Javier Lezaola
LUH ya ha denunciado ante el Cuerpo Nacional de Policía el ciberataque DDoS –de denegación de servicio distribuido– sufrido durante tres semanas por este diario. La denuncia ha sido interpuesta este martes en una Comisaría de Policía de Madrid, y se ha adjuntado a la misma el informe técnico que la empresa de ciberseguridad que se ha enfrentado al ciberataque ha elaborado sobre el mismo. La denuncia fue firmada el pasado viernes y ha sido interpuesta este martes precisamente porque estos últimos días el ciberataque –que empezó el pasado 8 de noviembre, es decir hace 22 días– ya está “prácticamente inactivo” y han podido recopilarse los datos de toda su secuencia, según han informado a este diario técnicos de esa empresa de ciberseguridad.
Según consta en la denuncia, el ciberataque consistió en “inutilizar la página web y el acceso a los datos del medio digital alojados en un servidor contratado por LUH” con el objetivo de “paralizar su actividad”, lo que “se consiguió por completo entre el 8 y el 11 de noviembre, días en los que la página o dominio web de luhnoticias.es quedó inutilizada e inservible”, impidiendo a sus lectores el acceso a la misma y provocando así la “paralización de su actividad de información”, lo que afectó al derecho de información, un “derecho fundamental” reconocido por la Constitución de 1978 y “a nivel internacional”.
“Debido a la gravedad y la duración en el tiempo del ciberataque descrito y con el objetivo de poder mantener operativa su actividad”, LUH se vio obligado a contratar servicios de ciberseguridad sin los cuales la web de este diario habría quedado “inservible” y no podría haber seguido prestando servicio a “sus clientes y usuarios registrados” –que abonan las correspondientes tarifas– y a “todos sus lectores”, advierte la denuncia interpuesta este martes.
De hecho, la denuncia dedica un apartado a la “duración” y “gravedad” del ciberataque, que entre los días 8 y 11 provocó “casi 72 horas de interrupción del servicio y actividad” de LUH “por la inutilización de los datos informáticos alojados en sus servidores” y que continuó al menos hasta la firma de la propia denuncia, el viernes pasado. “Se han llegado a recibir 18,9 billones de solicitudes de acceso a la web”, destaca el informe adjunto a la denuncia. “Se ha llegado a la situación de picos de tráfico de 29Gbs/s” y “el tráfico medio se ha encontrado alrededor de los 500Mb/s, cuando en un entorno normal debe estar alrededor del 1 o 2 Mb/s, incluso llegando a picos máximos de 5Mb/s”, de lo que “se deduce una clara organización y gestión de un ataque cuyo fin era dejar sin servicio a la web de LUH el mayor tiempo posible”, añade.
Según consta en el documento, las botnets o redes de bots –instrumento utilizado para realizar el ciberataque contra LUH– suelen ofrecerse en “formato de alquiler”, y la contratación de una botnet como la alquilada para realizar el ciberataque contra este diario “supone un alto coste”, sobre todo por dos cuestiones: su “gran distribución” por todo el planeta –la botnet contiene bots de todos los Estados del mundo, excepto ocho– y su “perduración en el tiempo”, pues este tipo de ciberataques suelen durar “entre cuatro y ocho horas de media”, y el realizado contra LUH ha tenido “una duración aproximada de 369 horas”.
En los “más de 38 años de experiencia” que suman los tres técnicos que se han enfrentado al ciberataque, “nunca habían visto algo similar en cantidad de tráfico, en distribución por todo el planeta y en duración”, añade el informe.
En cuanto a la calificación provisional del delito, la denuncia apunta que, “sin perjuicio de que se pueda incurrir en otras tipificaciones penales”, los hechos podrían ser constitutivos de delitos tipificados en los artículos 264 bis y 197 bis del Código Penal. El artículo 264 bis del Código Penal establece en su punto primero que “será castigado con la pena de prisión de seis meses a tres años” quien “sin estar autorizado y de manera grave, obstaculizara o interrumpiera el funcionamiento de un sistema informático ajeno” y que “se impondrá la pena en su mitad superior, pudiéndose alcanzar la pena superior en grado” si los hechos “hubieran perjudicado de forma relevante la actividad normal de una empresa o negocio o de una Administración pública”. El mismo artículo establece en su punto segundo que “se impondrá una pena de prisión de tres a ocho años y multa del triplo al décuplo del perjuicio ocasionado” si los hechos a los que se refiere el punto primero se hubieran “cometido en el marco de una organización criminal” o hubieran “ocasionado daños de especial gravedad o afectado a un número elevado de sistemas informáticos”.
La denuncia recuerda que, “como ha quedado acreditado en el informe técnico aportado”, un ciberataque como el sufrido por LUH “no ha podido cometerse por una sola persona” y para realizarlo –para crear la botnet utilizada como instrumento para realizarlo– “se tuvieron que infectar miles de equipos y sistemas informáticos”, lo que “conlleva comprometer los sistemas informáticos (y los datos personales que albergan) de un número elevado de usuarios que, sin su consentimiento, están siendo controlados de forma remota para dirigir este ataque de manera ilegítima”.
En este sentido, el artículo 197 bis del Código Penal establece en su punto primero que “será castigado con pena de prisión de seis meses a dos años” quien “por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información o se mantenga en él en contra de la voluntad de quien tenga el legítimo derecho a excluirlo”.
La última hora DdA, XVII/5024
No hay comentarios:
Publicar un comentario