Introducción

Los expertos - los autoproclamados y algunos otros - afirman a menudo que el software malicioso (malware) es la herramienta definitiva para los grupos terroristas. La idea es que los grupos terroristas están interesados en eliminar partes de la infraestructura esencial de una nación como medio para lograr sus propósitos a largo plazo. Los países, y las organizaciones que son imprescindibles dentro de esa infraestructura, deberían por ello proteger sus sistemas centrándose principalmente en esta amenaza potencial.

El software malicioso lleva mucho tiempo disponible, pero no se ha detectado su uso como herramienta por parte de los grupos terroristas. Sin embargo, esta información de seguridad va a intentar analizar esta afirmación.

Para evitar malentendidos, tenga en cuenta que abordaremos el tema del uso del software malicioso como un acto terrorista en sí mismo. Obviamente, el software malicioso o malintencionado puede utilizarse como uno de los muchos instrumentos útiles en la preparación de actos terroristas, por ejemplo al colocar troyanos y software espía en ordenadores cruciales para reunir información sobre el objetivo final.

Argumentos de los defensores de esta idea

Los que creen que el malware es la herramienta de próxima generación en el arsenal de cualquier grupo terrorista, argumentan lo siguiente:

1. Se puede usar el malware para centrarse en la infraestructura esencial de una nación y paralizarla y/o destruirla.
2. No hace falta una organización importante para lanzar un ataque con malware.
3. El software malicioso diseñado para atentar contra la infraestructura de una nación es fácil de obtener y bastante económico comparado con otras herramientas necesarias para conseguir un efecto igual o parecido.
4. Las personas que lanzan ataques de este tipo pueden esconderse fácilmente sin dejar prácticamente ninguna huella.

Estos puntos parecen todos ciertos. ¿Es entonces el software malicioso el mejor sueño de un terrorista? ¿Estamos dispuestos aceptar el postulado general? No exactamente, o al menos no todavía, como mostramos a continuación. Para que este debate resulte de utilidad, dediquemos algún tiempo a analizar el terrorismo en sí mismo.

Características del terrorismo

Empezaremos definiendo la palabra "terrorismo". Dos definiciones:

Enciclopedia británica (versión gratis online):

Uso sistemático de la violencia para crear un clima general de miedo en la población y de ese modo conseguir un determinado objetivo político. (...)

Wikipedia:

En el sentido moderno, terrorismo es cualquier acto violento o dañino cometido contra civiles por motivos políticos o ideológicos, o la amenaza de cometerlo. La mayoría de las definiciones de terrorismo incluyen solo aquellos actos que pretenden causar miedo o "terror", que se perpetran con una meta ideológica (en oposición a un ataque aislado) y que atentan deliberadamente contra los civiles o desprecian totalmente su seguridad. Muchas definiciones también incluyen solamente actos de violencia ilícita. (...)

Otras fuentes ofrecen definiciones similares.

Hay dos elementos clave en ambas definiciones: la violencia y el pánico generalizado.

Son numerosos los ejemplos de los tipos de acciones llevadas a cabo por los grupos terroristas, por ejemplo:

• Coches bomba
• Estallar aviones
• Secuestro de aviones
• Obligar a aviones secuestrados a chocar contra edificios
• Bombas suicidas en multitudes
• Ataques suicidas con camiones bomba dirigidos contra edificios oficiales
• Lanzamiento de misiles a edificios habitados
• Disparos contra multitudes
• Ataques indiscriminados contra la población usando gas venenoso
• Toma de rehenes

Todos estos ejemplos reúnen en mayor o menor medida los elementos clave en los que nos centramos anteriormente. También cabe suponer que cuanta más violencia haya implicada, más miedo se generará entre la población.
[Que el uso de estos medios sea una táctica acertada para que un grupo terrorista alcance su objetivo es otra historia, que va más allá del ámbito de esta información de seguridad.]

El malware como herramienta para causar el pánico general mediante el uso de la violencia

Nuestra información de seguridad de la semana 38 trataba sobre la historia del malware e incluía algunos ejemplos de ataques de software malicioso que habían causado problemas en los últimos 25 años. En estos ataques se habían utilizado varias características. No obstante "violento" y "que provoca un pánico generalizado", difícilmente aparecen como los términos que primero vienen a la cabeza.

Por otro lado, hay que decir que, hasta donde sabemos, no hay grupos terroristas involucrados en la creación y distribución de estos programas de malware. ¿Es posible entonces imaginar un programa de malware que pueda causar el pánico general e implicar algún tipo de violencia?

El término "violencia" no es preciso y se puede utilizar en muchos ámbitos como, por ejemplo, un virus que es particularmente agresivo en su carga destructiva o un gusano cuyo mecanismo de difusión es muy eficaz. Vamos a aceptar esto por unos instantes.

Pasamos entonces a la condición de "miedo generalizado". Los propietarios y empleados de una empresa que sea atacada por un programa de malware y no pueda desarrollar sus actividades habituales pueden, por supuesto, estar asustados, ya que la empresa perderá dinero y, en el peor de los casos, se verá obligada a cerrar. Los usuarios individuales que se vean gravemente afectados pensarán que es molesto, ya que posiblemente no puedan seguir leyendo sus correos electrónicos, navegando por Internet, etc. Pero difícilmente esto causará un miedo generalizado entre el público.

Aún así, los defensores de la idea afirman que los grupos terroristas atentarán contra instituciones que son fundamentales para el funcionamiento de la sociedad moderna. Cabe también la posibilidad de que el malware especialmente diseñado sea capaz de crear problemas en los sistemas bancarios, el suministro eléctrico (al menos en varias regiones a la vez), los sistemas de comunicación, etc. de un país. Sin embargo, el problema visto desde el punto de vista de los terroristas consiste en que es muy difícil alterar el funcionamiento de estos sistemas durante un periodo de tiempo prolongado. La cooperación entre los equipos de respuesta a emergencias informáticas de los distintos países es bastante buena y probablemente sea posible detener conjuntamente un ataque coordinado en un país en concreto. Puede que haya que recurrir a medios bastante drásticos para detener un sofisticado ataque, pero si las consecuencias para el país afectado son graves, la comunidad de Internet aceptará probablemente el coste de interrumpir otros servicios durante un período corto de tiempo hasta que el ataque quede totalmente neutralizado. Por lo tanto, se puede suponer que la población de la nación afectada estará irritada, pensará que sus actividades normales se han visto alteradas y tendrá la sensación de que las tareas que normalmente se dan por hechas son ahora difíciles o imposibles de realizar. El país podría perder mucho dinero debido a la interrupción de actividades esenciales. Sin embargo. es poco probable que se produjera una situación de miedo generalizado entre la población.

Hay otra consideración que debe ser mencionada. Para alterar de manera efectiva la infraestructura esencial de un país se debe tener un profundo conocimiento de estos sistemas y de sus posibles vulnerabilidades. Esto normalmente será más complicado y complejo que algunos de los actos terroristas arriba mencionados. Por otra parte, algunos de los actos terroristas utilizados como ejemplo requieren una gran preparación y conocimiento de los objetivos.

Basándonos en todo lo anterior, es seguro concluir que el malware en su forma conocida no es particularmente útil para los grupos terroristas como acto de terrorismo en sí mismo. No cumple suficientemente con la condición de "miedo generalizado".

El software malicioso como herramienta en caso de conflicto armado entre países.

En una situación de guerra entre dos naciones, hay que hacer varias consideraciones. El uso eficaz de malware puede resultar interesante como un arma útil para una de las partes, sobre todo si se combina con otras armas disponibles. Varias de las consideraciones y obstáculos que los grupos terroristas tendrán que tener en cuenta habrán desaparecido o no se considerarán relevantes.
Este debate, sin embargo, no es relevante para esta información de seguridad.