La ciberguerra se inscribe en la estrategia del conflicto asimétrico y es resultado, hasta cierto punto lógica, del hecho de que los países más desarrollados son también los más vulnerables a las amenazas que se generan en el ciberespacio, frente a aquellos menos desarrollados, por no tener Internet con amplia cobertura.

La estrategia del conflicto asimétrico consiste en el uso de medios no convencionales por parte de una entidad “débil” frente a una poderosa. El conflicto asimétrico existe desde tiempos inmemoriales dado que rara vez las partes en conflicto tienen capacidades de combate similares. El conflicto asimétrico es el “David” contra el “Goliat”, donde la parte más débil puede o no derrotar a la más fuerte, si bien ese no es su objetivo fundamental. Quienes recurren al conflicto asimétrico, saben que sus capacidades no les pueden dar la victoria en un conflicto armado tradicional, pero el actor más vulnerable puede impedir la victoria del más poderoso.

El conflicto asimétrico sucede entre contendientes de capacidades militares distintas y con diferencias sustanciales a nivel estratégico. Uno de ellos buscará la supremacía utilizando su potencial militar de forma abierta, en un espacio y lugar determinados, adaptándose a las reglas del enfrentamiento, los principios legales y morales. El adversario, en cambio, intentará debilitar y desgastar lo máximo posible, así como obtener superioridad de forma no convencional, mediante acciones aisladas, que influyan considerablemente en la mayoría de la opinión pública, apostando al desgaste paulatino y sistemático del adversario, ambicionando prolongar al máximo la duración del conflicto, recurriendo a métodos significativamente apartados de la ley como pueden ser el terrorismo y el empleo de armas no convencionales. De hecho, el aspecto clave de la estrategia del conflicto asimétrico es la existencia de modelos estratégicos de actuación disímiles, tanto desde su diseño o concepto, como en términos operativos.¹

El general André Beaufré, considerado uno de los más grandes especialistas en estudios estratégicos, refiere la importancia de “alcanzar la decisión creando y explotando una situación que acarree una desintegración moral del adversario suficiente como para llevarlo a aceptar las condiciones que se le quieren imponer que es, precisamente, la idea general de la dialéctica de las voluntades”.² En este sentido, la estrategia del conflicto asimétrico no sólo resulta importante en el desarrollo de las hostilidades, sino en la gestión de los conflictos y, por ende, de la paz.

En palabras de la Universidad de la Defensa Nacional de Estados Unidos, el conflicto asimétrico viene siendo una especie de “juego sucio” que generalmente emplea el factor sorpresa tanto en su planeación como en el terreno de manera no planificada ni anticipada por Estados Unidos.³ Colin S. Gray, por su parte, refiere que el conflicto asimétrico es “un método de combate difícil de definir pero que se basa en lo inusual, lo inesperado y en procedimientos ante los que no resulta fácil una respuesta mediante fuerzas y métodos convencionales.”⁴ Laurant Murawiec de la RAND Corporation, afirma que:

La guerra asimétrica no es solamente la guerrilla ni la guerra del débil contra el fuerte: es la introducción de un elemento de ruptura, tecnológico, estratégico o táctico, un elemento que cambia la idea preconcebida; es la utilización de un flanco o de un punto flaco del adversario.⁵

Características del conflicto asimétrico

Algunos elementos que distinguen al conflicto asimétrico de los conflictos tradicionales incluyen:

• El terreno, toda vez que además del escenario tradicional a campo abierto para el desarrollo de las operaciones, se suman las acciones en espacios urbanos y de manera más reciente, en el ciberespacio. Ello genera importantes secuelas en la población del adversario.

• La subversión, definida como una insurrección o revuelta encaminada a desestructurar la cadena orgánica del poder y el statu quo, por medio de acciones clandestinas, ideológicas y/o propagandísticas. Aquí, por ejemplo, es muy importante la figura del “mártir”, que es esa persona dispuesta a morir con tal de reivindicar una lucha o causa, y que genera seguidores y fieles entre la población. Las tecnologías de la información y la comunicación, por su parte, ayudan a divulgar el ideario y la propaganda de la subversión.

• El terrorismo, que es sólo uno de los métodos a los que puede o no recurrir el conflicto asimétrico. Como método, el terrorismo es un acto cuyo objetivo fundamental es la desestabilización y la desorganización política del adversario, generalmente atacando físicamente a la población, si bien ésta no es la destinataria fundamental de esas acciones. El terrorismo se nutre tanto de la sorpresa como de los medios de información, toda vez que la primera alienta el temor y la incertidumbre en tanto los segundos magnifican las capacidades de los terroristas, más allá de las que realmente poseen.

• Las operaciones de información, encaminadas a contrarrestar o impedir las amenazas planteadas por una de las partes en conflicto. Las capacidades militares básicas de las operaciones de información incluyen la guerra electrónica, las operaciones de redes informáticas, las operaciones de apoyo de información militar, las operaciones de desinformación militar y la seguridad de las operaciones. Si son adecuadamente coordinadas y estrechamente concentradas, estas capacidades pueden disuadir el conflicto armado. La meta principal de las operaciones de información a nivel estratégico es la de hacer que un líder o grupo de líderes clave desistan de una acción específica o, si no, que tomen una acción compatible con los intereses de quienes se apoyan y/o utilizan dichas operaciones.⁶

• La guerra de guerrillas, es la expresión más clara de la estrategia del conflicto asimétrico, al consistir en operaciones militares o paramilitares en un territorio hostil por parte de fuerzas irregulares que generalmente son autóctonas y conocen el terreno.

• Las limitaciones de tipo legal para un ejército convencional, puesto que el cumplimiento de las leyes y acuerdos internacionales de tipo político del país al que pertenecen, restringen el uso de la fuerza por los condicionantes y las repercusiones que entrañan, sean de carácter geográfico, limitando el espacio de desarrollo del conflicto o por la existencia de fronteras de otros países, y también de tipo mediático por la influencia que ejercen los medios de comunicación, en particular, su posicionamiento en el desarrollo del conflicto. Asimismo, cada vez más las normas en materia de derechos humanos, limitan las acciones de los ejércitos convencionales o regulares.⁷

Ciberguerra y conflicto asimétrico

La proliferación de ciberarmas ha modificado los parámetros de defensa convencionales y propicia cambios notables en el comportamiento de los actores políticos, económicos y militares de las naciones ante un enemigo que se encuentra en el ciberespacio. En ese entorno no solo se han transformado las relaciones políticas, sociales, económicas y culturales, sino que han surgido nuevas fronteras en todos los ámbitos existentes, creando así una nueva encrucijada para la seguridad nacional.

Al igual que ocurrió con la bomba atómica en los últimos días de la Segunda Guerra Mundial, el virus informático conocido como Stuxnet, descubierto en 2010, pareció marcar el comienzo de una nueva era de la guerra. En la ciberguerra, en vez de explosivos, tanques y ametralladoras, las ciberarmas muy probablemente consistirán en sigilosos ataques desarrollados con software, antes, durante o después de un conflicto, y además podrían ocurrir antes, durante o después del uso de sistemas de armamentos tradicionales en el mundo real.

Stuxnet es considerado como pionero en el uso de códigos maliciosos altamente sofisticados en ataques dirigidos contra importantes instalaciones estratégicas. Según la empresa Symantec, Stuxnet es una ciberarma que se erige en el primer virus informático que permite hacer daño en el mundo físico.⁸

Aparentemente creado para atacar a Irán, Stuxnet está diseñado para permitir a los hackers o crackers manipular equipo físico en el mundo real, sin que los operadores lo noten, lo cual lo hace extremadamente peligroso. Se trata de un virus sofisticado y complejo, que requirió importantes fondos económicos para ser desarrollado. Es también la primer ciberarma que ataca específicamente a sistemas de control industrial, lo que sugiere que distintas industrias y entidades, en los ramos más diversos y que son relevantes para la seguridad nacional de los países, se encuentran en riesgo de ser vulneradas.⁹

Stuxnet es un complejo código que se estima requirió el trabajo de un pequeño grupo de personas durante unos seis meses. Ello requirió personas con enormes habilidades y conocimientos en materia informática, una buena organización y fondos disponibles, insumos todos ellos que normalmente son necesarios igualmente en el mundo real para la fabricación de un arma física.

¿Por qué es importante Stuxnet? Este gusano atacó los sistemas de protección de las centrifugadoras de Natanz, Irán, de manera sigilosa, evitando su detección en los momentos en que vulneraba las estratégicas instalaciones iraníes. “Estos sistemas constan de tres válvulas de cierre instaladas en cada centrifugadora. En caso de accidente, una vibración pone al descubierto la falla y las válvulas se cierran, aislando la centrifugadora accidentada del resto del sistema. En otras palabras, el proceso sigue su curso mientras los ingenieros sustituyen la centrifugadora dañada. El sistema de protección en Natanz se basa en los mandos industriales Siemens S7-417, que operan las válvulas y sensores de presión. Stuxnet estaba diseñado para tomar el control completo de estos mandos, es decir, de los sistemas informáticos incorporados, directamente conectados con un equipo físico como las válvulas, algo inimaginable hasta entonces.

Un mando infectado con el Stuxnet es desconectado de la realidad física. El sistema del control empieza a ver sólo lo que el virus quiere que vea. Lo primero que hace elmalware es tomar medidas para ocultar su presencia. Graba los valores de los sensores del sistema durante un período de 21 segundos. Luego reproduce estos 21 segundos en una trayectoria circular mientras se realiza el ataque (los asaltos ocurrían una vez al mes), de tal forma que para el centro de control todo está en orden, tanto para los operadores humanos como para cualquier sistema automatizado de vigilancia y control.

Mientras tanto, el Stuxnet empieza su trabajo sucio: cierra las válvulas de aislamiento para las dos primeras y las dos últimas etapas del enriquecimiento, bloqueando de tal modo la salida del hexafluoruro de uranio (el gas que sirve para obtener el uranio enriquecido) y aumentando la presión sobre las centrifugadoras. El aumento de la presión da lugar a que en las centrifugadoras se acumule más gas de lo debido, generando más estrés para el rotor mecánico. La presión puede provocar, además, que el hexafluoruro de uranio gaseoso se solidifique y dañe la centrifugadora fatalmente.¹⁰

¿Cuál fue el objetivo de este ataque? A primera vista, buscó la destrucción de las centrifugadoras iraníes, imprescindibles para el programa nuclear del país asiático. Sin embargo, de haber ocurrido algo así, las autoridades iraníes habrían podido identificar rápidamente el problema, algo que, evidentemente, los atacantes no deseaban. De hecho, los atacantes empleaban el virus en cierto momento, pero las fallas en los sistemas atacados se dieron después y no durante el momento del asalto.

Aun así, las armas cibernéticas verdaderamente eficaces requieren un nivel de experiencia extraordinario. Ralph Langner, quien posiblemente es la máxima autoridad mundial en cuanto al gusano Stuxnet, sostiene que la mera piratería de sistemas críticos no cuenta como ciberguerra. Por ejemplo, Stuxnet fue noticia por haber usado cuatro vulnerabilidades de agujeros de “día cero” (o no descubiertos previamente) en el sistema operativo Windows. Pero Langner señala que la experiencia metalúrgica necesaria para entender la construcción de las centrifugadoras de Irán era mucho más impresionante. Los que crearon Stuxnet necesitaban saber la cantidad exacta de presión o el par necesario para dañar los rotores de aluminio por dentro y sabotear, así, la operación de enriquecimiento de uranio del país.¹¹

El Stuxnet no sólo dañó sistemas informáticos iraníes. Se ha confirmado que de 100 mil computadoras afectadas por el virus, el 60% correspondió a Irán, pero el 40% restante perjudicó también sistemas en India, Azerbaiyán, Malasia, Uzbekistán, Estados Unidos, Rusia y Gran Bretaña.¹²

Si bien no han faltado optimistas que consideran que el incentivo que tuvo Stuxnet para ser creado y propagado ya no existe y que, por lo mismo, gusanos como éste no llegarán a proliferar de manera masiva, hay especialistas que consideran al Stuxnet como la antesala de las ciberguerras del futuro. Con el Internet de las cosas muertas, la dependencia hacia los software de los enseres más cotidianos, vaticinan un escenario en el que el refrigerador podría confrontarse con la lavadora, o peor aún, contra sus propietarios. O bien, a través de esos bienes de consumo, se podría acceder a/o vulnerar información confidencial de las personas.

El Stuxnet inspiró a la creación de otras ciberarmas. Así, en 2011 apareció el troyano Duqu, el cual atacaba sistemas informáticos industriales, disfrazándose de documento de Word. De nueva cuenta Irán fue su principal objetivo, si bien también se le detectó en Sudán, Francia, India, Suiza y Ucrania. Luego en 2012, apareció otra ciberarma, Flame, diseñada para rastrear de forma secreta redes informáticas de Irán y controlar las computadoras de funcionarios iraníes, enviando un flujo constante de información utilizada en la campaña de ciberguerra contra esa nación.¹³

Una característica común a las tres ciberarmas descritas, es que si bien su autoría oficialmente es desconocida, todo apunta a que fueron creadas por entidades de inteligencia de Estados Unidos e Israel, naciones preocupadas por el programa nuclear iraní. De corroborarse esta información, entonces Estados Unidos e Israel estarían trabajando arduamente con recursos materiales y humanos altamente sofisticados y financiados, para responder a las acciones ciberbélicas de otros Estados a los que se ha identificado, desde finales del siglo XX y a lo largo del presente, como poseedoras de capacidades de combate en el ciberespacio, por ejemplo, Rusia y la República Popular China (RP China), entre otras.

Lo anterior es igualmente relevante, porque echaría por tierra el argumento de que la estrategia del conflicto asimétrico es desarrollada, sobre todo, por países débiles, incapaces de enfrentar en condiciones equivalentes a los más poderosos en una guerra convencional. Con los casos referidos de Stuxnet, Duqu y Flame, parecería que las naciones más poderosas como Estados Unidos, están resueltas a echar mano de la ciberguerra, en parte para mitigar la imagen intervencionista y punitiva que tradicionalmente ha caracterizado al vecino país del norte. Asimismo, las experiencias de Stuxnet, Duqu y Flame parecen ir de la mano con la imagen conciliadora que en el terreno internacional ha venido impulsando el gobierno de Barack Obama desde su arribo al poder. Obama, para muchos, es un mandatario que ha empleado preferentemente el poder suave en la consecución de los intereses de Estados Unidos en el mundo, en oposición a su antecesor, quien ciertamente privilegió el poder duro. Por lo tanto, la ciberguerra parecería cumplir con el propósito de hacer ver a Washington como cooperativo con el mundo, mientras, por el lado de la ciberguerra, asesta duros golpes a sus rivales estratégicos.

La ciberguerra en ascenso

La ciberguerra plantea enormes ventajas frente a las guerras convencionales en el mundo real. Entre ellas destacan las siguientes:

• Bajos costos para ingresar a las computadoras de los adversarios. Por el precio de una computadora con conexión a internet, cualquier persona podría llevar a cabo acciones de ciberguerra, bien sean actores individuales, delincuentes, terroristas, Estados u otros con un objetivo concreto.

• Las fronteras terrestres se desdibujan. En el ciberespacio, la distinción entre intereses públicos y privados es difusa, a la vez que el carácter abierto de la red favorece la proliferación de posibles organizaciones atacantes y de herramientas de ataque, todo ello sin que pudiera diferenciarse, a priori y con facilidad, cuáles provienen del mismo territorio y cuáles son acciones hostiles contra el país, lo que provocaría una escalada de ambigüedades y susceptibilidades entre gobiernos.

• Ampliación del papel de la gestión de la percepción. Aquí se trata de la capacidad de manipulación de la información, así como de la alteración de archivos multimedia por parte de actores hostiles al gobierno, con la finalidad de manipular cualquier acción o decisión adoptada por éste, limitando así su capacidad para mantener apoyos ante acciones polémicas.

• Deficiente inteligencia estratégica. Los métodos de inteligencia tradicional, y sus consiguientes análisis resultan obsoletos en el escenario actual. El ciberespacio dota al enemigo de una libertad y rapidez de acción inusual e instantánea, frente a cuerpos de inteligencia y seguridad estatal que tardan en responder debido a sus propias estructuras y dinámicas de funcionamiento u operación. Para la comunidad de inteligencia es todo un reto desarrollar y mantener una lista estable de amenazas potenciales. El mundo de hoy no es como el de la guerra fría, en el que los enemigos y las amenazas eran clara y fácilmente identificables.

• Dificultad de alerta táctica y evaluación del ataque. La facilidad con la que el adversario puede acceder a una ciberarma crea la imposibilidad de conocer de antemano el inicio de la ofensiva, su duración y la magnitud de la misma. El carácter anónimo del ciberespacio dificulta conocer la autoría y el método utilizado en el ataque.

• Dificultad para el establecimiento y mantenimiento de coaliciones con otros países. Para Estados Unidos, quien suele invocar el apoyo de sus aliados ante situaciones críticas, la necesidad de que los eventuales socios de una coalición ciberbélica cumplan determinadas condiciones de desarrollo tecnológico, dificulta acciones conjuntas, dado que las vulnerabilidades asimétricas exacerbarían el problema. Estados Unidos es la nación más internetizada del mundo y si bien sus socios europeos y Japón cuentan con avances sustanciales en la materia, hay diferencias importantes entre todos y cada uno de ellos. Otro problema es que Estados Unidos tendría que asegurarse de que sus aliados no sean objetivos potenciales de ciberataques.¹⁴

Aun cuando Estados Unidos es un blanco natural para la ciberguerra, porque cada día aumenta la dependencia de su infraestructura respecto a las tecnologías informáticas, a sistemas digitales de gestión, de las estaciones hidroeléctricas, de las centrales nucleares, de las redes distribuidoras de energía, de las instalaciones logísticas en el transporte automovilístico, aéreo y ferroviario. En donde hay computadoras existe la amenaza latente de la intrusión y de la alteración de su funcionamiento. El arma más letal en el mundo de la ciberguerra, no es nuclear, ni química, ni biológica, sino que puede ser una tableta, un teléfono inteligente o una computadora portátil en manos de alguien que domine las tecnologías de la información y la comunicación y que esté decidido a causar daño.

Una reflexión final

La ciberguerra es una realidad. Ha modificado no sólo la manera en que se desarrollan las hostilidades, sino que ha llevado a replantear el sentido mismo de la estrategia del conflicto asimétrico, toda vez que está tanto al alcance de actores “débiles” como de otros sumamente poderosos. De hecho, ante el convulso escenario que priva en diversas naciones del Medio Oriente y las acciones de Daesh, parecería razonable suponer que Estados Unidos profundice las hostilidades contra ese flagelo a través de la ciberguerra, en lugar de los métodos convencionales, ello para mitigar, por ejemplo, la posibilidad de represalias en su contra. Esto, sin embargo, no elimina la posibilidad de que Daesh u otros grupos terroristas o de la delincuencia organizada recurran igualmente al empleo de ciberarmas contra el país más internetizado del mundo.

Lo anterior ratifica la urgencia de desarrollar iniciativas destinadas a la formación de un régimen internacional que garantice la seguridad en la esfera de las tecnologías de la información. Se ha planteado, ante los casos de conflictos cibernéticos, aprovechar la experiencia existente en terrenos como los del Derecho humanitario internacional y del Derecho de los conflictos bélicos. La Organización del Tratado del Atlántico Norte (OTAN) ha contemplado algunos lineamientos en la materia, en aras de apuntalar sus capacidades de ciberdefensa.

Asimismo se podrían gestionar convenciones internacionales especiales que regulen la conducta de sujetos responsables de derecho internacional, en cuanto a impedir el uso malintencionado de la tecnologías cibernéticas. Rusia propicia activamente este criterio, que tiene sus pros y sus contras. Respecto al primer punto, se persigue el noble y ambicioso objetivo de lograr la prohibición total de la creación y empleo de ciberarmas. Esto se antoja difícil ante el hecho de que cada vez más personas en todo el mundo tienen acceso a las tecnologías de la información. Con todo, el tema todavía está en un terreno más bien deliberativo, en tanto las capacidades de ciberguerra siguen proliferando en distintas partes del planeta. El tiempo apremia, pero, como de costumbre y al igual que como ocurre en el mundo real, la guerra reúne más adeptos que la paz.

Notas:

1. Gersón Heredia Carnovaca (s/f), “El conflicto asimétrico. ¿Un concepto novedoso? Bailen 1808”, en Revista de Estudios Militares, disponible enhttp://estudiosmilitares.es/comunicaciones/Gers%C3%B3n%20Heredia%20Canovaca.pdf

2. General André Beaufré (1965), Introducción a la Estrategia, Madrid, Instituto de Estudios Políticos, p. 35.

3. National Defense University (1998), Strategic Assessment. Engaging Power for Peace, Washington D. C., Institute for National Strategic Studies, disponible en http://www.ndu.edu/inss/strategi%20assessments/sa98/sa98cont.html

4. Colin S. Gray (2002), “Thinking Asymmetrically in times of Terror”, en Parameters.

5. Laurant Murawiec (2000), La guerrea u XXI siècle, Paris, Odile Jacob.

6. Blane R. Clark (septiembre-octubre 2010), “Las operaciones de información como elemento disuasivo para el conflicto armado”, en Military Review, pp. 2-4.

7. Gersón Heredia Carnovaca, Op, cit., pp. 4-5.

8. Symantec (11.12.2013), La importancia de Stuxnet, disponible en http://www.symantec.com/es/es/outbreak/?id=stuxnet

9. Ibid.

10. RT (20 de noviembre 2013), El virus Stuxnet tiene un gemelo secreto, disponible enhttps://actualidad.rt.com/ciencias/view/111880-gemelo-secreto-virus-stuxnet

11. Ibid.

12. IEEE (21 de febrero de 2014), Ciberguerra, los escenarios de confrontación, Madrid, Instituto Español de Estudios Estratégicos, p. 10.

13. El Mundo (20/06/2012), “Estados Unidos e Israel crearon el virus Flame para espiar y atacar instalaciones de Irán”, disponible en http://www.elmundo.es/elmundo/2012/06/20/navegante/1340173299.html

14. IEEE, Op. cit., pp. 4-5.

María Cristina Rosas es profesora e investigadora en la  Facultad de Ciencias Políticas y Sociales de la Universidad Nacional Autónoma de México