Ataques a la cadena de suministros: La UE se pone a prueba

Los ataques a la cadena de suministros se han convertido en una de las amenazas más preocupantes. Y es que a diferencia de otros tipos de ataques, en los que está en nuestra mano el establecer todas las medidas de seguridad, en este caso nos podemos encontrar expuestos por las políticas de seguridad deficientes de terceras partes, que en gran medida escapan de nuestro control. Y el problema es que, en lo referido a IT, lo común es contar con un amplio conjunto de proveedores.

2021 empezó demostrándonos los riesgos de un ataque a la cadena de suministros con el caso de SolarWinds, cuyos ecos todavía resuenan, y desde entonces son muchas las miradas que se han posado en este tipo de ataques. ¿La buena noticia? Que se están adoptando una gran cantidad de medidas para prevenirlos. ¿La mala? Que vista la enorme efectividad y alcance de un ataque exitoso, el lado oscuro también se ha puesto manos a la obra para intentar explotarlo.

Gran parte de la respuesta a esta amenaza debe venir, claro, de las empresas responsables de los productos y servicios en los que cualquier problema puede comprometer la seguridad de sus clientes. Y también estos deben, en la medida de lo posible, auditar la seguridad de todas las herramientas que emplean. Al igual que todas las partes se pueden ver involucradas en un ataque a la cadena de suministros, todos eslabones de dicha cadena deben tomar cuantas medidas de seguridad estén a su alcance.

No obstante, las instituciones públicas también deben participar en estos procesos de securización. Primero, claro, porque nada evita que también puedan ser víctimas de un ataque a la cadena de suministros. Más bien al contrario, ya hemos visto que los ciberdelincuentes no tienen problema alguno en atacar a dichas entidades, y este tipo de ataques proporcionan una puerta trasera excelente para poder exfiltrar datos, llevar a cabo un ataque de ransomware, etcétera.

Pero es más, los ataques a la cadena de suministros forman parte activa del kit de herramientas del ciberespionaje y de la ciberguerra. Ya sea atacando a instituciones públicas o a empresas responsables de servicios esenciales se puede desde obtener información que comprometa la seguridad hasta comprometer el funcionamiento de servicios como el suministro eléctrico, de combustibles, provocar envenenamientos masivos modificando los sistemas de distribución de agua, etcétera.

Consciente de dichos riesgos, y como podemos leer en Bloomberg, los estados de la Unión Europea han puesto en marcha esta semana un simulacro de ciberataque a gran escala contra varios estados miembros. Durante estos ejercicios se pondrán a prueba sus cadenas de suministros, valorando no solo la resistencia a los ataques, sino también la posible incidencia de los mismos en el plano socioeconómico y cómo articular una respuesta conjunta frente a estas posibles incidencias.

El ejercicio, que tendrá una duración de seis semanas, se estructurará en torno a una escalada gradual hacia una crisis mayor que culmine en un ataque que podría calificarse como una agresión armada según la Carta de las Naciones Unidas, según uno de los documentos a los que ha tenido acceso Bloomberg. Para ser lo más realista posible y preparar mejor al bloque para un ataque en el mundo real, se basará en incidentes que hayan tenido lugar o puedan tener lugar en un futuro próximo.

Además de poner a prueba la capacidad de las instituciones europeas frente a los ataques a la cadena de suministros, otro de los objetivos de este ejercicio es establecer los pilares para un marco común de colaboración entre los estados miembros, una carencia importante de la unión, dado el más que previsible incremento de las acciones en este sentido. Actualmente los estados cuentan con sus propios sistemas, pero establecer un entorno de colaboración entre los estados puede marcar una importante diferencia al respecto.