Pregúntale al Experto: Watch_Dogs Vs La Realidad

Con un record de más de 4 millones de copias vendidas durante la primera semana, la nueva joya de Ubisoft, Watch_Dogs, ascendió a los primeros puestos de la industria de los videojuegos gracias a su atrapante jugabilidad y la utilización de un concepto bastante inusual. En esencia, la mecánica del juego se basa en la posibilidad de hackear todos los dispositivos conectados de una ciudad inteligente –Cajeros automáticos, semáforos, cámaras de seguridad- a fin de cumplir ciertas misiones alcanzar ciertos objetivos. Los desarrolladores de Ubisoft querían que su juego sea fiel a la realidad y que los usuarios pudieran realizar ataques informáticos que, en efecto, fueran posibles en la vida cotidiana.

Para poder cumplir con esta premisa, la compañía decidió contactar a los expertos de Kaspersky Lab para que evaluaran el guión del juego y determinaran si éste se condecía con las métodos reales de los ciberataques. Aún hoy, distintos usuarios que han podido jugar Watch_Dogs nos preguntan si los trucos de hacking que aparecen en el juego ocurren en verdad. Por eso, recopilamos varias de las preguntas más recurrentes de nuestros seguidores de redes sociales y le pedimos a Igor Soumenkov -uno de nuestros expertos de Kaspersky Lab que contribuyó en la evaluación del guión del juego- que revele cuánto de verdad y cuánto de ficción hay en Watch_Dogs.

-¿Qué tan cerca está nuestra realidad de la ficción del juego?

Si bien, algunos hacks que aparecen en Watch_Dogs son bastante similares a los que ocurren en el mundo real, no debemos dejar de tener en cuenta que se trata de un juego, una simulación. Es muy importante entender que no aprenderás a hackear computadoras sólo porque has jugado Watch_Dogs. Aunque, sí sería valido afirmar que, a través del juego, puedes hacerte una fiel idea de qué tan graves pueden ser las consecuencias de un ciberataque. Algunos de los ataques más comunes de la vida real que se pueden apreciar en el juego son:

• Intercepciones (robo de contraseñas y paquetes Wi-Fi en Android)
• Hackeos de cajeros automáticos y POS (Malware para cajeros automáticos, controlados por SMS)
• Hackeo de autos (autos conectados vulnerables)
• Controlar la ciudad: semáforos y provocar apagones (¿Los semáforos de la ciudad de Nueva York fueron hackeados?)

Estos son los hackeos de #Watch_Dogs que pueden realizarse en la vida real

Tweet

-¿Es posible realizar estos ataques desde un teléfono móvil? 

En la vida real se necesita de mucha más preparación y herramientas por parte del criminal para realizar ciertos ataques. No es simplemente cuestión de apretar un botón en un Smartphone. Sin embargo, sí, es posible.

Por ejemplo, los ataques a cajeros automáticos ocurren de la siguiente forma: un cibercriminal carga un exploit y un malware en una unidad USB removible. Luego conectan el USB al cajero y el exploit les otorga a los criminales la posibilidad de acceder a ciertos privilegios en el sistema para ejecutar el malware. Una vez que el cajero fue hackeado, el hacker podría hacer que éste escupa todo el dinero controlándolo desde un smartphone.

-¿Crees que el juego podría darle más ideas a los criminales sobre cómo hackear y controlar una ciudad?

Nosotros creemos que el juego es, más bien, una buena forma de concientizar a las personas sobre la necesidad de implementar fuertes medidas de seguridad en los sistemas operativos de las ciudades del futuro. La seguridad es un valor vital y, debido a esto, debe tomarse con extrema seriedad. Nosotros creemos que el juego es un simulador interesante de lo que podría ocurrir si se omiten estas medidas.

-¿Cuál es el incidente de seguridad de la vida real más terrible?

La mayoría de los hackeos que se pueden apreciar en el juego apelan a la idea de un sistema de control que ha sido comprometido. Esta es una nueva y tenebrosa tendencia que comenzó hace algunos años atrás, luego de la aparición del Gusano Stuxnet, que ataca a los sistemas de control de las industrias. Este virus es un ejemplo de cómo un programa de computadoras puede, literalmente, romper cosas en el mundo real. Estoy hablando de destruir equipos físicos. Eso que vemos en el juego, cada día se vuelve más real.

-¿Es posible que ocurra un ciberataque en un juego en línea?

Los riesgos existen y la gravedad de éstos depende básicamente del tipo de juego y la forma en que los usuarios actúan en el juego y en la vida real. Desde hace más de 10 años, algunos Troyanos son capaces de robar los personajes de otros usuarios de un juego online. Hoy en día, los objetivos de los cibercriminales son mucho más variados. Algunos  hackers buscan robar las credenciales de acceso a las cuentas online de los usuarios, o crear servidores ilegales para determinados videojuegos en línea. Pero hay hackers cuyos objetivos son mucho más ambiciosos y apuntan sus ataques hacia los desarrolladores de los videojuegos con el objetivo de robar su propiedad intelectual.

-¿Es cierto que el proceso de desencriptación se acelera cuando los usuarios están geográficamente más cerca? 

Eso es correcto. Existen procesos que se pueden realizar con mayor rapidez cuando ambas computadoras comparten recursos en común. Un ataque para robar contraseñas es un ejemplo de esto. Existen distintos softwares disponibles en Internet que les pueden permitir a los atacantes compartir tareas con distintos dispositivos encontrados en una misma red inalámbrica.

-¿Cuál sería el obstáculo para la creación de una ciudad inteligente como la que se ve en Watch_Dogs?

En simples palabras, no existen obstáculos tecnológicos. La clave pasa por los derechos administrativos. En Watch_Dogs las semáforos, los gaseoductos, los cajeros automáticos, los sistemas de seguridad y los puentes elevadizos de la ciudad de Chicago están conectados a una misma red. Esto quiere decir que una sola organización es la responsable de controlar toda la infraestructura informática, utilizando un mismo Centro de Datos.

En la vida real, en cambio, todavía tenemos un largo camino por recorrer, dado que cada uno de estos sistemas es controlado por diferentes organizaciones y empresas. Cada banco, por ejemplo, controla su propia red de cajeros automáticos y no se involucra con la de los otros bancos. Por lo tanto, el principal obstáculo para que la ciudad inteligente de Watch_Dogs se vuelva realidad, probablemente, sería el proceso de unificación de todas las organizaciones bajo un mismo techo y bajo un mismo Centro de Datos.

Por otra parte, si esto ocurriera, las consecuencias de una falla de seguridad serían verdaderamente nefastas. Aunque lo cierto es que un único sistema interconectado facilita muchísimo la posibilidad de protegerlo. Cuantos menos servidores hay, más difícil es atacarlos.

-¿Es posible hackear una ciudad completa con un equipo no muy costoso?

Tal y como he dicho anteriormente, dado que no existe un único sistema que manipule todos los dispositivos de una ciudad, sino que existe muchas infraestructuras que controlan diversos sistemas, sería imposible hackear una ciudad por completo. En cuanto al hardware utilizado para estos propósitos, su costo es normalmente un elemento secundario. Un hacker puede realizar un ataque incluso desde una PC de U$S100. Lo que se necesita, en realidad, es un sistema operativo, un teclado, un monitor, herramientas y conocimiento. Las herramientas se pueden encontrar fácilmente en Internet (gratuitas y pagas).

-¿Qué dispositivo móvil es el mejor para hackear?

Para realizar este tipo de manipulaciones se requiere de un smartphone con acceso a privilegios especiales, ya sea un Android ruteado o un iPhone jailbreakeado. Este tipo de dispositivos permiten cambiar las direcciones MAC, entre otras cosas. Pero, en general, no depende exclusivamente de un tipo de smartphone. El elemento más importante son las aplicaciones y las herramientas utilizadas en el ataque. Y éstas están disponibles tanto para Android como para iOS.

-¿Es posible que algún día una única compañía controle toda la ciudad y un pequeño grupo de rebeldes trate de hackear el sistema?

Una única compañía controlando una ciudad entera no suena probable. Al menos, no se condice con el interés general de la comunidad empresarial. Cada organización busca controlar su nicho y jamás aceptaría la existencia de un monopolio que se quede con todo. Por lo tanto, la idea de una ciudad controlada por un único sistema no es realista. Contradice el principio de la libre competencia. En este sentido, no hay una razón lógica que indique que esto pueda llevarse a la vida real en algún momento.

No obstante, es válido decir que, de a poco, nos acercamos a concretar la idea de una ciudad inteligente. De todas formas, esto es algo diferente. Los sistemas de una posible futura ciudad inteligente seguramente serían controlados por múltiples organizaciones con distintas responsabilidades limitadas.

-¿Hoy en día existen dispositivos físicos utilizados exclusivamente para hackear como por ejemplo las cajas azules de los años 70?

Por supuesto que existen y los hay en gran cantidad. Piensa, por ejemplo, en las “computadoras plug”, que tienen el tamaño de un cargador de Tablet. Son aparatos que se enchufan en un toma corriente y se conectan a Internet. Existe una gran variedad de esta familia de aparatos: Guru plug, Dream plug, etc. Estas pequeñas computadoras usualmente se utilizan para evaluar las redes y encontrar vulnerabilidades.

¿Cuál es la diferencia entre hackear una PC convencional y hackear un semáforo?

En general, todos los dispositivos están conectados en algún punto con una computadora. Esto quiere decir que, para poder hackear el sistema de semáforos, tendríamos que necesariamente hackear la computadora que los controla. Esta es la forma más viable de llevar adelante un ataque de este tipo y, en efecto, es de esta manera como se realiza en Watch_Dogs.

-¿Hubo algún tipo de hackeo que se haya eliminado del juego, luego de que Kaspersky evaluara la autenticidad? 

Dado que nosotros nos especializamos en detener las amenazas cibernéticas y a las personas que buscan manipular los sistemas IT, nuestra tarea fue brindarle a Ubisoft una evaluación técnica y algunas recomendaciones sobre los escenarios teóricos de Watch_Dogs, tanto en el juego per sé como en el desarrollo del personaje y del plot. Revisamos el guión y sugerimos algunos cambios en base a lo que creíamos que podía ser mejorado o editado para que la historia fuera más auténtica (técnicamente hablando).

No obstante, nosotros no borramos nada. Cuando nos enviaron el guión ya existían algunos hackeos establecidos. Los estudiamos, aprobamos algunos de ellos y corregimos otros, pero no eliminamos ninguno. La decisión final estuvo a cargo de Ubisoft.

-¿Qué se siente tener un conocimiento profesional sobre todas las potenciales amenazas cibernéticas? ¿Duermen bien por las noches?

Bueno, sí, por suerte dormimos bien. Por supuesto, sabemos que no existen sistemas completamente seguros. Que el hecoh de que algo sea hackeado, en general, depende siempre de disposponer de cierta cantidad de tiempo, presupuesto y voluntad. Siempre habrá vulnerabilidades en las PCs, routers y redes, pero nosotros sabemos cómo actuar cuando algo es hackeado o, al menos, cuando algo da indicios de que ha sido hackeado. Eso nos da un poco de confianza y tranquilidad.

-¿Existe alguna base de datos que le permita a los hackers acceder rápidamente al perfil y a la información personal de los usuarios tal como se muestra en el juego?

Existen muchas bases de datos de este tipo y todos las conocemos. Se llaman Facebook, LinkedIn, Twitter, etc. En todo caso, para crear un correlato entre una determinada persona y su información personal, lo que haría falta es poseer algunas tecnologías de identificación específicas. Y las hay.

No hace falta que trabajes para el servicio secreto para lograr esto. Existen compañías de inteligencia de código abierto que analizan todos los datos. Ellos crean cuentas virtuales en las redes sociales, les piden a las personas “hacerse amigos” y, así, consiguen acceder a cualquier tipo de perfil que necesitan. Cuando se tienen miles de amigos, con miles de conexiones cada uno, es posible cubrir gran parte de la población de las redes sociales.

Existe una teoría que postula que sólo hay 6 personas que separan a dos individuos de cualquier parte del mundo. Esto significa que sólo hacen falta unos cuantos amigos para encontrar a cualquier persona en la red. Después de esto, sólo debes vincular la información con el mundo real. Para este propósito existen distintas tecnologías de fácil acceso que involucran geolocalización, reconocimiento facial, reconocimiento de voz, etc. Cuando se utilizan al mismo tiempo, son bastante eficientes para encontrar a una persona determinada comparándola con su perfil digital.

Traducido por: Guillermo Vidal Quinteiro