El robo de herramientas de piratería de la CIA pone de relieve la seguridad laxa de la agencia de espionaje

La CIA aún no sabe el alcance exacto de su violación de datos sin precedentes de 2016. Photo: CIA

Las agencias de inteligencia estadounidenses aún se están quedando cortas en materia de seguridad, años después de las filtraciones de datos de alto perfil de Edward Snowden, Chelsea Manning y Joshua Schulte, según un miembro del Comité de Inteligencia del Senado de EE. UU. en un carta al Director de Inteligencia Nacional John Ratcliffe, el Senador Ron Wyden utiliza un informe interno de 2017 de la CIA para detallar las formas en que la comunidad de inteligencia ha fallado continuamente en protegerse a sí misma.

La comunidad de inteligencia aún se está quedando atrás y no ha logrado adoptar ni siquiera las tecnologías de ciberseguridad más básicas de uso generalizado en otras partes del gobierno federal, escribe Wyden.

El informe, que fue obtenido en forma redactada por el Washington Post , detalla cómo la unidad de piratería de élite de la agencia favoreció la construcción de armas cibernéticas ofensivas mientras que no pudo proteger algunos de sus sistemas más importantes, un patrón que condujo al robo de herramientas de piratería en 2016 que WikiLeaks luego publicó con el nombre de Vault 7. Funcionarios estadounidenses dijo que fue la mayor pérdida de datos en la historia de la CIA.

En su carta, Wyden afirma que las fallas continúan, identifica tres fallas específicas como ejemplos y argumenta que el Congreso debería hacer que las agencias de inteligencia estén sujetas a los requisitos federales normales de seguridad cibernética.

Desafortunadamente, ahora está claro que eximir a la comunidad de inteligencia de los requisitos básicos de seguridad cibernética federal fue un error, escribe.

Una tormenta de deficiencias

El informe de la CIA de 2017 documenta un incidente en el que WikiLeaks publicó más de 8000 páginas de documentos de Vault 7 que dieron una visión sin precedentes de las capacidades de la agencia para piratear varios sistemas operativos, teléfonos móviles y aplicaciones de mensajería. El ex empleado de la CIA, Schulte, fue acusado más tarde y se declaró inocente de robar el tesoro de herramientas de piratería y luego entregárselas a WikiLeaks para su publicación. En marzo, Schulte fue declarado culpable de desacato al tribunal y de hacer declaraciones falsas al FBI, pero el jurado del juicio permaneció en un punto muerto sobre si había recopilado y transmitido ilegalmente información de defensa nacional. Después de que se declaró un juicio nulo, Schulte enfrenta la perspectiva de un nuevo juicio.

El robo estaba dirigido a la unidad de piratería de élite de la CIA, conocida como el Centro de Inteligencia Cibernética, y el informe interno decía que la agencia podría nunca haberse enterado del robo de hasta 34 terabytes de datos si no se hubiera publicado. De hecho, la agencia admite que aún no conoce el alcance exacto de la pérdida porque los sistemas de la misión que fueron atacados no requerían monitoreo de actividad u otras salvaguardas.

El informe hizo un contraste entre las profundas fallas de seguridad en los sistemas de misión de la unidad de piratería de CCI y el éxito general de seguridad cibernética en los sistemas empresariales de la CIA, que representan la mayor parte de la red informática de la CIA.

El informe dice que las armas cibernéticas de esa unidad estaban ampliamente abiertas a cualquier persona con acceso a la red de la misión, y la red carecía de capacidades normales de monitoreo y auditoría. Una tormenta de deficiencias permitió que la seguridad cayera muy abajo en la lista de prioridades.

Si bien la CIA fue uno de los primeros líderes en asegurar nuestro sistema de tecnología de la información empresarial, no pudimos corregir las vulnerabilidades agudas, se lee en el informe. Las prácticas de seguridad diarias se habían vuelto lamentablemente laxas.

fallas de seguridad

Los comentarios muestran que incluso algunos de los piratas informáticos ofensivos mejor financiados y altamente capacitados del mundo luchan mucho en la defensa.

Para las agencias de espionaje estadounidenses, la última década estuvo marcada por múltiples violaciones de datos de alto perfil seguidas de repetidos llamados a un cambio sistémico en ciberseguridad. Las agencias de inteligencia como la CIA y la Agencia de Seguridad Nacional estaban exentas de las reglas que el Congreso impuso al resto del gobierno federal. La expectativa era que superarían fácilmente esos estándares, pero eso no ha sucedido.

De hecho, un organismo de control de la comunidad de inteligencia estadounidense emitió un reporte en 2019 instando a las agencias a mejorar sus controles sobre el material clasificado, especialmente contra el tipo de amenazas internas que han marcado la última década, incluida la filtración de documentos de la NSA por parte de Snowden y la filtración de documentos estadounidenses clasificados por parte de Manning relacionados con la guerra de Irak.

Entre los problemas destacados por Wyden está el hecho de que la comunidad de inteligencia no adoptó DMARC, un protocolo de autenticación de correo electrónico que protege contra ataques de phishing comunes y altamente efectivos, a pesar de una directiva de 2017 que requiere que las agencias federales lo hagan.

Mientras tanto, las agencias de inteligencia aún tienen que asegurar los dominios .gov con autenticación multifactor, a pesar de una advertencia en enero de 2019 del Departamento de Seguridad Nacional de que el sistema estaba siendo atacado por piratas informáticos iraníes.

Un informe del Inspector General de la Comunidad de Inteligencia publicado en 2019 concluyó que las agencias siguen sin abordar 20 recomendaciones relacionadas con la seguridad, pero que permanecen clasificadas.

Si hay buenas noticias para la CIA en el informe redactado, tiene que ver con la carpeta dorada de los archivos más confidenciales de la agencia, incluidas todas las herramientas de piratería y el código fuente. Este material no fue robado, concluyó el grupo de trabajo interno, gracias a una protección más fuerte y al hecho de que era demasiado grande para exportarlo fácilmente.

El Director de Inteligencia Nacional recibió la carta de Wyden y actualmente está trabajando en una respuesta, pero finalmente depende del Congreso decidir si las agencias de inteligencia estadounidenses necesitan nuevas reglas para que puedan cumplir con los mismos estándares de ciberseguridad que el resto del gobierno federal.

El artículo se actualizó para aclarar la distinción entre fallas de seguridad específicamente en CCI, una unidad de piratería de élite dentro de la CIA, en contraste con los sistemas de TI empresariales más grandes de la CIA.

esconder