En su despacho de uno de los pisos superiores de la sede del comité organizador olímpico de París, Franz Regul no tiene dudas sobre lo que está por suceder.
«Seremos atacados», dijo Regul, quien dirige el equipo responsable de la defensa contra las amenazas cibernéticas durante los Juegos de Verano de este año en París.
Empresas y gobiernos de todo el mundo ahora tienen equipos como el de Regul operando en salas espartanas equipadas con bancos de servidores y pantallas con luces indicadoras que advierten sobre ataques de piratas informáticos entrantes. En el centro de operaciones de París hay incluso una luz roja para advertir al personal del peligro más grave.
Hasta ahora, dijo Regul, no ha habido interrupciones graves. Pero a medida que los meses entre los Juegos Olímpicos se reducen a semanas y luego a días y horas, sabe que el número de intentos de piratería y el nivel de riesgo aumentarán exponencialmente. A diferencia de las empresas y los gobiernos, que planifican ante la posibilidad de un ataque, Regul dijo que sabe exactamente cuándo esperar lo peor.
«No muchas organizaciones pueden decir que serán atacadas en julio y agosto», dijo.
Las preocupaciones de seguridad en eventos importantes como los Juegos Olímpicos suelen centrarse en amenazas físicas, como ataques terroristas. Pero a medida que la tecnología desempeña un papel cada vez más importante en la celebración de los Juegos, los organizadores olímpicos ven cada vez más los ciberataques como un peligro constante.
Las amenazas son múltiples. Los expertos dicen que grupos de hackers y países como Rusia, China, Corea del Norte e Irán ahora tienen operaciones sofisticadas capaces de desactivar no sólo computadoras y redes Wi-Fi, sino también sistemas de venta de entradas digitales, escáneres de credenciales e incluso sistemas de sincronización de eventos.
Los temores relacionados con los ataques de piratas informáticos no son sólo hipotéticos. En los Juegos Olímpicos de Invierno de Pyeongchang 2018 en Corea del Sur, un ataque exitoso casi descarriló los Juegos antes de que pudieran comenzar.
El ciberataque comenzó en una noche gélida cuando los aficionados llegaban a la ceremonia inaugural. Las señales de que algo andaba mal llegaron de repente. La red Wi-Fi, herramienta imprescindible para transmitir fotografías y noticias, se detuvo repentinamente. Al mismo tiempo, la aplicación olímpica oficial para teléfonos inteligentes (la que contenía entradas para los aficionados e información esencial sobre el transporte) dejó de funcionar, impidiendo que algunos aficionados entraran al estadio. Los drones de transmisión quedaron suspendidos y los televisores conectados a Internet destinados a mostrar imágenes de la ceremonia en todos los lugares permanecieron apagados.
Pero la ceremonia siguió adelante, al igual que los Juegos. Decenas de funcionarios de ciberseguridad trabajaron durante toda la noche para repeler el ataque y solucionar los problemas, y a la mañana siguiente había pocas señales de que se hubiera evitado una catástrofe cuando ocurrieron los primeros eventos.
Desde entonces, la amenaza a los Juegos Olímpicos no ha hecho más que aumentar. El equipo de ciberseguridad de los últimos Juegos de Verano, celebrados en Tokio en 2021, informó haber tenido que lidiar con 450 millones de intentos de “eventos de seguridad”. París espera enfrentar entre ocho y 12 veces esa cifra, dijo Regul.
Quizás para demostrar la magnitud de la amenaza, los funcionarios de ciberseguridad de París 2024 utilizan terminología militar generosamente. Describen “juegos de guerra” destinados a probar especialistas y sistemas y se refieren a comentarios de “veteranos de Corea” que se han integrado en sus defensas en evolución.
Los expertos dicen que detrás de la mayoría de los ataques cibernéticos hay múltiples actores, incluidos delincuentes que buscan retener datos a cambio de un rescate lucrativo y manifestantes que quieren resaltar una causa específica. Pero la mayoría de los expertos coinciden en que sólo los estados nacionales tienen la capacidad de lanzar los ataques más grandes.
Inicialmente se atribuyó el ataque de 2018 a Pyeongchang a Corea del Norte, el vecino antagónico de Corea del Sur, pero los expertos, incluidas agencias de Estados Unidos y Gran Bretaña, concluyeron más tarde que el verdadero culpable (ahora ampliamente aceptado que es Rusia) utilizó deliberadamente técnicas diseñadas para culpar. en otra persona.
También este año Rusia está en el centro de atención.
El equipo ruso fue excluido de los Juegos Olímpicos tras la invasión de Ucrania en 2022, aunque un pequeño grupo de rusos podrá competir como atletas neutrales. La relación de Francia con Rusia se ha deteriorado hasta el punto de que el presidente Emmanuel Macron acusó recientemente a Moscú de intentar socavar los Juegos Olímpicos mediante una campaña de desinformación.
El Comité Olímpico Internacional también señaló los intentos de grupos rusos de dañar los Juegos. En noviembre, el COI emitió una declaración inusual diciendo que había sido blanco de «publicaciones de noticias falsas» difamatorias después de que apareciera en Youtube un documental que presentaba una voz en off generada por IA que pretendía ser el actor Tom Cruise.
Posteriormente, una publicación separada en Telegram –la plataforma de mensajes y contenidos encriptados– imitó una noticia falsa transmitida por la red francesa Canal Plus y transmitió información falsa de que el COI planeaba excluir a los equipos israelíes y palestinos de los Juegos Olímpicos de París.
A principios de este año, unos bromistas rusos, haciéndose pasar por un alto funcionario africano, lograron ponerse en contacto por teléfono con Thomas Bach, presidente del COI. La llamada fue grabada y publicada a principios de este mes. Rusia aprovechó los comentarios de Bach para acusar a los funcionarios olímpicos de estar involucrados en una «conspiración» para mantener a su equipo fuera de los Juegos.
En 2019, según Microsoft, piratas informáticos estatales rusos atacaron las redes informáticas de al menos 16 organizaciones deportivas y antidopaje nacionales e internacionales, incluida la Agencia Mundial Antidopaje, que en ese momento estaba a punto de anunciar castigos contra Rusia relacionados con su influencia del estado. programa antidopaje apoyado.
Tres años antes, Rusia había atacado a los funcionarios antidopaje en los Juegos Olímpicos de Verano en Río de Janeiro. Según acusaciones de varios oficiales de inteligencia militar rusos presentadas por el Departamento de Justicia de Estados Unidos, los agentes en ese incidente falsificaron las redes Wi-Fi de hoteles utilizadas por funcionarios antidopaje en Brasil para penetrar con éxito las redes de correo electrónico y las bases de datos de su organización.
Ciaran Martin, quien fue el primer director ejecutivo del centro nacional de seguridad cibernética de Gran Bretaña, dijo que el comportamiento pasado de Rusia la convertía en «la amenaza disruptiva más obvia» para los Juegos de París. Dijo que las áreas que podrían ser atacadas incluyen la programación de eventos, la transmisión pública y los sistemas de venta de entradas.
«Imagínese si todos los atletas llegaran a tiempo, pero el sistema de escaneo del iPhone en la puerta no funcionara», dijo Martin, quien ahora es profesor en la Escuela de Gobierno Blavatnik de la Universidad de Oxford.
“¿Pasamos con el estadio medio vacío o nos demoramos?” Añadió. “Incluso estar en esa posición en la que tienes que retrasar o tener a atletas de clase mundial en el evento más importante de sus vidas actuando frente a un estadio medio vacío, es absolutamente un fracaso..”
Regul, jefe de ciberseguridad de París, se negó a especular sobre naciones específicas que podrían tener como objetivo los Juegos de este verano. Pero dijo que los organizadores se estaban preparando para contrarrestar los métodos específicos de cada país que plantean una «fuerte amenaza cibernética».
Este año, los organizadores en París llevaron a cabo lo que llamaron «juegos de guerra» en colaboración con el COI y socios como Atos, el socio tecnológico oficial de los Juegos, para prepararse para los ataques. En estos ejercicios, se contrata a los llamados piratas informáticos éticos para atacar los sistemas utilizados para los Juegos, y se ofrecen “recompensas por errores” a quienes descubran vulnerabilidades.
Los piratas informáticos ya han atacado a organizaciones deportivas con correos electrónicos maliciosos, personajes ficticios, contraseñas robadas y malware. Desde el año pasado, los nuevos empleados del comité organizador de París han recibido capacitación para detectar estafas de phishing.
“No todo el mundo es bueno”, dijo Regul.
En al menos un caso, un miembro del personal de los Juegos pagó una factura a una cuenta después de recibir un correo electrónico haciéndose pasar por otro funcionario del comité. Los miembros del personal de ciberseguridad también descubrieron una cuenta de correo electrónico que intentaba hacerse pasar por la asignada al jefe de París 2024, Tony Estanguet.
Se avecinan millones de intentos más. Los ciberataques han sido típicamente “armas de irritación masiva más que armas de destrucción masiva”, dijo Martin, el ex funcionario británico de ciberseguridad.
“En el peor de los casos”, dijo, “eran armas de desorden masivo”.
