Pese a Pegasus, Marruecos queda fuera del radar de la ciberinteligencia de la Guardia Civil

Cuando hablamos de ciberseguridad, conocer el perfil de los atacantes cada vez cobra mayor importancia, puesto que ya no sólo son individuos aislados, grupos delictivos cibernéticos o hacktivistas, sino también naciones/Estados. Por este motivo, el último concurso público en materia de ciberinteligencia para la Guardia Civil exige hasta 150 perfiles de grupos de estos actores. En concreto, los pliegos requieren que la plataforma contratada realice seguimientos y provea perfiles de Rusia, China, Corea del Norte, Irán, India, Vietnam, Pakistán y Corea del Sur. Sorprende extraordinariamente que, pese a su probada implicación en los casos de espionaje de Pegasus, Marruecos no haya sido incluido en la lista de países a monitorizar.

Los últimos análisis de evaluación de ciberseguridad apuntan al crecimiento y complejidad de las amenazas cibernéticas. Es un hecho, como también lo es que los últimos ciberataques sufridos tanto por el sector público como privado, hacen necesario el incremento de la inversión, tal y como apunta la memoria justificativa de uno de los últimos concursos públicos de la Guardia Civil.

El instituto armado licita por 1,2 millones de euros el servicio de acceso a bases de datos especializadas en ciberinteligencia que aproveche las ventajas del big data (procesamiento masivo de datos) y la Inteligencia Artificial (IA). Con una duración del contrato del 1 de julio de 2023 al 30 de junio del 2026, el objetivo es proporcionar visibilidad y protección instantánea a lo largo del ciclo completo de vida de las amenazas.

Uno de los puntos más llamativos de los pliegos es la no incorporación de Marruecos como uno de los Estados a los que realizar seguimiento. Para el resto de los países a los que sí, se exige información del tipo de su origen, última actividad conocida, países e industrias objetivo, una completa descripción narrativa del adversario o las herramientas, técnicas y procedimientos que emplea. Al menos este concurso de más de 1 millón de euros, Marruecos queda exento, pese a estar salpicado de pleno por el escándalo de Pegasus,

Tanto es así, que los europarlamentarios que están llevando a cabo las investigaciones sobre este caso de ciberespionaje que afectó, incluso, a nuestro presidente del Gobierno, han concluido que todas las pistas apuntan al régimen de Mohamed VI. Se da la circunstancia añadida de que la eurodiputada de ERC, Diana Riba, ocupa la vicepresidencia del comité del Euro parlamento que investiga el ciberespionaje en varios estados con el software Pegasus y se ha mostrado muy crítica con el Gobierno español, al que acusa de haber trabajado para diluir al máximo la misión sobre Pegasus.

Reducir la ventaja de cibercriminal

La Estrategia de Seguridad Nacional 2021, que fue aprobada en Consejo de Ministros mediante Real Decreto 1150/2021, de 28 de diciembre, no cambió sustancialmente respecto a su antecesora de 2017 a la hora de identificar la vulnerabilidad del ciberespacio como un riesgo para la seguridad nacional. Para abordar este desafío, una de las herramientas más útiles con las que cuentan los Cuerpos y Fuerzas de Seguridad del Estado son las denominadas bases de datos de ciberinteligencia, que se han convertido en el repositorio más grande y activo, indexando billones de eventos por semana y acumulando una colección de millones de archivos.

Gracias precisamente a esta indexación es posible disponer de todos los datos para realizar búsquedas en tiempo real de todo tipo de código malicioso (malware), tanto metadatos como contenido binario, obteniendo los resultados en segundos. Sin esta información obtenida prácticamente de forma instantánea, la unidad telemática de la Guardia Civil estaría aún más en clara desventaja frente a los ciberdelincuentes.

Con la convocatoria de este concurso, la Benemérita confía en reforzar su ciberseguridad y poder, incluso, detectar con anticipación los riesgos, obteniendo visibilidad instantánea de foros restringidos y pudiendo realizar análisis inmediatos de impacto. El servicio prestado por la empresa adjudicataria permitirá ese acceso a bases de datos especializadas en ciberinteligencia para de este modo, no sólo detectar posibles amenazas en estados muy tempranos, sino también conocer el perfil e intereses de los posibles atacantes.

Cifras que asustan

Con objeto de entender la complejidad de abordar esta realidad a la que en gran medida somos ajenos en nuestro día a día, basta repasar algunos de los requisitos exigidos por parte de la Guardia Civil a la empresa que vaya a prestar este servicio de ciberinteligencia. Para empezar, el número de fuentes de información que debe manejar son extraordinarias: sólo en la Deep Web, los pliegos del concurso exigen la monitorización de al menos 55.000 fuentes únicas provenientes de sitios únicos en foros underground y markeplaces para la venta de credenciales, paquetes de acceso o tarjetas de crédito.

En esta misma línea, la cantidad de sensores desplegados para obtener información a partir de la telemetría de endpoint (los puntos finales de conexión a la red) asciende como mínimo a 30 millones de sensores en al menos 180 países. Estos volúmenes de información, además, han de permitir procesar como poco un volumen de 400.000 muestras de malware al día. En total, las fuentes han de componerse de como mínimo 4 trillones de eventos semanales, más de 500 millones de posts de redes sociales y una base de datos de malware de al menos 3 billones de muestras.

Además, esta plataforma a la que da acceso el servicio ha de contar con un histórico de datos de amenazas de al menos cinco años de antigüedad y ha de incluir información obtenida de herramientas de mensajería y redes sociales, incluyendo, al menos, Telegram, Twitter, Reddit o Pastebin. Asimismo, debe manejar más de 40 millones de los llamados indicadores de compromiso (IoC), esto es, de rastros o evidencias que delaten acceso sin autorización a los sistemas de datos.