El Estado Mayor de la Defensa no ha logrado identificar al autor del hackeo de su cuenta de Instagram
Sufrió un ataque de phishing, utilizando técnicas de ingeniería social. Se publicaron fotos de una chica en ropa interior, que fueron retiradas horas después
La cuenta del Estado Mayor de la Defensa en Instagram amaneció el pasado 28 de febrero con ocho imágenes recién publicadas en las que, en vez de militares, aviones, buques o vehículos de las Fuerzas Armadas, se veía a una mujer joven, en algunas fotografías en ropa interior.
Hasta la foto de perfil de la cuenta se había sustituido por una imagen de la misma mujer en ropa interior.
La suplantación duró varias horas, y hasta bien entrada la mañana no desaparecieron esas fotografías de la cuenta del Estado Mayor de la Defensa. El diario El Mundo informó de que el Ministerio de Defensa estaba analizando si el incidente respondía a un hackeo, o si se debía a un robo de contraseñas.
Hay que tener en cuenta que ocurrió cuatro días después de que comenzara la invasión rusa de Ucrania. En esas fechas se temía que se multiplicaran los ciberataques contra países occidentales, presumiblemente dirigidos por hackers rusos, y cuando se conoció lo sucedido con el perfil del Estado Mayor de la Defensa en Instagram, inmediatamente se enmarcó en ese contexto.
Ataque de phising
Confidencial Digital ha consultado una respuesta parlamentaria en la que el Gobierno revela algunos datos de la investigación sobre este incidente. La respuesta tiene fecha del 6 de abril, es decir, más de un mes después del supuesto hackeo a la cuenta de Instagram.
El Gobierno, se entiende que concretamente el Ministerio de Defensa, asegura que “el hackeo de la cuenta se ha realizado mediante un ataque de phishing o de engaño, utilizando técnicas de ingeniería social”.
El phising es una de las técnicas más utilizadas por los piratas informáticos, ya tengan motivaciones económicas -robar contraseñas de cuentas bancarias- u obedezcan a objetivos políticos, militares...
Según la Oficina de Seguridad del Internauta, dependiente del Instituto Nacional de Ciberseguridad (INCIBE), el phishing “consiste en el envío de un correo electrónico en el que los ciberdelincuentes suplantan la identidad de entidades, como nuestro banco, una red social, una entidad pública, una empresa reconocida o un servicio que utilicemos, y su objetivo es obtener toda la información personal y bancaria que puedan conseguir de nosotros, como usuarios y contraseñas, direcciones, datos de tarjetas de crédito, etc., realizar un cargo económico o infectar el dispositivo. Para ello, adjuntan archivos infectados o enlaces a páginas fraudulentas”.
En este tipo de ataques se utilizan tanto correos electrónicos, como mensajes de texto SMS. Si el usuario que recibe el mensaje en su ordenador o en su teléfono móvil lo abre y pincha en el enlace, o si introduce contraseñas, o bien el dispositivo se infecta con un virus, o bien la información que proporciona va a los piratas informáticos.
Técnicas de ingeniería social
Estos ataques de phising, y así sucedió en el caso del Estado Mayor de la Defensa, se diseñan con “técnicas de ingeniería social”. El Instituto Nacional de Ciberseguridad explica que “la ingeniería social basa su comportamiento en una premisa básica: es más fácil manejar a las personas que a las máquinas. Para llevar a cabo este tipo de ataque se utilizan técnicas de manipulación psicológica con el objetivo de conseguir que los usuarios revelen información confidencial o realicen cualquier tipo de acción que pueda beneficiar al ciberdelincuente”.
Aunque la respuesta parlamentaria es escueta, cabe entender que alguna persona destinada en el Estado Mayor de la Defensa y/o con acceso a su cuenta en Instagram recibió un mensaje de correo electrónico o SMS.
El mensaje en cuestión trataría de manipular a esa persona con alguna de las técnicas habituales: respeto a la autoridad (el autor del mensaje trata de hacerse pasar por un organismo oficial, un cuerpo policial...), voluntad de ayudar (un falso empleado de la misma empresa que ofrece un servicio), temor a perder un servicio (una alerta de que van a cambiar unas políticas de acceso, o que el receptor ha tenido accesos no autorizados en una cuenta), respeto social (se amenaza con difundir un vídeo privado), u oferta de un producto o servicio gratis.
Denuncia ante Instagram
El Gobierno también apunta muy sucintamente cómo el Estado Mayor de la Defensa consiguió recuperar el control de su cuenta de Instagram: “Se ha solucionado denunciando los hechos a la empresa propietaria de Instagram”, es decir, Meta, la compañía de Mark Zuckerberg que también controla Facebook y WhatsApp.
Tras la denuncia del Estado Mayor de la Defensa, Meta “procedió a restablecer las credenciales de la cuenta”. Hay que recordar que unas horas después del incidente, del perfil de Instagram ya se habían borrado las fotos de la mujer en ropa interior, y tardó algo más en sustituir de nuevo la imagen de perfil por el escudo del Estado Mayor de la Defensa.
“Se desconoce la autoría”
¿Quién fue el responsable del ataque? ¿Quién estuvo detrás de esa intrusión en la cuenta de Instagram del Estado Mayor de la Defensa? Al menos en la respuesta parlamentaria fechada el 6 de abril el Gobierno asegura que “se desconoce la autoría del ataque”. La atribución de la autoría de este tipo de ataques suele ser muy complicada, lo que favorece que no pocos estados recurran a estas prácticas para perjudicar a estados enemigos pero sin que eso conduzca a un conflicto abierto y declarado.
El Ejecutivo ha contestado a la pregunta parlamentaria que registraron varios diputados de Vox en el Congreso, que pidieron saber si había podido “confirmarse la autoría rusa de estos ataques”.
Vox también se interesó por “qué acciones se están llevando a cabo para mejorar la defensa de los equipos informáticos del Ministerio de Defensa y de las Fuerzas Armadas”.
A este respecto, el Gobierno ha informado a los diputados del partido de Santiago Abascal que “las Fuerzas Armadas cuentan con diversos Centros de Operaciones de Ciberseguridad (COCS) que monitorizan y atienden 24/7 todos los ciberincidentes que se producen en sus redes y sistemas, al objeto de neutralizarlos sin que se lleguen a producir efectos adversos en los sistemas de información”.
Añade que “además, en el seno del Ministerio de Defensa se llevan a cabo con frecuencia campañas de concienciación y buenas prácticas en el ámbito de la ciberseguridad, para asegurar el buen uso de las TIC (Tecnologías de la Información y Comunicaciones)”.
Redes de Defensa y móviles de militares
Cabe apuntar que precisamente los intentos de ciberataques contra redes militares españolas se han multiplicado en fechas recientes, según publicó La Razón hace unas semanas.
Para defender las redes informáticas de las Fuerzas Armadas existe el Mando Conjunto del Ciberespacio, integrado en el Estado Mayor de la Defensa. Este mando ejerce de Equipo de Respuesta ante Emergencias Informáticas del Ministerio de Defensa, con la denominación CERT de Defensa (ESPDEF-CERT), dirige las acciones militares en el ciberespacio y se encarga de proteger las redes virtuales vinculadas a Defensa y a las Fuerzas Armadas.
En todo 2020, esas redes se vieron sometidas a 713 ciberataques complejos, pero además recibieron otros miles de intentos de intrusión.
Sobre los ataques con mensajes SMS, en estas páginas se contó en mayo de 2021 la alerta que el Mando Conjunto del Ciberespacio había lanzado a todos los militares, tras tener constancia de que a algunos les estaban llegando mensajes de texto a sus móviles que eran en realidad un cebo para robarles datos personales.
Ciberataque al SEPE
En general los ciberataques se han disparado en todos los ámbitos, tanto entre usuarios particulares, como también en organismos públicos. El Centro Criptológico Nacional (CCN-CERT), del Centro Nacional de Inteligencia (CNI), advirtió al Gobierno de que el sistema de pagos del Servicio Público de Empleo Estatal (SEPE) podría ser hackeado para que no se pudieran abonar las ayudas a los desempleados.
Esos temores se confirmaron a principios de este mes de abril, cuando un ciberataque bloqueó ciertos sistemas del SEPE y eso obligó a retrasar el pago a varios millones de parados.
La sospecha previa al ataque era que Rusia trataría de boicotear este organismo tan sensible de la Administración General del Estado, dentro de sus represalias en el ciberespacio contra los países que están apoyando a Ucrania con armas para resistir la invasión de las tropas rusas.
