¿Qué es el Hacking Ético?

El Hacking Ético está presente en nuestras vidas. Puede que lo hayan escuchado, o puede que cuando lean esta colaboración deduzcan que sin haberlo escuchado, saben de lo que hablan.

Probablemente hayan visto ustedes la película de S. Spielberg del año 2002 “Atrápame si puedes”. Leonardo Di Caprio interpreta a Frank Abagnele Jr., un falsificador que antes de cumplir los 19 consiguió millones de dólares. Lo hizo, principalmente, falsificando miles de cheques. Y era tan bueno en su “trabajo” que, cuando lo detuvieron, no le encerraron en la cárcel. Al contrario, el FBI le reclutó como asesor para prevenir fraudes, exactamente como los que él cometía.

Otras películas, también célebres, pivotan sobre la vida de los hackers: Desde la célebre “Junga de Cristal 4” hasta las más recientes … 2014 – Open Windows,  2015 – Blackhat,  2015 – Deep Web,  2015 – Debug,   2015 – Hacker’s Game,  2016 – Snowden,  2016 – Gringo: la peligrosa vida de John McAfee, –  2016 – IT,  2016 – Hacker,  2017 – The Circle.

Con los hackers informáticos, hace años que viene ocurriendo lo mismo. Los más prominentes, son en muchas ocasiones contratados por empresas tecnológicas para reforzar su seguridad TI.

Y, es que, de la misma forma que Frank Abagnele Jr., conocía perfectamente las vulnerabilidades de los documentos cambiarios. Y, sabía mejor que nadie para hacerlos más seguros y, por tanto, más difíciles de falsificar. Un hacker o ciberdelincuente conoce todas y cada una de los fallos de los sistemas que ha vulnerado.  Y, conoce infinitamente mejor la forma de pensar de otros ciberdelincuentes, que aquellos que trabajan en el lado “legal”.

Es precisamente este pensamiento, el que subyace tras el hacking ético. Que no es otra cosa que analizar el sistema de seguridad TI y simular ataques propios de la ciberdelincuencia para evaluar la seguridad del sistema.  Es decir, como un hackeo en toda regla, solo con la autorización expresa de la empresa, recogida en un contrato.

Pero el hacking ético no se limita a descubrir las vulnerabilidades del sistema TI, sino que busca soluciones correctoras. Como hizo Frank Abagnele Jr. para el FBI, en el caso de los cheques.  O como hace Kevin Mitnick, renombrado hacker, quien, una vez cumplida su condena, fundó su propia empresa de seguridad. Pasando de hacker pesadilla de empresas y organismos oficiales, a hacker ético colaborador de estas.

El Hacking ético, ha tenido un crecimiento exponencial, evolucionando desde herramienta pericial a herramienta de protección de datos personales. O, dicho de otro modo, de ser una herramienta paliativa (empleada a posteriori) a una herramienta preventiva del ciberataque. De ser una herramienta usada en procesos de investigación de delitos informáticos, a ser una de las profesiones del futuro.

La razón de este espectacular aumento, tiene orígenes diversos.

(i) El primero, hay que encontrarlo en la cada vez más exigente legislación sobre protección de datos.

(ii) El segundo, es el aumento de las denuncias por delitos informáticos, en muchas ocasiones cometidos por los propios empleados.

(iii) Y el tercero y más relevante, son las terribles consecuencias de toda índole que conlleva sufrir un ciberataque.

Si la seguridad TI se ha convertido en una prioridad real, es porque sufrir un ciberataque es una auténtica pesadilla. En 2018 empresas como British Airways, JobandTalent, Google, Yahoo, Apple y sobre todo Facebook han acaparado titulares por ese motivo.

Piensen en las consecuencias que la manipulación, por una consultora electoral, de 50 millones de datos de usuarios ha tenido para Facebook. Mark Zuckerberg, su elusivo CEO ha tenido que comparecer a regañadientes ante la Comisión de Seguridad del Congreso de EEUU. Las acciones de Facebook, han llegado a perder más de un 40% de su valor (de 217,50$a 124,95$). Y, lo peor es que han perdido parte del prestigio asociado a su marca y la confianza de sus usuarios.

Es altamente improbable que el Sr. Zuckerberg lea este artículo. Y es probable, que usted lector, piense que las catastrofistas consecuencias de un ciberataque solo afectan a las grandes corporaciones.

No se equivoque, en el mercado laboral actual, no hay nadie ajeno a la necesidad de proteger la seguridad TI. Y, no hay nadie ajeno porque no hay una sola empresa o profesional que no gestione y almacene datos personales. Datos de sus clientes, de sus proveedores, de sus empleados. Datos identificativos, datos sobre circunstancias económicas o sociales, datos personales e incluso datos especialmente protegidos (salud, religión, ideología…). Y, todos esos datos, sin excepción, están almacenados en soportes informáticos.

Después de leer el anterior párrafo. ¿Sigue usted creyendo que la protección del sistema de seguridad es algo que solo incumbe a grandes corporaciones?. Si la respuesta es afirmativa, no continúe leyendo.

Si no, si quiere protegerse de los ciberataques, el hacking ético puede ser una de las soluciones que está buscando.

Quizás usted piense que, para ser una PYME o un autónomo, está usted suficientemente protegido. Sin embargo, las protecciones básicas que tradicionalmente se han venido usando por éstas, se han revelado insuficientes. Las contraseñas seguras, las copias de seguridad, la instalación de firewalls perimetrales o los protocolos de permisos evitan los delitos. Al menos, no lo hacen por si solos.

De hecho, solo en el 2017 se dieron en España 81.037 ciberdelitos (según el Observatorio Español de Delitos Informáticos). Delitos informáticos que pueden adoptar la forma de múltiples figuras delictivas. Y cuya regulaciónse encuentran dispersos a lo largo del articulado del Código Penal, sin una ordenación sistemática homogénea.

Los más comúnmente sufridos por las empresas, son:

• Delitos de descubrimiento y revelación de secretos (art. 197 CP)
• Delito de intrusión informática (art. 197 bis CP)
• Delito de interceptación de transmisiones de datos informáticos ( 197 bis (apartado segundo) CP)
• Producción o facilitación a terceros para la realización de los delitos anteriores (art. 197 ter CP)
• Descubrimiento y revelación de secretos (art. 201 CP)
• Fraude y/o estafa informática (art. 248 y ss CP)
• Sabotaje informático (arts. 263 a 267 CP)
• Delitos informáticos relacionados con la propiedad intelectual (arts. 270 a 272 CP)
• Delitos relativos al mercado y a los consumidores (arts. 278 al 286 CP)

Conclusión.

Nos hallamos ante un escenario, que podría denominarse de tormenta perfecta, en el cual:

• Los delitos informáticos aumentan exponencialmente
• Los delitos informáticos se encuentran por su propia naturaleza en constante evolución. Mutan y se desarrollan de forma constante. Estar hoy protegido frente a los delitos informáticos, no te garantiza la seguridad del mañana.
• Y ser víctima de un ciberataque, tiene cada vez unas consecuencias más negativas para la empresa.

Por ello, es fundamental hoy y resultará absolutamente esencial en el futuro, blindar la seguridad de nuestros sistemas y datos. De ahí, el auge del hacking ético.

Si este artículo ha sido de su interés, le sugerimos también las siguientes lecturas:

https://www.ciset.es/seguridad-informatica/soluciones-de-seguridad-informatica

https://www.ilpabogados.com/de-que-hablamos-cuando-hablamos-de-delitos-societarios/

https://www.ilpabogados.com/guia-practica-delitos-societarios/