Cuando los ciberdelincuentes intentan subvertir la decisión de los ciudadanos
Se avecinan semanas de intensa actividad en las que se elegirán nuevos representantes públicos a nivel local, nacional o incluso europeo. Representantes que se encargarán de conformar gobiernos y gestionar nuestro futuro en los próximos cuatro años. A nivel nacional prácticamente en dos semanas nos enfrentaremos a elecciones al Congreso de los Diputados y del Senado, y apenas un mes después se producirán las elecciones autonómicas, municipales y europeas.
El gobierno español, y con él la Junta Electoral Central, debe prepararse para velar por la transparencia, seguridad y confiabilidad de todos estos procesos. Sin embargo, y teniendo en cuenta la influencia que la tecnología tiene en los preparativos, la pregunta que nos planteamos es ¿cómo un gobierno hace para proteger, desde un punto de vista tecnológico, un proceso electoral?
Quizás, antes de continuar, deberíamos pensar en cuáles son los elementos clave en todo este escenario. Y antes de ello, incluso, en cuales son las motivaciones que llevan a intentar alterar los resultados. Algunos estudios han puesto de manifiesto que existen cinco razones que, individualmente o combinadas entre sí, “justifican” el intento de vulnerar un proceso electoral: (1) la alteración de los resultados; (2) la deslegitimación del proceso democrático; (3) el descrédito de las instituciones y los políticos; (4) la intimidación de gobiernos frente a relaciones internacionales; y (5) el debilitamiento de la credibilidad internacional.
La cadena del voto
El papel de la ciberseguridad en los procesos electorales es clave —si no crítico— porque afecta a muchos elementos de la cadena de votación incluyendo a los propios votantes, los dispositivos electrónicos utilizados para el voto —donde los haya—, los registros de potenciales electores, el listado de candidatos, los recuentos, las transmisiones de los datos a las juntas electorales centrales, la publicación de los resultados, etc. A ello debemos enfrentar los modelos de amenazas que existen en estos procesos y que pueden ir desde la explotación de vulnerabilidades de los sistemas informáticos, a los ataques de phishing, la denegación de servicios —por ejemplo, en la publicación de resultados— o incluso las fake news —como elemento previo a la propia votación y que tiene como objetivo influir en el votante o en los políticos.
Con estas premisas, no resultaría difícil concluir que se trata de razones “convincentes” que encuentran su “talón de Aquiles” en dos elementos estratégicos que deben ser protegidos: las personas y los datos. Las primeras porque resulta prioritario afianzar la libertad de decisión de los electores. Los segundos porque debe garantizarse la integridad y confiabilidad en el sistema.
Fake news o desinformación
Las campañas de desinformación o fake news son uno de los elementos que más han sido utilizadas para influir en la decisión de los votantes. Las sospechas de entidades gubernamentales o empresariales externas —o incluso internas— por dirigir la opinión de los ciudadanos hacia intereses espurios han sido últimamente, y por desgracia, una tónica habitual. Granjas de usuarios ficticios distribuyendo noticias y opiniones manipuladas, o sencillamente falsas, han proliferado entre las redes sociales que se han visto desbordadas por las críticas y las peticiones de control desde los organismos públicos. Y es que, visto desde la perspectiva del atacante, no resulta una mala estrategia tratar de influir sobre la decisión del votante si con ello se consigue no tener que hackear las infraestructuras que velan por los datos del proceso.
Así pues, técnicas como la desinformación se han convertido en herramientas tecnológicas habitualmente empleadas por aquellos que tratan de influir en el resultado electoral. Y entre ellos incluimos el uso de información personal para enfocar el mensaje político o incluso la censura de debates políticos en redes sociales.
Hace pocos meses, la Comisión Europea ha obligado a redes sociales como Facebook, Twitter o Google a implantar códigos de buenas prácticas en materia de desinformación sin embargo los resultados aún están por demostrarse. No existen herramientas para automatizar el reconocimiento de noticias falsas que por otra parte sí tienen automatismos para propagarse de forma masiva. Se trata, a día de hoy, de una lucha desigual.
Por otro lado, están los datos. Recientemente hemos visto como el Senado aprobaba una nueva Ley de Protección de Datos Personales que permitía a los partidos políticos rastrear datos y opiniones en redes sin el consentimiento de la persona afectada para hacer perfiles ideológicos y personalizar la propaganda que les llega. Se trata esta de una “ventana a un campo” poco explorado y que puede llevar a prácticas cuanto menos dudosas como las detectadas en Cambridge Analytica que diseñó campañas en las elecciones presidenciales norteamericanas a través de algoritmos avanzados de inteligencia artificial para dirigir el voto de los ciudadanos.
Ataques a candidatos y servicios electorales
Pero los votantes no son los únicos afectados. También los candidatos son objetivos deseados dentro del proceso de subversión de unas elecciones. Hace apenas unos meses leíamos como las autoridades alemanas informaban del hackeo de información personal de más de mil políticos de su parlamento, desde el presidente de la república, pasando por la canciller y continuando por los líderes de la oposición. El incidente puso de manifiesto lo sencillo que podría ser acceder a un sistema y producir un daño significativo a la imagen de los candidatos, aparte de su uso para influir en los electores durante una campaña electoral. Y es que las instituciones y los partidos políticos son algunos de los eslabones débiles de esta cadena —y aquí no excluimos las luchas internas y muestras de integridad de unos y otros a través de demostraciones de que sus servicios telemáticos están debidamente protegidos.
Pero volvamos a los datos. Desde hace algunos años, numerosos procesos electorales se han visto amenazados —cuando no afectados— por incidentes de ciberseguridad. Por ejemplo, en 2014, durante las elecciones en Polonia, se produjo un ciberataque que obligó al chequeo manual de las votaciones para hacer el recuento electoral. Más recientemente, en 2015, durante las últimas elecciones europeas, se produjo un ataque de DDoS que mantuvo inactivo el servicio web de las autoridades búlgaras durante varias horas. En 2017, durante la campaña a las elecciones presidenciales de Francia, se produjo un ciberataque a la infraestructura del candidato, y actual presidente, Emmanuel Macron. Ese mismo año, el servicio electoral de la República Checa se vio afectado por un ataque de denegación de servicio. Y así con un largo etcétera. La realidad es que allí donde un elemento tecnológico tiene un rol asignado dentro del proceso electoral, es posible encontrar un potencial punto de riesgo de ciberataque.
Sin embargo, no todos los países se ven afectados de igual manera, ni todos afrontan esta problemática de forma idéntica. Algunos países utilizan el voto electrónico de forma masiva a través de urnas electrónicas donde el voto se deposita a través de papeletas marcadas en papel con lápices de colores que son leídas con tecnologías como OCR; otros países permiten la votación de forma completamente online utilizando identidades digitales; y una gran mayoría, como en España, establece un procedimiento con papeletas en papel y recuentos netamente manuales. De cualquier forma, cuanto más digitalizado esté el proceso mayor será lo que se conoce como la “superficie de ataque”.
Medidas y recomendaciones
Algunos organismos como la IFES (International Foundation for Electoral Systems) vienen trabajando en cómo proteger los procesos electorales desde el punto de vista de los posibles ciberataques. De facto ha definido una metodología, conocida como HEAT, que marca las pautas a seguir a la hora plantear medidas contra las posibles amenazas. También la Comisión Europea ha elaborado un compendio de las experiencias recogidas por diferentes países en cuanto a las medidas prácticas que la organización de un proceso electoral debe tener en cuenta y que afectan a los datos de electores y candidatos, las herramientas utilizadas para recoger los votos, los procedimientos utilizados para enviar, procesar y contar los votos, los sistemas utilizados para publicitar los resultados, así como otros servicios de apoyo al proceso. Todos ellos forman parte de un estudio realizado por un grupo de cooperación europeo que bajo la directiva NIS permite compartir e intercambiar experiencias entre los Estados miembros.
Entre las medidas recomendadas por la Comisión Europea se encuentra la definición de un enfoque unificado para garantizar la integridad de los datos (por ejemplo, utilizando elementos criptográficos), el control de la cadena de suministros de los elementos tecnológicos (incluyendo el desarrollo seguro de aplicaciones de soporte o incluso de recuento) o el testeo y las pruebas piloto antes de su utilización real (realizando pruebas de pentesting de seguridad). Otras medidas tecnológicas incluyen la protección frente a ataques de DDoS, el control del acceso a los sistemas, la integridad y seguridad en la transmisión de los datos, el análisis y monitorización del tráfico de las redes, la segmentación de redes por niveles de seguridad y los procedimientos y procesos de respuesta ante incidentes y copias de seguridad y recuperación de datos en caso de necesidad.
Recientemente ENISA ha publicado una docena de recomendaciones que sirven de directrices generales a seguir cara a un proceso electoral y que recopilan gran parte de los puntos aquí mencionados —incluso algunos otros más. Todos son clave a la hora proteger el acto democrático de depositar el voto y tener garantías de que será valorado de acuerdo al procedimiento electoral definido, sin otras intromisiones.
Lo importante, sin embargo, es que las votaciones se producen cada cuatro años. Y quién sabe si lo que hoy sirve para un proceso electoral estará tecnológicamente anticuado en una posible votación futura.
Mientras tanto, deberemos pensar, al menos a nivel nacional, en las soluciones informáticas que actualmente dan apoyo a nuestro proceso electoral y que se centran en la protección de la identidad de los votantes y en gestionar —una vez realizado el recuento de los votos— la transmisión de las actas, las herramientas, las aplicaciones y los servicios desplegados en los centros de recopilación de datos y, como no, la publicación de los resultados finales.
Esperemos que llegado el momento todos ellos se muestren como elementos seguros.
