¿Es posible hackear las elecciones?

Desde hace tiempo, en época de elecciones son muchos los que tratan de influir en las elecciones para llevar a la cima al candidato cuyo programa político les es más afín. Esta lucha de poder ha adquirido una nueva dimensión con el aumento del uso de la tecnología y es que ahora, influir en el comportamiento de la población es más fácil que nunca. Gracias a la tecnología, la sociedad ha alcanzado los máximos niveles históricos en cuanto a disponibilidad de información y libertad de expresión. Sin embargo, la democracia puede estar amenazada por organizaciones cibercriminales capaces de manipular de manera silenciosa nuestro universo digital: ataques a la privacidad, recopilación de información personal y perfilado de individuos, granjas de producción de noticias falsas, o incluso hackeo de resultados y boicot electoral.

Cuando los hackers atacan a una empresa para dañar su negocio o robar datos confidenciales como información financiera, propiedad intelectual o datos de clientes, ya no nos sorprende ya que este tipo de cibercrimen se ha convertido en algo común. El espionaje entre estados también es una práctica recurrente, incluso si cada nación comunica más sobre sus capacidades de defensa que sobre los ataques que tiene entre manos.

Pero, si hablamos de elecciones, las noticias de los últimos años también incluyen la acción de los cibercriminales en este ámbito. Acusaciones de intentos de robo de datos en partidos políticos, suplantación de identidad en redes sociales, fake news…  todo puede inclinar la balanza y favorecer a uno u otro partido y eso también lo saben los cibercriminales. Por eso, ya no parece una locura preguntarse si un estado, un grupo hacktivista o una organización cibercriminal es capaz de "hackear" o dañar unas elecciones.

Las elecciones estadounidenses han demostrado que la posibilidad de llevar a cabo ataques cibernéticos para atacar organizaciones políticas se ha convertido en una terrible realidad. De hecho, en el verano de 2016, el Comité Nacional Demócrata (DNC) fue hackeado por grupos aparentemente vinculados a Rusia. Las técnicas utilizadas (spear phishing, troyanos de acceso remoto, implantes, servidores C2) ocupan un lugar destacado en el arsenal de los cibercriminales que piratean regularmente números de tarjetas de crédito u otros datos monetizables pero que, en este caso, prefirieron mirar hacia la política.

Pero eso no es todo porque, poco después, varios correos electrónicos del equipo de Hillary Clinton también se filtraron a la prensa tras el hackeo de la bandeja de entrada de correo electrónico de uno de los ejecutivos del equipo de campaña de la candidata. Los intercambios publicados dañaron la imagen de la candidata, pero además, fueron explotados por sus oponentes para atacarla en el contexto de los debates.

Y no sólo ocurre al otro lado del charco. En las pasada elecciones francesas, la ANSSI (Agencia Nacional para la Seguridad de los Sistemas de Información) y la SGDSN (Secretaría General de Defensa y Seguridad Nacional) decidieron organizar un seminario para sensibilizar a los partidos políticos franceses sobre los riesgos y problemas de seguridad informática a los que podían verse enfrentados en caso de ciberataque en un momento de crucial importancia como eran las alecciones. En este encuentro se detallaron tres tipos de amenazas: robo de datos, interrupción de la actividad dirigida y, finalmente, daño reputacional con el objetivo de manipular la opinión.

Robo de datos

Los partidos políticos, al igual que las empresas, utilizan muchas herramientas digitales y almacenan gran cantidad de datos: estrategia de comunicación, base de miembros, donantes, plan de financiación, etc. Además, los ejecutivos intercambian muchos correos electrónicos y pueden usar muchas herramientas para almacenar y / o compartir datos privados o que no les interesa que salgan a la luz.

capaz de detectar el acceso inusual a los datos de un empleado o el análisis de comportamiento anómalo (UBA) a nivel de archivo se ha convertido en un requisito esencial para detectar y responder a este tipo de amenaza, ya sea interna o externa.

Disrupción del negocio

El creciente uso de la tecnología digital hace que las partes dependan cada vez más de TI para muchas tareas y comunicación. Interrumpir la actividad e impactar en su “negocio” se puede conseguir a través de técnicas muy variadas. Pejemplo, los cibercriminales podrían apuntar al sitio web de una parte para desconectarlo o publicar otro contenido en su lugar, bloquear las comunicaciones y su actividad apuntando a sus servidores (malware, ransomware, ataque DDoS) o simplemente inutilizar los datos (ransomware).

Daño reputacional

Sin duda esta es una de las técnicas que más afecta en el caso de las elecciones y que, aunque no sea desde el lado de los cibercriminales, está a la orden del día en cuanto se acerca un acontecimiento importante como son unas elecciones. El problema, en este caso, es que los atacantes son capaces de hacerse con información real y modificarla, sacar a la luz información confidencial o hacerse con el control de cuentas de personas importantes en el proceso electoral como candidatos, partidos políticos, etc.

Fue el caso, por ejemplo, con información falsa sobre una red de pedofilia alrededor del gerente de campaña de Hillary Clinton, llamada PizzaGate. "Calumnias, calumnias, siempre quedará algo", le dijo Beaumarchais a uno de los personajes de El barbero de Sevilla. El hecho es que, incluso una vez que todo esto quedó desacreditado, la información persiste, tanto en Internet como en la mente de muchos votantes.

Si nos centramos en el hackeo de robo de cuentas de redes sociales, han sido múltiples en los últimos años y muchos de ellos han ido dirigidos a personajes públicos con el objetivo de disminuir su influencia o causarles un daño reputacional. Podemos citar el reciente caso del hackeo de la cuenta de Twitter del diputado Joël Guerriau. Finalmente, también podríamos imaginar una acción de comunicación dirigida a periodistas fabricada para engañarlos y hacer que difundan información errónea, como fue el caso reciente de Vinci.

Los partidos políticos españoles se han salvado hasta ahora de este tipo de prácticas pero los recientes ataques a organismos públicos dejan ver que los cibercriminales tienen, cada vez más, su diana puesta en el sector público. Ya no se conforman con monetizar los datos que roban a la empresa privada, también quieren, y de hecho es el objetivo para muchos de ellos, influir en el mundo real utilizando sus técnicas y habilidades y demostrando que nadie está a salvo de los cibercriminales. Estar preparado para ser blanco de ciberataques es ahora una obligación, para todos.