Conoce al equipo que irrumpe en las oficinas centrales ultrasecretas
Un equipo de crack se reúne e irrumpe en una base militar ultrasecreta o en una sede corporativa; probablemente lo hayas visto en una película o en la televisión una docena de veces.
Pero estos equipos existen en el mundo real y pueden contratarse para probar la seguridad más estricta.
Muchas empresas ofrecen probar sistemas informáticos intentando piratearlos de forma remota. Eso se llama White Hat Hacking.
Pero las habilidades necesarias para violar la seguridad física, conocida como Red Teaming, son raras.
Las empresas que ofrecen el servicio Red Team deben reunir personal con habilidades muy particulares.
A los Equipos Rojos, que a menudo utilizan ex personal militar y de inteligencia, se les hace una pregunta.
«¿Cómo puedes irrumpir en este proyecto ultrasecreto?»
Leonardo, el gigante de la defensa, ofrece ese servicio.
Dice que los estados hostiles que buscan perturbación y caos son una amenaza real y vende su capacidad de Equipo Rojo a clientes del gobierno, de infraestructura crítica y del sector de defensa.
Su Equipo Rojo acordó hablar con la BBC bajo seudónimos.
Greg, el líder del equipo, sirvió en las ramas de ingeniería e inteligencia del ejército británico, estudiando las capacidades digitales de enemigos potenciales.
«Pasé una década aprendiendo cómo explotar las comunicaciones enemigas», dice sobre su experiencia.
Ahora coordina el equipo de cinco personas.
El ataque tiene como objetivo obtener acceso. El objetivo podría ser detener el funcionamiento de un proceso, como el núcleo de una central nuclear.
El primer paso para Greg y su equipo se llama reconocimiento pasivo.
Utilizando un dispositivo anónimo, tal vez un teléfono inteligente sólo identificable por su tarjeta SIM, el equipo crea una imagen del objetivo.
«Debemos evitar levantar sospechas, para que el objetivo no sepa que los estamos mirando», dice Greg.
Cualquier tecnología que emplean no está vinculada a una empresa mediante su dirección de Internet y se compra en efectivo.
Charlie pasó 12 años en inteligencia militar, sus técnicas incluyen estudiar imágenes satelitales comerciales de un sitio y escanear anuncios de trabajo para determinar qué tipo de personas trabajan allí.
“Partimos desde los bordes del objetivo, manteniéndonos alejados. Luego comenzamos a avanzar hacia el área objetivo, incluso observando cómo se viste la gente que trabaja allí”.
Esto se conoce como reconocimiento hostil. Se están acercando al sitio, pero mantienen su exposición baja, usan ropa diferente cada vez que aparecen e intercambian miembros del equipo, para que el personal de seguridad no vea a la misma persona caminando por las puertas.
La tecnología la idean las personas y el factor humano es el punto más débil de cualquier sistema de seguridad. Aquí es donde entra Emma, que sirvió en la RAF.
Con experiencia en psicología, Emma felizmente se llama a sí misma «un poco entrometida que observa a la gente».
“La gente toma atajos más allá de los protocolos de seguridad. Por eso buscamos gente descontenta en el sitio”.
Escucha conversaciones en cafés y pubs adyacentes para saber dónde surge la insatisfacción con un empleador.
“Cada organización tiene sus peculiaridades. Vemos cuál es la probabilidad de que las personas caigan en la trampa de un correo electrónico sospechoso debido a la carga de trabajo y la fatiga”.
Un guardia de seguridad descontento puede volverse perezoso en el trabajo. «Estamos analizando el acceso, por ejemplo, mediante una entrega».
Una alta tasa de rotación, evidenciada por las vacantes que se anuncian con frecuencia, también indica insatisfacción y falta de compromiso con las responsabilidades de seguridad. Otra técnica es seguir de cerca, detectar a las personas que probablemente mantengan abierta una puerta de acceso para un seguidor.
Usando esa inteligencia, más un pequeño subterfugio, se pueden copiar pases de seguridad y el Equipo Rojo puede ingresar a las instalaciones haciéndose pasar por un empleado.
Una vez dentro del sitio, Dan sabe cómo abrir puertas, archivadores y cajones de escritorio. Está armado con llaves para abrir cerraduras conocidas como jigglers, con múltiples contornos que pueden abrir una cerradura.
Busca contraseñas escritas o utiliza un adaptador USB inteligente enchufable para simular el teclado de una computadora e irrumpe en una red.
El último paso de la llamada cadena de muerte está en manos de Stanley.
Stanley, experto en ciberseguridad, sabe cómo penetrar los sistemas informáticos más seguros, trabajando en el informe de reconocimiento de sus colegas.
«En las películas, un hacker tarda unos segundos en entrar en un sistema, pero la realidad es diferente».
Prefiere su propio «enfoque escalador», trabajando a través de un sistema a través del acceso de un administrador y buscando una «confluencia», una colección de información compartida en un solo lugar, como la intranet de un lugar de trabajo.
Puede recorrer archivos y datos utilizando el acceso de administrador. Una forma en que concluye una cadena de destrucción es cuando Stanley envía un correo electrónico haciéndose pasar por el director ejecutivo de la empresa a través de la red interna, por lo tanto confiable.
Aunque operan con la aprobación del cliente objetivo, entran en un sitio como completos desconocidos. ¿Cómo se siente esto?
«Si logras acceder a una sala de servidores, eso es bastante estresante», dice Dan, «pero se vuelve más fácil cuanto más veces lo haces».
Hay alguien en el sitio de destino que sabe lo que está pasando. “Nos mantenemos en contacto con ellos para que puedan dar instrucciones de ‘no disparen a esta gente’”, añade Charlie.