En las películas, puedes distinguir a los mejores hackers por cómo escriben. Cuanto más rápido presionan las teclas, más peligrosos son. La piratería se presenta como una hazaña altamente técnica, un fenómeno tecnológico por excelencia.
Esta impresión de hechicería de alta tecnología impregna no solo nuestra cultura popular, sino también nuestros intentos del mundo real para combatir el delito cibernético. Si el cibercrimen es una hazaña sofisticada de alta tecnología, asumimos que la solución también debe serlo. Las empresas de ciberseguridad promocionan herramientas propietarias como cortafuegos de «próxima generación», software antimalware y sistemas de detección de intrusos. Expertos en políticas como John Ratcliffe, ex director de inteligencia nacional, nos instan a invertir recursos públicos en un «Proyecto Cyber Manhattan» enormemente costoso que potenciará nuestras capacidades digitales.
Pero todo este concepto está equivocado. Los principios de la informática dictan que existen límites estrictos e inherentes a cuánto puede ayudar la tecnología. Sí, puede dificultar la piratería, pero no puede, ni siquiera en teoría, detenerla. Además, la historia de la piratería muestra que las vulnerabilidades que explotan los piratas informáticos son a menudo tan humanas como técnicas, no solo las peculiaridades cognitivas descubiertas por los economistas del comportamiento, sino también vicios pasados de moda como la codicia y la pereza.
Para estar seguro, debe habilitar la autenticación de dos factores e instalar las actualizaciones de software que ha estado posponiendo. Pero muchas de las amenazas a las que nos enfrentamos tienen sus raíces en la naturaleza del comportamiento humano y grupal. Las soluciones también deberán ser sociales: programas de creación de empleo, reforma de responsabilidad de software, regulación de criptomonedas y similares.
Durante los últimos cuatro años, he impartido una clase de seguridad cibernética en la Facultad de Derecho de Yale en la que les mostré a mis alumnos cómo ingresar a las computadoras. Habiendo crecido con una web fácil de usar, mis alumnos generalmente no tienen una idea real de cómo funcionan Internet o las computadoras. Se sorprenden al descubrir la facilidad con la que aprenden a hackear y lo mucho que lo disfrutan. (Yo también lo hice, y no pirateé una computadora hasta que tuve 52 años). Al final del semestre, están descifrando contraseñas, clonando sitios web y colapsando servidores.
¿Por qué enseño a jóvenes idealistas cómo llevar una vida de ciberdelincuencia? Muchos de mis alumnos seguirán carreras en el gobierno o en bufetes de abogados cuyos clientes incluyen importantes empresas de tecnología. Quiero que estos abogados en ciernes entiendan los problemas de sus clientes. Pero mi objetivo principal es poner la experiencia técnica en su lugar: quiero que mis alumnos se den cuenta de que la tecnología por sí sola no es suficiente para resolver los problemas que enfrentamos.
Comencé mi clase explicando el principio fundamental de la informática moderna: la distinción entre código y datos. El código es un conjunto de instrucciones: «agregar», «imprimir mi currículum», «cerrar la puerta». Los datos son información. Los datos generalmente se representan con números (la temperatura es 80 grados), código por palabras («añadir»). Pero en 1936, el matemático británico Alan Turing descubrió que el código también podía representarse mediante números. De hecho, Turing pudo mostrar cómo representar tanto el código como los datos usando solo unos y ceros, las llamadas cadenas binarias.
Esta visión innovadora hace que las computadoras modernas sean posibles. No necesitamos reconstruir nuestras computadoras para cada nuevo programa. Podemos alimentar nuestros dispositivos con cualquier código que queramos como cadenas binarias y ejecutar ese programa. Sin embargo, que los ceros y los unos puedan representar tanto el código como los datos es una bendición y una maldición, ya que permite a los piratas informáticos engañar a las computadoras que esperan datos para que acepten y ejecuten código malicioso en su lugar.
Considere un truco simple que les enseño a mis alumnos. Un atacante envía un correo electrónico que tiene un archivo adjunto. Debido a que el archivo tiene una extensión «.txt», asumimos que es un archivo de texto sin formato, es decir, datos, tal vez una lista de compras o calificaciones en un examen final. Pero cuando abrimos el archivo, el sistema operativo no solo enviará los datos a la pantalla, sino que también ejecutará el código malicioso que el hacker ha incrustado en secreto, permitiéndole tomar el control de su computadora.
Puede instalar software de seguridad para reducir este riesgo. Pero para eliminar el riesgo, tendría que evitar que las computadoras traten los números binarios como código y datos, lo que significaría evitar que sean computadoras modernas.
La buena noticia es que existen formas prometedoras de abordar las dimensiones humanas del problema, es decir, los aspectos sociales, económicos y psicológicos. La mala noticia es que en gran medida hemos fallado en perseguirlos.
Considera la responsabilidad legal. La ley ofrece pocos incentivos para que los desarrolladores de software escriban código mejor y más seguro. Rara vez impone sanciones sustanciales por violaciones de datos, lo que significa que las empresas de tecnología carecen de una motivación financiera para tomarse la seguridad en serio. La empresa estadounidense mediana presupuesta el 10 por ciento para TI y el 24 por ciento en seguridad. Eso es aproximadamente el 2 por ciento destinado a proteger actividades que las empresas entienden, correctamente, que son críticas para sus operaciones.
Podemos cambiar ese cálculo empresarial. Deberíamos, por ejemplo, responsabilizar financieramente a las empresas de software por crear software inseguro de manera negligente, una propuesta respaldada recientemente por la Estrategia Nacional de Seguridad Cibernética del presidente Biden. En lugar de desembolsar dinero para que las empresas privadas arreglen la mala tecnología, los legisladores deberían hacer que produzcan buena tecnología en primer lugar.
También podemos ayudar a los propios piratas informáticos. A menudo se piensa que los piratas informáticos son jóvenes brillantes y descontentos que viven en los sótanos de sus padres y causan estragos por pura diversión. La verdad es más familiar. Los ciberdelincuentes, en general, buscan ganarse la vida, a menudo en ausencia de formas legítimas de usar sus habilidades.
Los programas de desvío en Gran Bretaña y los Países Bajos organizan competencias de piratería en las que equipos de codificadores compiten para piratear una red objetivo; estos programas también buscan emparejar codificadores con personal de seguridad más antiguo para que actúen como mentores y dirijan sus cargos a la industria legítima de la ciberseguridad. En este momento, con aproximadamente 3,5 millones de puestos de trabajo vacantes en todo el mundo, un atacante menos es un defensor más que se necesita desesperadamente.
Hacia el final del semestre, mi clase cubre las criptomonedas, el «dinero» favorito de los ciberdelincuentes. Abrir una cuenta de criptomonedas debería ser como abrir una cuenta bancaria: los clientes deben proporcionar su número de Seguro Social, identificación emitida por el gobierno y otros datos de identificación personal. Si bien la ley de EE. UU. requiere que la mayoría de las empresas de criptomonedas sigan dichas reglas de divulgación, exime a ciertos corredores de recopilar esta información, y a los ciberdelincuentes les gusta usar esos corredores para escapar de la detección.
Descubrir cómo funciona la piratería es la parte fácil. Descubrir cómo funcionan los humanos y qué hacer al respecto es la parte difícil. E incluso cuando lo hacemos bien, debemos recordar que ni la tecnología ni la regulación son una panacea. En el siglo XXI, el delito cibernético es cada vez más solo un delito, y no hay forma de poner fin a la falla más humana.
Scott J. Shapiro (@scottjshapiro) es profesor de derecho y filosofía en la Facultad de Derecho de Yale y director del Laboratorio de Ciberseguridad de Yale. Es el autor del próximo libro «Fancy Bear Goes Phishing: The Dark History of the Information Age, in Five Extraordinary Hacks», del cual se adapta este ensayo.
The Times se compromete a publicar una diversidad de letras al editor. Nos gustaría saber qué piensas sobre este o cualquiera de nuestros artículos. Aquí están algunas consejos. Y aquí está nuestro correo electrónico: cartas@nytimes.com.
Siga la sección de opinión de The New York Times en Facebook, Twitter (@NYTopinion) y Instagram.
