Ciberataques en elecciones: ¿amenaza real o desinformación?

Diario Criterio consultó con expertos en seguridad digital para entender a qué se refieren las distintas entidades del Gobierno cuando hablan de ‘ciberataques’ y qué tan posible es afectar el escrutinio. 

El ministro de Defensa, Diego Molano, manifestó su preocupación por la ciberseguridad para las elecciones legislativas. Según el funcionario, hackers podrían ejecutar un ataque de denegación de servicio, que impediría el acceso de los usuarios a una página web, en este caso, la de la Registraduría. 

No es el único que ha hecho referencia a este asunto. Durante toda la campaña electoral, la narrativa de un posible ataque cibernético estuvo más que presente. Incluso, el presidente Iván Duque llamó la atención sobre este asunto y aseguró, frente al Parlamento Europeo, a inicios de febrero, que desde el exterior quieren “hacer experimentos de ‘hackers’ en procesos electorales” de Colombia. 

Unos días después, afirmó que desde el Gobierno están “monitoreando” y tomando “las medidas necesarias para enfrentar eventuales ataques cibernéticos en las elecciones”, y añadió que, frente a “todas las alertas o ciberataques“, Colombia tiene “capacidad para poder responder”. 

Alejandra Barrios, directora de la Misión de Observación Electoral (MOE), respondió que no tiene indicios de un posible ataque cibernético, pero advirtió que todos los procesos informáticos, incluido el software que se utilizará durante los comicios, tienen el riesgo de ser hackeados, por lo que le pidió a la Registraduría tomar todas las medidas necesarias. 

Estos pronunciamientos han generado especulaciones y dudas con respecto a lo que podría suceder en las próximas elecciones. Diario Criterio consultó con expertos en seguridad digital para entender a qué se refieren las distintas entidades del Gobierno cuando hablan de ‘ciberataques’ y qué tan posible es afectar el escrutinio. 

Puede leer: Lo que está en juego para el mundo en las elecciones presidenciales de Colombia 2022

Entre la desinformación…

Luego de que el presidente se pronunciara sobre los ataques cibernéticos, en redes sociales empezó a hablarse de la posibilidad de que se modificaran los resultados de las elecciones. Pero Duque hablaba de desinformación y no de infraestructuras tecnológicas, es decir, de las estrategias que utilizan información falsa o engañosa para afectar la intención de voto de las personas. 

En este sentido, lo que le preocupa al mandatario es la supuesta posibilidad de que en Colombia suceda lo que pasó en las elecciones de Estados Unidos en 2016, cuando miembros de la campaña de Hillary Clinton, que tenían información privilegiada, fueron engañados para obtener las contraseñas de sus cuentas. Luego de esto, se inició una campaña de desprestigio contra la candidata.

En esa ocasión, las personas involucradas utilizaron la técnica conocida como ‘phishing‘, con la que “engañan a las personas al hacerse pasar por entidades o personas de confianza, enviando correos electrónicos con enlaces maliciosos para robar sus datos“, dijo a Diario Criterio Juan David Moreno, country manager de Dreamlab Technologies en Colombia, empresa suiza especializada en ciberdefensa y ciberseguridad.

Esos ataques de desinformación son posibles en Colombia y en cualquier parte del mundo, incluso con injerencia extranjera, como pasó en Estados Unidos, donde las investigaciones señalaron a hackers rusos. No obstante, “acá nunca hemos visto una intención de hacer algo similar. Eso sí, siempre existe la posibilidad. Pero nada de eso está relacionado con el ‘software’ de elecciones”, explicó a Diario Criterio Pilar Sáenz, coordinadora del Laboratorio de Seguridad digital y privacidad de la Fundación Karisma.

En otras palabras, los ataques de desinformación no tienen relación con cambios en los resultados de las elecciones. “Para que haya cambios en los resultados habría que meterse con las cuentas, y estas las tiene el ‘software’ de escrutinio”, agregó.

Le puede interesar: Elecciones del 13 de marzo estrenarán protocolo para evitar la discriminación a las personas trans

¿Ciberataque a la Registraduría afectaría el escrutinio?

Una de las advertencias de la Registraduría tiene que ver con la posibilidad de que la página sea atacada el día de las elecciones. Esto no es nuevo. De hecho, cuatro días antes del plebiscito de 2016, la página recibió ataques que pretendían inhabilitarla para que no pudieran divulgar los resultados. 

“Los ataques más famosos de este tipo son los de denegación de servicios distribuidos. En estos se concreta que, desde diferentes lugares o desde una granja de equipos, intenten ingresar a la página web. Al generarse tantos intentos de ingreso, el servidor se satura y deja de responder”, dijo Sáenz. 

Estos ataques, sin embargo, solo afectan la divulgación y no el conteo, porque esa información se encuentra en otro lugar. “La página web de la Registraduría trabaja con copias de los repositorios principales de información, un ataque a los sistemas en línea no va a poder afectar el núcleo de los sistemas de identificación o electorales, ya que esos sistemas principales están totalmente aislados de redes públicas”, explicó a Diario Criterio Erick Rincón, experto en ciberseguridad y profesor de la Universidad del Rosario. 

Ahora, es posible que se dé un ataque pero con el objetivo de obtener una información distinta a la del escrutinio y el censo electoral. Por ejemplo, hace poco, el Invima recibió un ataque en su sistema, lo que podría comprometer parte de la información que se encontraba en sus servidores, “sea por que la hayan cifrado o la hayan descargado y estén pidiendo rescate. Estos ataques se llaman ‘Ransomware’”, dijo Sáenz. 

En este sentido, si hicieran un ataque similar a la Registraduría, habría que revisar a qué parte del sistema están accediendo, si se parte de que esa página es bastante compleja. “No es de un servidor único y algunos de los sistemas son robustos por el tipo de información que manejan. Tendrían que meterse a través de varias capas para poderlo afectar. Y eso es muy difícil“, señaló.

Recomendado: Así quedaron los tarjetones para el Senado 2022. Análisis de Diario Criterio

Entonces, ¿dónde se alojan los resultados?

Los escrutinios, hasta el nivel departamental, son manejados por la unión temporal Disproel, que está siendo auditada externamente por la empresa McGregor. A nivel nacional, la empresa encargada de esta labor es Indra, que solo tiene auditoría interna. En este sentido, para alterar los resultados, habría que atacar las estructuras de esas organizaciones. 

Para el primer caso, según explicó Sáenz, los escrutinios dependen de las comisiones escrutadoras que están en todo el país y no están conectadas “formalmente a internet”, sino que envían la información a través de un canal seguro. Esa información es solo para control, porque la relevante se lleva en un CD a la siguiente comisión. “Para afectar los resultados habría que intervenir de alguna forma los computadores que están en las comisiones escrutadoras”, dijo. 

Para el caso de Indra, aunque el software fue hecho para la Registraduría, va a ser usado por los nueve magistrados que estarán recibiendo la información. “Esta comisión tiene un ‘software’ distinto al de Disproel. El de Indra sí funciona en la nube y solo tienen acceso los computadores de los magistrados. Así, para afectar los resultados, habría que meterse a uno de los computadores de los magistrados y que los otros aprueben los cambios. También habría que afectar el sistema de seguimiento y control que tiene la empresa”, explicó. 

Un factor importante para que haya confianza en los sistemas que desarrollan estas compañías es la transparencia. No obstante, según la experta de Karisma, “en ninguno de los dos casos se conocen los resultados de las auditorías a profundidad”.

“Las pruebas que se han hecho no han sido sobre el sistema terminado. De Disproel se hicieron el sábado pasado, yo estuve, pero a ese sistema le iban a hacer cambios. La prueba no fue sobre el sistema final. Esperamos que sean seguros, pero hay evidentemente un problema de transparencia”, resaltó Sáenz.

Le puede interesar: ¿Quiénes son los candidatos a la Cámara por Antioquia?