Àlex Soler: “Si encara no t’han ‘hackejat’, ho faran ben aviat”

BarcelonaVa començar a aprendre seguretat informàtica per mitjà de hackzines -revistes digitals per a hackers - quan es navegava per internet a velocitat de mòdem. Ara, amb 31 anys, Àlex Soler és directiu d’una de les principals empreses de ciberseguretat del país.

Les empreses us contracten perquè les pirategeu.

Pel sol fet d’estar interconnectades estan exposades i es posen a prova amb gent de confiança. Ens demanen que els diguem les seves vergonyes i, més important, que les ajudem a solucionar-les.

Les ataqueu per ensenyar-los a defensar-se.

Exacte. Però no només això, hi ha dos conceptes clau, que són militars i els van inventar els nord-americans -com tot en aquesta vida- per a les maniobres d’entrenament: el red team i el blue team [equip vermell i equip blau]. El red team és la infanteria, ataquem l’empresa i expliquem com hem entrat a un servidor, quina informació n’hem tret i fins i tot podem fer-ne una demostració en directe. Fem una auditoria durant un temps determinat i demostrem als seus tècnics què hem fet, com i la manera de poder tapar els forats de seguretat. Amb el blue team monitoritzem els sistemes de l’empresa per veure si es podrà detectar un atac. Ajudem a localitzar intrusions i intents d’intrusió; i a aplicar les mesures compensatòries que toqui. El blue team també s’encarrega de respondre als incidents, de defensar els sistemes davant d’un ransomware, per exemple. Si a una empresa li entra un ransomware i no té blue team, no té prevista la resposta, no monitoritza res i no sabrà quin impacte tindrà t’atac, ni com ha entrat i quina debilitat ha aprofitat per fer-ho.

Com pot ser que un ransomware com el WannaCry, que aprofitava una vulnerabilitat resolta feia mesos, tingués tant d’impacte?

Té un component de cuc que no s’havia pensat o provat abans i que li ha permès aquest boom. Feia anys que no vèiem un cuc així, des del 2008, amb el Conficker. Però als clients grans els costa molt tenir al dia les actualitzacions. Tenen tants sistemes d’informació connectats entre si que diuen que actualitzar pot causar problemes de compatibilitat. Hi ha sistemes industrials que encara funcionen amb Windows XP o 3.1, perquè fan servir un software que, cada vegada que actualitzes algun sistema, t’han de certificar que és compatible, i això val diners.

¿L’èxit del WannaCry impulsarà aquesta mena d’atacs?

El WannaCry marcarà un abans i un després, el ransomware serà més agressiu i afectarà més gent, que haurà de ser més conscient que ha d’actualitzar sistemes. La seguretat ha de ser contínua.

¿Hi ha alguna altra mena de programari maligne que creixi, ara?

El malware bancari, que detecta que t’estàs connectant a la web d’un banc i, per exemple, et copia la contrasenya. On hi ha diners és on sol haver-hi malware, com el que copia les targetes als caixers automàtics, però atacar l’usuari final és més fàcil i barat. També hi ha molt malware per a mòbils. Has de ser conscient que si encara no t’han hackejat, et hackejaran aviat. Avui qualsevol empresa depèn de la tecnologia, i si perd tota la informació i no en té còpies, ha de tornar a començar des de zero.

¿On és més dèbil la seguretat de la majoria d’empreses?

Les portes d’entrada acostumen a ser allò que està exposat a internet: les webs, i ara està en creixement la part mòbil. La gent pensa que un mòbil és més segur que un ordinador, però fins i tot ho pot ser menys. Ara al mòbil hi tenim tota la vida, i normalment protegida només per un PIN sovint de només quatre dígits. Amb les webs hi ha hagut molt d’intrusisme, gent que fa pàgines molt boniques però que no són conscients que fan software i si ho mires per dins hi veus un nyap. I amb una sola escletxa sovint ja tens via lliure per accedir on vulguis. El servidor de la web pot allotjar altres pàgines, o des d’allà tens visibilitat de la xarxa interna de l’organització...

Hi ha qui pot pensar que estar segur és sinònim de comprar l’última tecnologia.

Es tracta d’estar alerta. Es diu que la baula més dèbil de la seguretat és entre el teclat i el respatller de la cadira. Es poden fer atacs d’enginyeria social, com una simple trucada demanant una contrasenya o missatges de phishing. Cada estiu hi ha campanyes de spam amb el ransomware de Correus, d’Endesa; correus electrònics amb un aspecte molt semblant als de veritat però amb un fitxer que és un programa que no saps què fa. Si la gent pensés les coses dues vegades abans de fer-les, hi hauria molts problemes que no passarien.

¿Les empreses són conscients d’aquesta realitat?

Hi ha empreses madures i conscients, d’altres que comencen a treballar-hi, n’hi ha que només fan una auditoria, i tenim les que es creuen que no rebran atacs. Fins que els passa alguna cosa com el WannaCry.