SEGURIDAD INFORMÁTICA

Este contenido es exclusivo para nuestros suscriptores.

El domingo pasado a la noche los grupos de WhatsApp de profesores de UTU y Secundaria empezaron a vibrar aturdidos por una catarata de mensajes. “Ojo, parece que hackearon el sitio del Ceibal!!”. “Cuidado si llegan a abrir un mensaje de una tal María José. Deriva a páginas porno y parece que hay profesores denunciados por abuso porque les llega a los alumnos como si lo enviaran los profesores”. “Hagan la denuncia a Ceibal. Los alumnos reciben mensajes como si fueran de nosotros”. “Subieron pornografía desde la cuenta de algunos profesores; los están investigando”.

La alerta era parcialmente cierta, pues aunque no ha habido, según los datos que maneja el Plan Ceibal y la Administración Nacional de Educación Pública (ANEP), profesores denunciados, la verdad es que sí se han incrementado los ataques, sí subieron pornografía desde cuentas de profesores y sí se está investigando quiénes fueron los culpables y cómo hacer para que esto no vuelva a suceder.

El Plan Ceibal detectó un aumento de los casos de usurpación de identidad, también llamado hackeo social, desde que el coronavirusaterrizó en Uruguay el pasado 13 de marzo. Los atacantes se adueñan de cuentas de docentes y suben a la plataforma pornografía, sobre todo links; y además suelen cambiar la fotografía con la que se presenta cada profesor por imágenes del mismo tono.

Y sí, una de las culpables de todo esto, otra vez, parece ser la pandemia, puesto que se multiplicó casi por siete la cantidad de personas que utilizan Crea, pasando de 100.000 usuarios activos a 680.000. Además, se incrementó fuertemente la intensidad de uso.

Mario Caballero, gerente de Tecnologías para le Educación del Plan Ceibal, explica que “no fueron ataques al sistema, sino robos a las personas”. Y que “esto es algo que viene sucediendo por el incremento de usuarios”. También porque estos no toman los recaudos necesarios para no ser hackeados.

Pasó que hay profesores que no cambiaron sus claves de ingreso, y que estas son muy fáciles de adivinar por parte de los atacantes.

“En este contexto de crisis detectamos la existencia de una vulnerabilidad, que si bien no es un hackeo, es lo que se conoce como hackeo social. Lo que sucede es que hay una gran cantidad de usuarios que no han cambiado la contraseña que se les ha asignado por defecto y lo que se da son suplantaciones de identidad”, dice Leonardo Folgar, presidente del Plan Ceibal. Y agrega que “a través de esa modalidad se han publicado en el muro de Crea contenidos inadecuados, que van desde textos inadecuados, a imágenes inadecuadas, hasta links inapropiados”.

En abril pasado El Observador informó sobre las presencia de imágenes pornográficas dentro de la plataforma, las que fueron puestas allí por los usurpadores de la identidad de los docentes. Según supo El País, los casos se han incrementado en el pasado fin de semana. Aunque aparentemente es una cifra menor, andan en el entorno de la treintena desde el 13 de marzo, Folgar advierte que es “un llamado de alerta que hay que tener en cuenta” y que “es necesario tomar medidas”.

Al ver el incremento de ataques en estos últimos días, el Plan Ceibal ha realizado un cambio en la plataforma por el cual los usuarios se ven forzados a cambiar la contraseña al entrar por primera vez. Sin embargo, los ataques siguen sucediendo puesto que hay profesores que nunca han ingresado, y es a ellos justamente a quienes es más sencillo usurparles las cuentas. Por eso se decidió tomar medidas más drásticas.

Lo primero que hizo el Plan Ceibal para tratar de frenar los hackeos fue alertar a los profesores sobre la situación. “A los usuarios que quedaron sin cambiar la contraseña que les llegó por defecto les enviamos un mensaje por SMS, exhortándolos a que por favor entren y cambien su contraseña, para evitar que esto siga pasando”, advierte Folgar.

La medida sirvió para que varios ingresaran y modificaran su clave. Sin embargo, quedó un remanente del 5% de los usuarios que hasta la semana pasada continuaban con su contraseña puesta por defecto. Ante esta realidad se dio un paso más.

“Los estamos bloqueando”, dice Caballero. “Es un proceso que empezamos y esperamos terminar la semana que viene, y es la forma que encontramos para frenar los ataques”.

Por otro lado, están testeando un software para que ciertos contenidos que se suban a la plataforma sean detectados de inmediato. Hoy por hoy, esto ya funciona así en caso de imágenes (cuando se sube algo inadecuado salta una alarma), pero con textos (lo que incluye la copia de links a páginas pornográficas), esto no ocurre, y se depende entonces de la denuncia de los usuarios para detectar el problema.

“Estamos trabajando el uso de algoritmos para detectar cierta actividad maliciosa. Estamos calibrando y entrenando estos algoritmos. Es un tema muy delicado, de ingeniería, pero es uno de los caminos más típicos para incrementar la seguridad: tener un sistema de alerta proactiva”, explica Caballero.

El Plan Ceibal tiene un protocolo para cada vez que se vulnera la seguridad de su plataforma. Lo que se hace es bloquear las cuentas y notificar a sus verdaderos dueños de lo que está sucediendo. Luego el organismo lleva adelante una investigación interna.

“Nosotros recabamos todos los datos que podamos averiguar sobre el evento: la hora en que se hizo, el modelo del navegador desde el que se ingresó, el tipo de dispositivo que se usó. Es decir, todo lo que deja registro en el sistema. Una vez evaluado, se decide qué se hace”, advierte Caballero.

En caso de que haya una denuncia se manda todo el material a Delitos Informáticos, pero más allá de esto todos los episodios se envían al Centro Nacional de Respuestas a Incidentes de Seguridad Informática (Certuy), que releva todos los ataques contra sitios del Estado.

Delitos Informáticos del Ministerio del Interior intercede solo en casos para los que haya denuncias. Estas deben ser hechas directamente por los usuarios. “Nosotros alentamos a que las hagan, pero ellos son los que deciden”, señala Caballero.

Hoy por hoy, según señala Winston Rodríguez, el oficial principal a cargo de esa unidad, tienen solo tres casos notificados. Provienen de padres de usuarios o de profesores.

En cuanto a la procedencia de los ataques, ni las investigaciones del Plan Ceibal, ni las de Delitos Informáticos por las denuncias que recibieron, llegaron todavía a una conclusión. “Internet es un mundo enorme, pueden venir de Uruguay o de cualquier país”, señala Rodríguez.

Caballero, en tanto, advierte que “muchas veces lo que pasa es que usan IP dinámicas para que parezca que el ataque viene de otro país, pero lo hacen desde Uruguay”. Y agrega: “No se necesita ser un ingeniero para hacer esto; googleando ya encuentran como lo pueden hacer. Nuestra impresión es que son todos ataques locales”, añade. La IP (Internet Protocol) es un número que identifica de forma única la interfaz de una red, y en estos casos sirve para detectar de dónde es que viene el ataque.

Rodríguez, en tanto, señala que si bien no puede dar detalles de las investigaciones porque están en curso, “en general se trata de usuarios que ingresan a la plataforma, se meten en las clases virtuales, hacen comentarios y les cambian la foto a los usuarios”. En cuanto a si pueden ser adolescentes los que estén detrás de los ataques, nada se descarta, pero no hay pruebas de que esto así sea.