'Vulkan Files': así coordinó Rusia sus ciberataques en las elecciones de EEUU, los JJOO o centrales nucleares

Pese a limitar los daños con una rápida actuación, los agentes de ciberseguridad del COI y de la organización tardaron cuatro días en entender lo que había pasado: la cepa utilizada para el ataque formaba parte de un malware desconocido hasta entonces, con una enorme capacidad destructiva. Tal era la virulencia del virus y su capacidad para arrasar con todo lo que encontraba a su paso que se le llamó “Olympic Destroyer”. En un principio, todo el mundo pensó que el ataque venía de Corea del Norte, en un intento de arruinar la gran noche de su vecino. Hoy sabemos que no fue así.

Una investigación periodística al más alto nivel, junto a las revelaciones de un “arrepentido” que trabajó durante años en NTC Vulkan, la empresa rusa de software y ciberseguridad, han permitido la publicación de más de cinco mil páginas de información sobre ciberataques patrocinados por el gobierno y el ejército ruso en la última década. Al informe se le ha llamado “Vulkan Files” y contiene detalles sobre cómo Rusia dejó sin luz a Ucrania en 2015 y 2017, justo después de la Revolución del Euromaidán, cómo ha intentado colarse en los ordenadores de la central nuclear de Berna, en Suiza, cómo manipuló mediante filtraciones y mensajes en redes sociales las elecciones estadounidenses de 2016… y cómo fue el principal responsable de los citados ataques de la inauguración olímpica de 2018.

La ciberguerra contra Hillary Clinton

Todo parte, según afirma The Washington Post, uno de los medios responsables de la investigación junto a Der Spiegel y Paper Trail Media, del arrepentimiento de una fuente anónima que habría decidido filtrar documentos de alta seguridad en desacuerdo con la decisión de Rusia de invadir Ucrania. Los archivos han pasado por cinco auditorías diferentes de empresas occidentales del sector y todas coinciden en su veracidad. Se demuestra así que los ciberataques con origen ruso no son fruto de unos cuantos lobos solitarios, sino que forman parte de una estrategia militar patrocinada por el Kremlin.

No es casualidad, por tanto, que sus principales objetivos hayan sido enemigos políticos: según la compañía Microsoft, el 58% de los ataques vinculados a un Estado entre junio de 2020 y mayo de 2021 vinieron de Rusia. El 32%, con éxito. En el caso de Ucrania, por ejemplo, hay que recordar que, aparte de dejar el país a oscuras en 2015, Rusia supuestamente dejó sin control la central de Chernobil en 2017 y repitió ataques salvajes sobre infraestructuras clave tanto en 2021 como en enero y febrero de 2022, estos últimos con el inquietante mensaje de “Tened miedo y esperad lo peor” que se cumpliría días más tarde.

[Los Juegos Olímpicos de Invierno han sido atacados por hackers]

Aparte de Ucrania y Corea del Sur -enemigo de Corea del Norte y, por extensión, de China, a su vez aliado de Rusia-, Vulkan tenía como objetivo encontrar posibles debilidades informáticas en todos los puntos neurálgicos de Occidente. Un mapa entregado por la fuente anónima a la investigación revela que la empresa de software espió varios puntos de los Estados Unidos y la central nuclear de Muhleberg, cerca de Berna, aunque se desconoce si dichas debilidades se explotaron o se dejaron para más adelante en caso de necesidad.

El informe también incluye los vínculos entre Vulkan y Sandworm, el más importante grupo de hackers, perseguido en Occidente desde que se demostrara su vinculación con los intentos de influir en las elecciones estadounidenses de 2016 en favor de Donald J. Trump. Dicha vinculación, demostrada en una exhaustiva investigación por parte del Congreso de los Estados Unidos, consistió en el robo de información de correos electrónicos -tanto personales de Hillary Clinton y sus ayudantes como de las cuentas vinculadas al Comité Nacional Demócrata- y en la propagación de noticias falsas por redes sociales mediante el uso masivo de “bots”.

Más allá de Sandworm

En 2020, el Departamento de Justicia estadounidense identificó al grupo Sandworm como una unidad de la Dirección General de Inteligencia del Estado Mayor General de las Fuerzas Armadas de la Federación Rusa. Ahora, sabemos de dónde sacaba Sandworm la información para sus ataques y probablemente cuál era el “laboratorio” en el que se gestaba el malware utilizado en los mismos. El propio Departamento de Justicia hizo pública en 2018 a través del FBI una orden internacional de busca y captura de seis oficiales asignados a esa unidad. Se les considera los cibercriminales más peligrosos del mundo.

Aparte de intervenir en las elecciones estadounidenses de 2016, el grupo Sandworm, gracias a los informes y la tecnología de Vulkan, quiso influir también en las francesas de 2017, atacando a varios miembros del recién creado partido de Emmanuel Macron, “La Republique En Marche!”, aunque sin el mismo éxito. En general, los objetivos político-militares del gobierno ruso se han centrado en infraestructuras energéticas e influencia en la opinión pública. Es la misma táctica que se está siguiendo en la guerra de Ucrania, tanto a nivel local (ataque a centrales hidroeléctricas en suelo ucraniano) como mundial (réplicas mediante bots del mensaje hegemónico de la propaganda rusa en redes para evitar que Occidente siga ayudando a Ucrania).

[Microsoft advierte: Rusia prepara un ciberataque a nivel internacional tras probarlo en Ucrania]

Sin embargo, los “Vulkan Files” apuntan a la posibilidad de que los ciberataques puedan dirigirse a otras esferas del mundo real, como los transportes por tierra, mar y aire. Estos son la base del programa de entrenamiento “Crystal-2”, según los documentos filtrados, aunque los expertos no se ponen de acuerdo en si se trata de un programa de entrenamiento para atacar infraestructuras extranjeras o para defender las propias.

Lo peligroso del caso Vulkan es que la empresa ha estado trabajando en Occidente, formando parte de reuniones de ciberseguridad y compartiendo información con empresas de todo el mundo, hasta el mismísimo comienzo de la guerra de Ucrania. No se les ha considerado criminales, como en el caso de Sandworm, porque no se sabía que en el fondo formaban parte de la misma estructura. De hecho, según afirma el diario “The Guardian”, no está claro si los extrabajadores de Vulkan que ahora mismo siguen trabajando en Occidente suponen un riesgo de seguridad o si forman parte de algún programa de contraespionaje. La mayoría tienen parientes en Rusia, un recurso utilizado frecuentemente por el FSB para presionar a los profesionales rusos en el extranjero y hacerles colaborar con su gobierno.