Documentos clasificados de Defensa sobre ayuda militar a Ucrania y despliegue en Letonia circulan por redes vulnerables
Malas prácticas en el uso de información sensible provocan que escapen a los sistemas protegidos. También hay planes de operaciones aéreas, situación de misiones en el exterior...
- Descontrol con la información clasificada
- Redes menos protegidas y más expuestas
- Apoyo a las Fuerzas Armadas de Ucrania
- Medios desplegados en Letonia
- Plan de operaciones de Policía Aérea
- Previsión de operaciones en el exterior
- Informes de situación de las operaciones
- Defensa no contesta
- Nombres de los documentos en la OTAN
- Movimientos de espías en España
- Ciberespionaje sobre información de la OTAN
- Documentos “Top Secret” de Estados Unidos
- Detenido un militar
- Sistemas para cazar a filtradores
El Centro de Respuesta ante Incidentes del Ministerio de Defensa (ESPDEF-CERT), enmarcado en el Mando Conjunto del Ciberespacio, tuvo más trabajo en 2022 que el año anterior. El Informe Anual de Seguridad Nacional de 2022 reveló hace unas semanas que este equipo, que protege las redes y los sistemas de información y telecomunicaciones de las Fuerzas Armadas y otras redes y sistemas que específicamente se le encomienden y que afecten a la Defensa Nacional, gestionó durante el año pasado 2.035 incidentes de ciberseguridad.
La cifra es más del triple que la del año anterior: en 2021, el Centro de Respuesta ante Incidentes del Ministerio de Defensa gestionó 619 ciberincidentes de seguridad en sus redes y sistemas. Según la tipología del ataque, el 4% de los 2.035 incidentes de este tipo que sufrieron las redes de Defensa en 2022 se catalogaron como “obtención de información”.
En el capítulo del informe de 2022 sobre “Vulnerabilidad en el ciberespacio” se indica que “desde el punto de vista de Defensa, se ha continuado con la ejecución del Plan de Acción SEGINFOSIT 2021-2023 (Seguridad de la Información en los Sistemas de Información y Telecomunicaciones), y que “se ha impulsado la colaboración entre el CCN-CERT (Centro Criptológico Nacional) y el ESPDEF-CERT para incrementar el número de inspecciones y auditorías de seguridad de las tecnologías de la información y la comunicación”.
Esas inspecciones y auditorías de seguridad no han evitado que se produzcan algunos fallos de seguridad de la información en las redes del Ministerio de Defensa. Y es que, según revelan fuentes consultadas por Confidencial Digital, en redes y sistemas no clasificados, es decir, no certificados ni especialmente protegidos, circulan documentos de carácter clasificado sobre asuntos militares muy sensibles.
Descontrol con la información clasificada
En estas páginas ya se contó en el mes de febrero la situación de cierto descontrol con la información clasificada que se da en algunos órganos de la estructura del Ministerio de Defensa y de las Fuerzas Armadas.
Una de las consignas básicas para quienes utilizan documentos clasificados en su puesto de trabajo es que no pueden manejarlos en cualquier ordenador o equipo. Existen equipos informáticos especialmente protegidos, certificados para poder trabajar con información clasificada, es decir, a la que se ha dado una categoría para protegerla especialmente.
Actualmente, los grados de clasificación de la información en España son cuatro: de menor a mayor, “Difusión Limitada”, “Confidencial”, “Reservado” y “Secreto”.
Los funcionarios y altos cargos deben obtener una Habilitación Personal de Seguridad (HPS), que concede la Oficina Nacional de Seguridad (encuadrada en el CNI), para poder acceder a información clasificada. Esa habilitación permite tener acceso a documentos clasificados hasta cierto nivel, según los casos.
Igual que se “certifican” los funcionarios, se certifican los equipos. En el Ministerio de Defensa, en aquellos departamentos en los que se maneja información clasificada existen algunos equipos especialmente protegidos (ordenadores, escáneres...), que son los que se debe utilizar para trabajar con estos documentos. El problema es que, por pereza, por desidia, por costumbre, hay militares y también funcionarios y empleados civiles que incumplen la normativa.
De esta forma, los documentos clasificados que normalmente en su origen se manejan de forma correcta, y se envían de unos puntos a otro de la estructura militar por canales protegidos, acaban saliendo de esas redes certificadas para información clasificada y llegan a las redes generales, que no cuentan con una protección especial y son más vulnerables.
Unas veces es por imprimir y escanear un documento en impresoras y escáneres no clasificadas; otras, por enviar el documento por un sistema de correo electrónico no protegido; en ocasiones, por trasladar esos documentos en un dispositivo de almacenamiento hasta ordenadores no certificados para documentación clasificada...
También se da el caso de que ciertos documentos clasificados se trasladan físicamente en papel de un órgano a otro de la estructura militar. En algún punto por el que pasa ese documento, alguien lo escanea, y lo hace en un escáner no clasificado. De esa forma, el documento entra ya en una red no clasificada, y se almacena en carpetas y sistemas que pueden consultar numerosas personas dentro de un órgano del ministerio.
Redes menos protegidas y más expuestas
Las fuentes consultadas por ECD conocedoras de esta situación explican que, por estas vías u otras, han acabado en redes no clasificadas documentos sensibles sobre la Defensa de España. Por un lado, estos documentos se encuentran en redes menos protegidas y más vulnerables a un ciberataque que tenga como objetivo extraer información de los sistemas del Ministerio de Defensa.
Al mismo tiempo, la información está más expuesta ante personal militar o civil de la estructura del ministerio y de las Fuerzas Armadas que, en principio, no debería poder acceder a esos documentos.
Apoyo a las Fuerzas Armadas de Ucrania
ECD ha podido conocer algunos documentos clasificados que han escapado de las redes protegidas del Ministerio de Defensa y que se encuentran en redes y sistemas más vulnerables que los que se usan para manejar información clasificada.
Se da esta circunstancia, por ejemplo, con una directiva de apoyo a las Fuerzas Armadas de Ucrania. Fue elaborada por el Estado Mayor de la Defensa, y se clasificó como “Difusión Limitada”, el grado más bajo de los cuatro de la información clasificada.
Entre otras cuestiones del apoyo militar de España a Ucrania, esta directiva detalla cómo está organizado el sistema de adiestramiento por el cual las Fuerzas Armadas españolas entrenan en nuestro país a grupos de reclutas o de militares ucranianos, antes de volver a Ucrania para luchar en el frente de batalla contra las tropas rusas.
No cabe duda de que las medidas concretas de apoyo militar a Ucrania son un asunto sensible. Si bien el Gobierno de España y el Ministerio de Defensa tratan de darle en ocasiones eco mediático a estas cuestiones, en otras ocultan los detalles con celo, argumentando que la situación de guerra en Ucrania, y la ‘guerra fría’ de la OTAN con Rusia, obligan a ser extremadamente cautos.
Eso provoca que a los militares españoles que comparten cuarteles y bases con los ucranianos que se adiestran en España se les traslade la orden de no hacer fotografías, ni difundir ninguna imagen de estos militares de Ucrania.
El silencio -a medias- se extiende también sobre las entregas de armamento que realiza el Ministerio de Defensa al gobierno de Ucrania.
Medios desplegados en Letonia
En la escala de la información clasificada, el máximo nivel es “Secreto”, y el segundo, “Reservado”. Esta clasificación de “Reservado” tiene un documento del Mando de Operaciones, dentro del Estado Mayor de la Defensa, que relaciona los medios, el material que España tiene desplegado en la misión de Presencia Avanzada Reforzada de la OTAN en Letonia (Enhanced Forward Presence, eFP Latvia).
El Ejército de Tierra mantiene desde 2017 un contingente de varios cientos de militares en Letonia, en la base de Adazi. Junto a fuerzas de otros países, como Polonia, Italia, Canadá, República Checa, Albania... forman un grupo de batalla multinacional.
España va enviando rotaciones de varios meses de distintas unidades de Tierra, con carros de combate Leopardo, Vehículos de Combate de Infantería (VCI) Pizarro, obuses autropropulsados M109 A5, una batería Nasams o sistema de misil antiaéreo avanzado, vehículos de Transporte Oruga Acorazado (TOA) M-113, morteros pesados, Vehículos de Combate de Zapadores (VCZ) y misiles contra carro Spike, drones, unidades de Ingenieros...
Pero este documento “Reservado” del Mando de Operaciones revela en mayor profundidad qué materiales tiene destacados España en Letonia, país fronterizo con Rusia y en el que por eso la OTAN mantiene esos refuerzos, que se entrenan con frecuencia para defender las fronteras de la alianza.
Plan de operaciones de Policía Aérea
No cabe duda de que el “flanco este” de la OTAN es actualmente el punto más delicado de la defensa colectiva de la Alianza Atlántica. En esta zona, España no sólo mantiene fuerzas terrestres en Letonia. Además, participa de forma rotatoria en misiones de policía aérea en los países aliados de Europa oriental, tanto en el Báltico (Estonia, Letonia y Lituania) como en el Mar Negro (Rumanía y Bulgaria).
Pues bien: entre los documentos clasificados que han acabado en redes no clasificadas del Ministerio de Defensa se encuentra un plan de operaciones (OPLAN, en terminología militar OTAN) de misiones de policía aérea (“Air Policing”) en la que los cazas españoles, junto a otras aeronaves aliadas, vigilan el espacio aéreo de soberanía de los países del este de Europa para interceptar aviones rusos que actúan de forma agresiva, que vuelan sin identificarse debidamente o que violan ese espacio aéreo.
Este plan de operaciones de misiones de policía aérea de la OTAN, elaborado por el Mando de Operaciones, está clasificado como “Confidencial”, y aún así se encuentra en redes no clasificadas.
Previsión de operaciones en el exterior
A finales de cada mes de diciembre, el Consejo de Ministros aprueba el despliegue de las Fuerzas Armadas en misiones en el exterior para el año entrante. Básicamente lo que se hace de un año para otro es prorrogar las misiones, con las modificaciones y cambios que se puedan introducir a lo largo del año. El Consejo de Ministros adopta ese acuerdo, pero no publica toda la documentación que sirve para justificar la autorización anual de despliegues en el exterior.
Ese documento de previsiones de operaciones en el exterior lo elabora el Estado Mayor Conjunto (EMACON), que es “el órgano auxiliar de mando del JEMAD en el ejercicio de sus competencias y responsabilidades. Actuará como el principal coordinador de las actividades generales del Estado Mayor de la Defensa”.
El Estado Mayor Conjunto asesora al JEMAD en la definición de la estrategia militar, el planeamiento militar, el desarrollo de la fuerza y la conducción estratégica de las operaciones. Al frente se encuentra un teniente general, actualmente de Tierra, Fernando García González-Valerio.
Tras elaborarlo el Estado Mayor Conjunto, el documento de previsión de operaciones en el exterior para el año siguiente pasa por el Ejército de Tierra, la Armada y el Ejército del Aire; por la Secretaría de Estado de Defensa; por el Mando de Operaciones...
Se afina en todas esas instancias, y finalmente el Ministerio de Defensa lo eleva al Consejo de Ministros para justificar la necesidad de mantener a las tropas españolas en los países en los que están destacadas: Letonia, Mali, Líbano, República Centroafricana, Somalia...
En este documento se recoge dónde intervienen las Fuerzas Armadas, qué fuerzas se van a utilizar... de nuevo, con un grado de detalle y concreción que provoca que se clasifique como “Confidencial”. De hecho, cuando el Consejo de Ministros aprueba la prórroga, sólo se informa de dicha prórroga, pero no se hace público todo el documento con los detalles de los despliegues.
Documentos de previsiones del EMACON para las prórrogas de las operaciones españolas en el exterior también se encuentran en sistemas no clasificados del Ministerio de Defensa, pese a ser confidenciales.
Informes de situación de las operaciones
Sobre esas misiones, el Mando de Operaciones -que es el órgano que las dirige desde la base de Retamares, en Pozuelo de Alarcón (Madrid)- elabora unos informes de situación, conocidos como “Situation Reports” (Sitrep). También tienen la clasificación de “Confidencial”, por la información que se revela sobre el despliegue de las tropas españolas, sus incidencias cotidianas...
El Mando de Operaciones elabora un informe de situación diario, y otro mensual. Los informes diarios se distribuyen en papel en ciertos órganos de la estructura militar. Los informes mensuales son mucho más extensos, y no se envían en formato físico, en papel, sino por redes informáticas. Llegan a terminales clasificados de esos órganos, como son el Ejército de Tierra, la Armada y el Ejército del Aire; la Secretaría General de Política de Defensa (del ministerio); el Centro de Inteligencia de las Fuerzas Armadas (CIFAS); el Jefe de Estado Mayor de la Defensa (JEMAD); y el gabinete de la ministra de Defensa.
En las redes no clasificadas de Defensa hay actualmente “Sitrep” o informes de situación de las operaciones en el exterior, clasificados como “Confidencial”.
También ha llegado a estas redes no certificadas al menos un plan de movimientos (Movplan) del Mando de Operaciones. Se trata de un documento en el que se plasma la previsión de transportes marítimos, aéreos y terrestres que van a requerir las Fuerzas Armadas en un período de tiempo. Es de “Difusión Limitada”.
Defensa no contesta
ECD envió el jueves 11 de mayo una consulta al Ministerio de Defensa, para preguntar si se va a abrir alguna investigación para determinar cómo han llegado estos documentos, que deberían manejarse sólo en equipos y sistemas certificados para información clasificada, a redes no clasificadas; y si se va a tomar alguna medida para retirar de diferentes redes informáticas no clasificadas estos documentos clasificados.
Al cierre de esta edición, al 16 de mayo, no se había obtenido respuesta.
Nombres de los documentos en la OTAN
Las fuentes consultadas por ECD explican que en instancias de la OTAN la norma obliga a incluir la clasificación en el propio nombre del documento. Así, quienes los reciben, saben de un vistazo cómo deben actuar con esa información.
Lo habitual es que la denominación del archivo informático comience por la fecha (año, mes y día, todo seguido), y a continuación, tras una barra baja, se pueden leer dos letras que indican el grado de clasificación:
-- CTS: Cosmic Top Secret (“Secreto”, en España).
-- NS: Nato Secret (equivalente a “Reservado”).
-- NC: Nato Confidential (“Confidencial”).
-- NR: Nato Restricted (“Difusión Limitada”).
-- UC: Unclassified (Sin clasificar).
No en toda la estructura militar española se utiliza este mismo sistema, lo que dificulta en algunos casos que a los propios usuarios les alerte la clasificación de los archivos que circulan y manejan en las redes informáticas.
Movimientos de espías en España
Buena parte de estos documentos clasificados que se encuentran en redes más vulnerables afectan a misiones en el exterior, muchas de la OTAN, y algunas especialmente relacionadas con el “flanco este” y la amenaza de Rusia.
A este respecto cabe destacar que el capítulo del Informe Anual de Seguridad Nacional de 2022 sobre “Espionaje e injerencias del exterior” señala que “la invasión rusa de Ucrania y la estrategia política de algunos países han influido sobre los objetivos y la agresividad de los Servicios, que han visto incrementadas sus necesidades de información”.
Los servicios de contrainteligencia españoles detectaron en 2022 “un aumento de las actividades de Oficiales de Inteligencia (OI) principalmente vinculadas a la celebración de la Cumbre de la OTAN en Madrid y a la futura presidencia del Consejo de la UE que ostentará España en el segundo semestre de 2023”.
Eso sí, la medida adoptada por el Gobierno, a propuesta del Ministerio de Asuntos Exteriores, y coordinada con otros países europeos de expulsar a 27 personas con acreditación diplomática de Rusia en España tuvo “un efecto negativo sobre su capacidad de operar [la de los servicios de inteligencia rusos] sobre territorio europeo”.
Además, provocó que cayera a niveles mínimos el índice de actividad de los Servicios de Inteligencia extranjeros en España, que elabora el CNI a partir de la información que obtiene su División de Contrainteligencia sobre los movimientos de los espías extranjeros en nuestro país.
Ciberespionaje sobre información de la OTAN
Los documentos en redes no certificadas para información clasificada están más expuestos a ciberataques, como aquellos a los que se hizo referencia más arriba. El Mando del Ciberespacio emite alertas diarias sobre intentos de intrusión en el Ministerio de Defensa, tanto en las redes clasificadas como en las no clasificadas.
En el último Informe Anual de Seguridad Nacional, sobre el año 2022, se puede leer que “las campañas de ciberespionaje de Servicios de Inteligencia hostiles siguen teniendo como objetivo principal a las administraciones y organismos públicos de países occidentales, especialmente aquellas con acceso a información estratégica relacionada con la OTAN y la UE, de gran relevancia en el actual contexto geopolítico”.
Los objetivos prioritarios en España de las unidades de ciberespionaje de los servicios de inteligencia hostiles son “el Ministerio de Asuntos Exteriores, Unión Europea y Cooperación, el Ministerio de la Presidencia y el Ministerio de Defensa”.
En el mismo capítulo se destaca que “con la finalidad de mejorar la concienciación” ante el riesgo del ciberespionaje, “el CNI continúa realizando actividades de formación en organismos de la Administración pública y en empresas de sectores estratégicos, concienciando sobre los riesgos existentes y la importancia de intensificar las medidas de seguridad”.
Incluso se celebra que “durante el año 2022, se considera que se ha mantenido un grado aceptable de protección de la información clasificada en los organismos públicos y privados, mediante la mejora de los procesos de investigación, del análisis y de la gestión de riesgos, en aquellos casos en los que la información clasificada se ha visto comprometida”.
Documentos “Top Secret” de Estados Unidos
Más allá de las advertencias de estos informes, y de los datos numéricos sobre ciberataques, lo cierto es que en ocasiones se producen filtraciones graves de documentos clasificados.
A principios del mes de abril aparecieron en canales y redes sociales como Telegram y Twitter imágenes de lo que parecían ser documentos militares clasificados del gobierno de Estados Unidos relacionados con la guerra de Ucrania.
Las imágenes eran fotos de documentos en papel, que incluían mapas con la situación real de las tropas rusas y ucranianas en los frentes, pérdidas materiales y humanas de ambos ejércitos, detalle del material entregado por cada país de la OTAN a Ucrania, fuerzas ucranianas entrenadas por países europeos...
Muchos de los documentos filtrados tenían clasificación “Top Secret”, que es la máxima en la escala estadounidense de seguridad de la información.
Aunque se especuló con que todo fuera un montaje ruso para inducir a la confusión y la desconfianza, el Pentágono admitió que la filtración le había provocado un “grave riesgo”.
Detenido un militar
El FBI detuvo a un joven de 21 años, soldado de la fuerza aérea de la Guardia Nacional de Massachusetts, que habría colgado esos documentos en un foro de Discord en el marco de discusiones con amigos.
La investigación tratará de revelar cómo un soldado tenía acceso a documentos “Top Secret”. Al parecer, estaba destinado en una unidad de inteligencia y trabajaba en defensa cibernética o en misiones de vigilancia con drones, y tenía las acreditaciones necesarias para acceder a esos documentos.
Sistemas para cazar a filtradores
Para tratar de evitar filtraciones, o al menos para cazar al filtrador (y disuadir a otros “topos”), se utiliza la tecnología para blindar documentos sensibles.
El Mando del Ciberespacio contrató un sistema que incluye marcas de agua invisibles en los documentos “críticos” y “confidenciales”, para así detectar quién ha hecho una foto o un pantallazo. También monitoriza los acceso de los usuarios de sus sistemas a estos documentos, de forma que se sepa quién los consulta y cuándo.
Incluso permite elaborar “listas negras”, marcando a determinados usuarios para que no puedan acceder a ningún documento protegido.
