El 7 de julio pasado, la Selección de Argentina perdía 2-0 contra la de Egipto en el partido que se realizó en Georgia en el Campeonato Mundial de Fútbol.
Al final, los sudamericanos remontaron el marcador, que quedó 2-3, en medio de una polémica que estalló ahí mismo y que aumentó las teorías conspiratorias de que la FIFA teledirige el torneo a favor del equipo encabezado por Lionel Messi.
Dos días después, la Asociación del Fútbol Argentino (AFA) sufrió un hackeo de sus sistemas. Los ciberdelincuentes enviaron —a los periodistas acreditados ante la organización— un correo acusando a la FIFA y al arbitraje.
Apenas detectó el incidente, la AFA emitió un comunicado en el que advirtió sobre el envío de correos electrónicos desde cuentas institucionales y sin autorización: “Existe la posibilidad de que nuestra cuenta haya sido objeto de un acceso no autorizado, por lo que estamos trabajando para esclarecer lo ocurrido”.
No se conoce la puerta de entrada utilizada por los atacantes. “Todavía no se divulga un informe forense completo que explique exactamente el vector de ataque”, advirtió Mario Micucci, especialista en Seguridad Informática de ESET.
Esto pudo ocurrirle a su empresa — Lo que se sabe es que los ciberatacantes comprometieron las cuentas de correo. Falta confirmar si también la plataforma de base de datos utilizada para acreditaciones y comunicaciones con periodistas estuvo expuesta. No sería lo único.
También habrían comprometido las direcciones IP, las contraseñas (almacenadas en forma cifrada), los números telefónicos y otros datos asociados a usuarios, según las publicaciones en foros y las ofertas de datos en la Internet oscura.
Comprobar todo eso obliga a un análisis, a la comprobación y al descarte de muestras, registros, procedencia e información reciclada de filtraciones anteriores. Mientras tanto, la AFA deberá suponer que se trata de una filtración real y más amplia, tal como el supuesto atacante lo divulgó.
Efecto inmediato — El ciberataque demuestra que se utilizó la identidad digital de una institución reconocida mundialmente y un canal legítimo, lo que ha afectado su reputación y la confianza depositada en ella.
Los ciberdelincuentes aprovecharon el momento, pues el ataque ocurrió durante el Mundial, cuando cualquier mensaje relacionado con la selección tiene una enorme capacidad de amplificación para instalar una narrativa, generar confusión y obtener notoriedad.
¿Cómo ocurrió la infiltración? — Los especialistas en ciberseguridad señalan que los escenarios más probables incluyen el robo de credenciales mediante phishing o engaño, un método muy usual en la actualidad pese a los miles de advertencias a los usuarios.
Puede que los atacantes hayan aprovechado, además, contraseñas débiles o reutilizadas, equipos infectados con malware tipo infostealer (que roba usuarios y contraseñas almacenadas en navegadores), vulnerabilidades en aplicaciones web o paneles de administración expuestos a Internet y la falta de autenticación multifactor (MFA) en cuentas críticas.
Cualquiera de esos métodos fue posible (y deberá ser confirmado por la investigación forense), pero fue facilitado por debilidades en la administración o fallas en los mecanismos de seguridad complementarios. Lo que parece correcto es hablar de una cadena de fallas humanas, técnicas y de control, no de una única causa.
Un análisis de la empresa de ciberseguridad Hudson Rock apunta a que el incidente podría estar relacionado con el infostealer, un tipo de programa que infecta la computadora de un empleado y extrae credenciales, cookies de sesión y accesos almacenados, permitiendo a los atacantes entrar sin necesidad de “romper” los sistemas directamente.
¿Les suenan conocidas todas estas fallas? — Son las mismas en que incurrimos normalmente usuarios, empresas e instituciones. ¿O acaso su contraseña actual no hace referencia a la fecha de su cumpleaños o al nombre de sus hijos, su mascota o su pareja?
¿Qué hacer si sufre un ataque cibernético? — Tener una herramienta aislada no es suficiente. Se necesita un conjunto mínimo de capacidades: gestión centralizada de identidades, mecanismos resistentes al phishing, administración de dispositivos, cifrado, protección del correo electrónico y alertas por accesos anómalos.
Estas y otras medidas se complementan con segmentación de redes; gestión de vulnerabilidades; protección contra ataques de denegación de servicios; copias de seguridad aisladas e inmutables, probadas regularmente; plan de respuesta a incidentes; manejo de crisis y comunicación pública.
¿Se puede recuperar el control? — Inicialmente, se debe pensar que el ataque fue total, amplio y profundo.
Tras la advertencia a los usuarios y clientes, se debe realizar una investigación forense, cerrar todas las sesiones activas y revisar dispositivos registrados, reglas de reenvío de correo, credenciales privilegiadas y la actividad previa a la fecha estimada del ataque.
Deben corregirse vulnerabilidades, eliminar accesos innecesarios, rotar credenciales privilegiadas, aumentar el monitoreo y prepararse ante posibles ataques como el phishing, la suplantación de dominios, las filtraciones y la desinformación.
¿Cuál es el primer paso? — Por supuesto, las organizaciones deben tener identificados los sistemas críticos y disponer de un equipo de respuesta inmediata, probar copias de seguridad, establecer procedimientos de restauración, habilitar canales alternativos de comunicación y realizar ejercicios de simulación.
“La preparación debe comenzar meses antes”, recalcó Micucci. “Durante un evento global aumenta tanto la cantidad de ataques oportunistas como la probabilidad de operaciones motivadas por rivalidades, hacktivismo o búsqueda de exposición mediática”.
¿Quién se adjudicó el ataque a la AFA? — Aunque la autenticidad y el alcance de la supuesta filtración aún se investigan, un grupo que se identificó como Egyptian Hackers (y en algunos foros un actor llamado Hossam Hassan) se atribuyó la intrusión.
¿Qué decía el mensaje? — En los correos electrónicos enviados se afirmaba que la Selección de Argentina fue supuestamente favorecida por el arbitraje, al que se calificaba de corrupto en el partido contra Egipto.
El mensaje contenía críticas al arbitraje del partido correspondiente a los octavos de final del torneo y sostenía que Argentina ganó gracias a decisiones arbitrales favorables y responsabilizaba al francés François Letexier por el resultado del encuentro.
Y cerraba con una frase contundente: “Si no hay justicia en la cancha, no esperen paz en sus redes”.
El mensaje completo fue compartido por un reconocido periodista argentino en la red social X.
¿Otras implicaciones? — El problema es que las consecuencias del ciberataque no se limitan a un mensaje que repite los comentarios virales tras el partido, afectan la reputación, la imagen y la confianza del público.
Existen otros riesgos. El principal, según ESET, es el spearphishing o phishing dirigido, donde se podrían reproducir campañas mucho más personalizadas y convincentes.
Por ejemplo, los atacantes ya conocen la relación de esas personas con la AFA y pueden enviar supuestas acreditaciones, cambios de agenda, entradas, entrevistas, documentos de la FIFA o actualizaciones de acceso.
Si también se filtraron contraseñas, los atacantes podrían intentar reutilizarlas en correos electrónicos, redes sociales y plataformas laborales. Incluso un mensaje enviado desde una dirección legítima puede resultar peligroso si la cuenta continúa comprometida.
Imagínese un escenario similar en su empresa y con sus clientes. — Ya en Costa Rica, este tipo de situaciones lo sufrieron varias instituciones.
¿Recuerdan el ataque al Ministerio de Hacienda y a otras entidades en 2022?
Y en esa ocasión el efecto fue amplificado: a todo el país.
Con el ciberataque a Hacienda sufrieron contribuyentes, importadores y exportadores, empleados públicos...
Con el ciberataque a la Caja Costarricense del Seguro Social también resultaron perjudicados los asegurados, las empresas que entregan planillas, los pacientes,...
No fueron las únicas entidades afectadas entonces.
Ahora imagine que su empresa sufre un ciberataque y paraliza su operación.
Pero usualmente pensamos que eso le ocurre a otros...
