PARÍS. En su oficina en uno de los pisos superiores de la sede del Comité Organizador Olímpico de París, Franz Regul no tiene dudas de lo que se avecina. “Seremos atacados”, dijo Regul, quien dirige el equipo responsable de protegerse de las amenazas cibernéticas contra los Juegos de este año en París.
Ahora, todas las empresas y gobiernos de todo el mundo tienen equipos como el de Regul, que operan en salas espartanas equipadas con bancos de servidores informáticos y pantallas con luces indicadoras que advierten sobre ataques de piratería entrantes. En el centro de operaciones de París, incluso, hay una luz roja para alertar al personal del peligro más grave.
Hasta ahora, dijo Regul, no ha habido interrupciones graves. Pero a medida que los meses hasta los Juegos Olímpicos se convierten en semanas y luego días y horas, él sabe que la cantidad de intentos de piratería y el nivel de riesgo aumentarán exponencialmente. Sin embargo, a diferencia de las empresas y los gobiernos, que planifican ante la posibilidad de un ataque, Regul dijo que sabía exactamente cuándo esperar lo peor. “No hay muchas organizaciones que puedan decir que serán atacadas en julio y agosto”, afirmó.
Las preocupaciones sobre la seguridad en eventos importantes como los Juegos Olímpicos generalmente se han centrado en amenazas físicas, como ataques terroristas. Pero a medida que la tecnología juega un papel cada vez más importante en el desarrollo de los Juegos, los organizadores olímpicos ven cada vez más los ataques cibernéticos como un peligro más constante.
Las amenazas son múltiples. Los expertos dicen que los grupos de hackers y países como Rusia, China, Corea del Norte e Irán ahora tienen operaciones sofisticadas capaces de desactivar no sólo las redes informáticas y Wi-Fi, sino también los sistemas de venta de entradas digitales, los escáneres de credenciales e incluso los sistemas de cronometraje de los eventos.
El antecedente de Corea del Sur 2018
Los temores sobre los ataques de piratería no son sólo hipotéticos. En los Juegos Olímpicos de Invierno de Pyeongchang 2018 en Corea del Sur, un ataque exitoso casi descarriló los Juegos antes de que pudieran comenzar.
Ese ciberataque comenzó una noche gélida cuando los fanáticos llegaban a la ceremonia de apertura. Las señales de que algo andaba mal llegaron todas a la vez. La red Wi-Fi, herramienta imprescindible para transmitir fotografías y coberturas informativas, se cayó repentinamente. Al mismo tiempo, la aplicación oficial de los Juegos Olímpicos para teléfonos inteligentes (la que contenía las entradas de los aficionados y la información esencial de transporte) dejó de funcionar, impidiendo que algunos aficionados entraran al estadio. Los drones de transmisión quedaron en tierra y los televisores conectados a Internet destinados a mostrar imágenes de la ceremonia en todos los lugares se quedaron en blanco.
El equipo de ciberseguridad en los últimos Juegos de Verano, en Tokio en 2021, informó que enfrentó 450 millones de intentos de “eventos de seguridad”. París espera enfrentar entre ocho y 12 veces esa cifra.
Pero la ceremonia siguió adelante, al igual que los Juegos. Docenas de funcionarios de ciberseguridad trabajaron durante toda la noche para repeler el ataque y solucionar los fallos, y a la mañana siguiente había pocas señales de que se hubiera evitado una catástrofe cuando comenzaron los primeros acontecimientos.
Desde entonces, la amenaza a los Juegos Olímpicos no ha hecho más que crecer. El equipo de ciberseguridad en los últimos Juegos de Verano, en Tokio en 2021, informó que enfrentó 450 millones de intentos de “eventos de seguridad”. París espera enfrentar entre ocho y 12 veces esa cifra, dijo Regul.
Quizás para demostrar la magnitud de la amenaza, los funcionarios de ciberseguridad de París 2024 utilizan libremente terminología militar. Describen “juegos de guerra” destinados a probar especialistas y sistemas, y se refieren a comentarios de “veteranos de Corea” que se han integrado en sus defensas en evolución.
Los expertos dicen que una variedad de actores están detrás de la mayoría de los ataques cibernéticos, incluidos delincuentes que intentan retener datos a cambio de un rescate lucrativo y manifestantes que quieren resaltar una causa específica. Pero la mayoría de los expertos coinciden en que sólo los estados nacionales tienen la capacidad de llevar a cabo los mayores ataques.
Inicialmente se atribuyó el ataque de 2018 en Pyeongchang a Corea del Norte, el vecino antagónico de Corea del Sur. Pero los expertos, incluidas agencias de Estados Unidos y Gran Bretaña, concluyeron más tarde que el verdadero culpable (ahora ampliamente aceptado que es Rusia) utilizó deliberadamente técnicas diseñadas para culpar a otra persona.
Este año, Rusia vuelve a ser el foco de atención.
El equipo de Rusia ha sido excluido de los Juegos Olímpicos tras la invasión de Ucrania por parte del país en 2022, aunque a un pequeño grupo de rusos se le permitirá competir como atletas neutrales. La relación de Francia con Rusia se ha deteriorado tanto que el presidente Emmanuel Macron acusó recientemente a Moscú de intentar socavar los Juegos Olímpicos mediante una campaña de desinformación.
El Comité Olímpico Internacional también ha señalado los intentos de grupos rusos de dañar los Juegos. En noviembre, el COI emitió una declaración inusual diciendo que había sido blanco de “publicaciones de noticias falsas” difamatorias después de que apareciera en YouTube un documental que presentaba una voz en off generada por inteligencia artificial que pretendía ser el actor Tom Cruise.
En 2019, según Microsoft, piratas informáticos estatales rusos atacaron las redes informáticas de al menos 16 organizaciones deportivas y antidopaje nacionales e internacionales, incluida la Agencia Mundial Antidopaje, que en ese momento estaba a punto de anunciar castigos contra Rusia relacionados con su programa de dopaje respaldado por el estado.
Tres años antes, Rusia había atacado a los funcionarios antidopaje en los Juegos Olímpicos de Verano de Río de Janeiro. Según acusaciones de varios oficiales de inteligencia militar rusos presentadas por el Departamento de Justicia de Estados Unidos, los agentes en ese incidente falsificaron las redes Wi-Fi de hoteles utilizadas por funcionarios antidopaje en Brasil para penetrar con éxito las redes de correo electrónico y las bases de datos de su organización.
Ciaran Martin, quien fue el primer director ejecutivo del centro nacional de ciberseguridad de Gran Bretaña, dijo que el comportamiento pasado de Rusia la convirtió en “la amenaza disruptiva más obvia” en los Juegos de París. Dijo que las áreas que podrían ser atacadas incluían la programación de eventos, transmisiones públicas y sistemas de venta de entradas.
“Imagínese si todos los atletas llegaran a tiempo, pero el sistema que escanea los iPhones en la puerta no funciona”, dijo Martin, quien ahora es profesor en la Escuela de Gobierno Blavatnik de la Universidad de Oxford.
“¿Seguirán adelante con el estadio medio vacío o nos retrasaremos?” añadió. “Incluso, estar en esa posición en la que hay que retrasarlo o tener atletas de clase mundial en el evento más importante de sus vidas actuando frente a un estadio medio vacío, eso es absolutamente un fracaso”
Regul, el jefe de ciberseguridad de París, se negó a especular sobre alguna nación específica que pudiera tener como objetivo los Juegos de este verano. Pero dijo que los organizadores se estaban preparando para contrarrestar métodos específicos de países que representan una “fuerte amenaza cibernética”.
Este año, los organizadores de París han estado realizando “Juegos de Guerra” junto con el COI y socios como Atos, el socio tecnológico oficial de los Juegos, para prepararse para los ataques. En esos ejercicios, se contrata a los llamados piratas informáticos éticos para atacar los sistemas utilizados para los Juegos, y se ofrecen “recompensas por errores” a quienes descubren vulnerabilidades.
Anteriormente, los piratas informáticos se habían dirigido a organizaciones deportivas con correos electrónicos maliciosos, personajes ficticios, contraseñas robadas y malware. Desde el año pasado, los nuevos empleados del comité organizador de París han recibido capacitación para detectar estafas de phishing.
“No todo el mundo es bueno”, dijo Regul.
En al menos un caso, un miembro del personal de los Juegos pagó una factura a una cuenta después de recibir un correo electrónico haciéndose pasar por otro funcionario del comité. Los miembros del personal de ciberseguridad también descubrieron una cuenta de correo electrónico que intentaba hacerse pasar por la asignada al jefe de París 2024, Tony Estanguet.
Se avecinan millones de intentos más. Los ciberataques han sido típicamente “armas de irritación masiva más que armas de destrucción masiva”, dijo Martin, el ex funcionario británico de ciberseguridad.
“En el peor de los casos”, dijo, “han sido armas de alteración masiva”.
