Estamos a unos días de celebrarse las elecciones presidenciales de los Estados Unidos, mientras que en México ya comenzó de manera formal el proceso electoral federal del 2020 y 2021 siendo el “más grande y complejo” de la historia.  En 2018, la mitad de todas las democracias avanzadas que celebraron elecciones nacionales tuvieron su proceso democrático dirigido por la actividad de amenaza cibernética.

De acuerdo con el último estudio Consideraciones de Ciberseguridad del proceso democrático para América Latina y el Caribe realizado por la Organización de los Estados Americanos (OEA) en 2019,  cerca del 60% de los Estados Miembros indicó que su país no tiene un grupo de trabajo o un comité de ciberseguridad responsable de asegurar el proceso democrático. Es perfectamente comprensible que, dependiendo del tamaño y los recursos de cada país, el comité de ciberseguridad pueda variar en términos de tamaño y capacidades. Además, el 50% de los encuestados, sin un grupo de trabajo o un comité electoral de ciberseguridad con un mandato cibernético, tampoco espera tenerlo antes del próximo ciclo electoral.

Este panorama exige mayores esfuerzos de sensibilización y comunicación para que los responsables de la toma de decisiones puedan comprender la urgencia en torno a la inclusión de medidas de ciberseguridad en apoyo de cualquier proceso democrático.

De acuerdo con Dave Klein, director sénior de ciberseguridad en Guardicore, las ciberamenazas en tiempos electorales afectan tanto al mismo proceso electoral como al público votante.  Para el experto las tres áreas objetivo de la ciberdelicuencia son: el público votante, la infraestructura de votación, y los candidatos políticos y sus campañas electorales. A continuación, el directivo explicó cada una de ellas:

Público votante / Como individuo se puede ser víctima de tres amenazas básicas:

1) Amenaza de ciberseguridad tradicional.  Se hace uso de mensajes de texto, correo electrónico o phishing que pretendan ser la campaña de un candidato electo o de un grupo político y que motive a la persona a hacer clic en un vínculo Web para infectar su dispositivo.

2) Amenaza de manipulación del voto. La ciberdelincuencia emplea diversas técnicas maliciosas para ofrecer información errónea que intenten engañar a la víctima para que no vote. Por ejemplo, puede ser un sitio de “votación remota/anticipada” donde la persona cree que votó pero no lo hizo. El mensaje podría ofrecer un lugar de votación incorrecto u ofrecerle a la víctima una boleta electoral a su casa.

3) Amenaza directa de manipulación de votantes: Millones de cuentas falsas en redes sociales son empleadas para difundir información falsa y manipuladora. Esta técnica ha logrado dos cosas: difundir información errónea que apunta a que los votantes cambien sus opiniones políticas o les haga perder la confianza en la validez de una elección.

Infraestructura de votación. La validez de una elección requiere confianza en la infraestructura de votación para ofrecer una elección justa. Las máquinas de votación, a menudo electrónicas, deben salvaguardarse, y protegerse tanto del acceso remoto como de la manipulación local. Incluso,  durante el día de las elecciones las comunicaciones para el recuento y recolección de votos pueden verse afectadas.

Candidatos políticos y sus campañas electorales. Hacer un seguimiento y asegurar todos los recursos de TI de los partidos políticos y de las decenas de miles de activistas se convierte en una tarea abrumadora. A menudo, aquellos que desean espiar e incluso dañar una campaña se dirigen a estos recursos sin cesar. Los daños pueden ocurrir de varias formas: fugas de correos electrónicos privados, así como  conocer la estrategia de una campaña para contrarrestarla posteriormente.

¿Quiénes son los atacantes? Una combinación de ciberdelincuentes comunes que quieren comprometer los dispositivos de la víctima para robar información personal y datos de tarjetas de crédito, o para secuestrar equipos informáticos y, con mayor frecuencia, grupos políticos nacionales y agencias de inteligencia patrocinadas por estados nacionales como Rusia, China e Irán, entre otros, que buscan cambiar el resultado de las elecciones a su favor. El partido republicano que utilizó Cambridge Analytics en la campaña electoral de 2016 en EE.UU. manipuló las redes sociales y logró cambiar el resultado.

Los servicios de inteligencia rusos también participaron en la manipulación del resultado mediante la creación de millones de cuentas falsas en las redes sociales y la difusión de información errónea. También hay evidencia de que ellos intentaron pero no manipularon con éxito la infraestructura de votación de Estados Unidos.

En vísperas de las próximas elecciones

¿Cuál es el panorama de ciberamenaza que se avecina para las próximas elecciones de los EE.UU. a realizarse el próximo 3 de noviembre? Dave Klein informó que ante el brote de COVID-19, la nación americana ha visto un número sin precedentes de solicitudes de boletas por correo.  Con 23 millones de ciudadanos estadounidenses que solicitan boletas por correo, existe una gran preocupación de que el proceso de distribución, recepción y recuento de las boletas pueda ser manipulado por grupos de ciberdelincuentes nacionales y / o internacionales.

Con respecto a las campañas de desinformación, Dave Klein observó una gran manipulación en redes sociales  mayor en esta elección que en 2016. Por otro lado,  las máquinas de votación en los EE.UU. funcionan sin conexión en red y, a menudo, producen copias de seguridad en papel para asegurar la validez de los resultados; por lo que se espera un buen control físico de estas máquinas sin acceso de usuario a sus componentes internos.

Al tener una buena experiencia en ataques de spear-phishing (estafa de correo electrónico o comunicaciones dirigidas a personas, organizaciones o empresas específicas),  también se espera señuelos con títulos seductores que anuncien un candidato ganador y otros que discutan un posible fraude electoral.

Aunque falta tiempo para el proceso electoral del 6 de junio de 2021 en México, Dave Klein instó al gobierno mexicano y a la ciudadanía estar atentos para frustrar cualquier intento de desinformación y ataque cibernético.

Por último, el directivo de Guardicore resaltó que los  gobiernos, empresas e individuos deben protegerse con soluciones de seguridad para visualizar y segmentar los entornos informáticos. Al hacerlo, pueden crear políticas de manera uniforme que protejan sus activos críticos y solo permitan procesos, usuarios y dominios completamente calificados validados;  esto ayuda a reforzar la ciberseguridad al evitar que los agentes malintencionados puedan penetrar y apoderarse de los ataques de ciberseguridad.