera que apuntar a algo o alguien como responsable de fraude
organizado en Internet (aparte de los atacantes), ¿quién o qué sería?,
¿el tratamiento de vulnerabilidades? ¿la impunidad de las empresas de
pago?
Tal y como mencionas, hay una gran oscurantismo sobre los pagos
financieros, creo que ese es exactamente el objetivo de los malos.
Actualmente, hay un gran aumento de las innovaciones y ofertas en las
tarjetas de prepago. Es precisamente donde estamos viendo un gran
crecimiento en la actividad criminal. Son instrumentos financieros casi
tan transparentes como el mercado del revendedor de hosting. Muchas
veces es difícil incluso para los profesionales financieros entender
cómo están interconectados los sistemas de pago, o incluso qué empresa
se encarga de la gestión y supervisión de una red de prepago específica.
A los estafadores les encanta esto porque cuanto menor es la
transparencia en un sistema que quieren explotar, menos probable es que
haya suficiente supervisión/control y equilibrio para detectar y
bloquear la actividad en un tiempo significativo y eficaz. Lo hemos
visto una y otra vez con cajeros automáticos que usan plataformas de
prepago comprometidas. La retirada de dinero de los cajeros son
incidentes del tipo "coge el dinero y corre" muy lucrativos, y por lo
tanto de un alto "nivel criminal". Pero los fraudes prepago basados en
pequeñas cantidades pero mayor volumen están tomando cada vez más
importancia en el mundo criminal de otras muchas maneras menos
perceptibles.
Los otros dos grandes contribuidores al fraude son probablemente la
geografía y la inercia. Un enorme porcentaje de los responsables de la
innovación y herramientas que se utilizan en la mayoría de los delitos
informáticos viven en países que por lo general no se han mostrado muy
cooperativos ayudando a otros países a llevarlos ante la justicia. Si
esto no fuera así, les sería mucho más caro y difícil a las
organizaciones criminales conseguir los medios para realizar sus
delitos.
Por último, aunque soy consciente del hecho de que las compañías de
software necesitan mejorar sus procesos de testeo y la seguridad de sus
propios productos antes y después de su publicación, esto no excusa el
importante papel del usuario. No voy a voy a hacer ninguna de las
manidas y aburridas analogías que comparan el usuario a un conductor de
coche o al software con la seguridad del automóvil, pero la realidad es
que de alguna manera tenemos que hacer un mejor trabajo para
concienciar a la gente la importancia de tomarse en serio la seguridad.
Hay una tensión constante y natural entre la seguridad y la facilidad de
uso, todo el mundo podría beneficiarse de herramientas de seguridad más
fáciles de usar y eficaces. Pero la seguridad es algo que debe primar,
porque, de lo contrario, ya sería demasiado tarde. Así que el usuario
necesita, en primer lugar, ser informado acerca de la naturaleza de la
amenaza, y comprender que para la gran mayoría de nosotros, no es una
amenaza personal, sino más bien oportunista. Esta es la idea principal
que he tratado de transmitir con mis gráficos educativos, el valor
residual de un PC comprometido (
http://krebsonsecurity.com/2012/10/the-scrap-value-of-a-hacked-pc-revisited), y el valor de una cuenta de correo electrónico comprometida (
http://krebsonsecurity.com/2013/06/the-value-of-a-hacked-email-account/).
Te des cuenta o no, el equipo y la información que contiene tienen un
valor que puede ser extraído y revendido. Y si fallas a la hora de
proteger adecuadamente algo que tiene un valor de reventa tan sencillo,
al final dejará de pertenecerte.
¿Se ha perdido la figura del verdadero reportero con los blogs? ¿Qué es lo que les está echando a perder?
R: No lo sé. Por conversaciones con mis colegas de los medios de
comunicación sé que en mayor medida se les está pidiendo hacer más con
menos, y por menos. Las publicaciones buscan cada vez más el número de
visitas que historias que tienen un impacto, historias que necesitan
tiempo para ser investigadas profundamente. Al mismo tiempo, hemos visto
una explosión de investigadores independientes y escritores que han
tomado el relevo. Dejaré la especulación sobre el futuro de la industria
de los medios y las tensiones entre los "nuevos" y "viejos medios" a
los demás, pero parece claro que, al menos, en el espacio de seguridad
no falta periodismo de investigación por hacer.
¿Cuál es su percepción del ciber-crimen organizado en el futuro?
Uno mejor financiado, a tiempo completo y teniendo en cuenta seguridad
operacional. Incluso si sólo uno de esos puntos se convierten en la
norma, la lucha contra la ciberdelincuencia se volverá mucho más
difícil.
¿Tomas alguna medida preventiva antes de utilizar un cajero
automático? ¿Alguna vez has descubierto un skimmer? Si es así, ¿cómo
reaccionó el personal del banco?
Primero me centro en mi propia seguridad, segundo en skimmers y mirones.
Cuando manejas grandes cantidades de efectivo es más probable que te
asalte un ladrón a que te hagan un skimmer. Pero es curioso... una vez
que sabes lo rertorcidamente bien diseñados y hechos que pueden ser los
skimmers, es muy difícil evitar forcejear y curiosear con los cajeros
que usas para retirar el dinero. De hecho, se ha vuelto tan obsesivo
para mí que incluso inspecciono cajeros por los que paso por delante y
ni tengo intención de usar. Por desgracia, todavía me queda por
descubrir un skimmer personalmente.
¿Crees que podrían tratar de infectarte con algún malware hecho a
mano dirigido especialmente contra ti (aprovechando algún 0day, tal
vez)? ¿Lo han intentado, ya?
Soy tan susceptible a los "0 day" como el que más, pero soy muy
paranoico, y prefiero hacer la mayor parte de mi trabajo online dentro
de las máquinas virtuales (o al menos en máquinas que no tengan
Windows). Ya sabes lo que dicen: ¡Que seas paranoico no significa que no
todo el mundo esté tratando de seguirte!
¿Cuáles son las medidas preventivas que tomas en tu sistema Windows
personal para evitar el malware? ¿Y para evitar las amenazas más
avanzadas? ¿Cuál consideras que es la herramienta más útil, aunque
personalmente no la hayas utilizarlo?
Tener el control del scripting en el navegador es muy importante, pero
también es de las fórmulas que más cuesta adoptar al usuario ocasional
de Internet. Sandboxear aplicaciones cuando sea posible con herramientas
como Sandboxie y aprovechar al máximo la herramienta
EMET de Microsoft
son consejos muy útiles para el bloqueo de muchos ataques. Eliminar el
software que no se necesita y los plugins del navegador es muy
importante también.
Fuente:
Hispasec