ALEXIS RODRÍGUEZ-RATA

Hace apenas siete años, un profesor de Ingeniería Aeroespacial y Mecánica de la Universidad de Texas pirateó un superyate en el Mediterráneo hasta modificar su rumbo. Hace apenas dos, los expertos ya hablaban del riesgo real de pirateo​ que corrían más de 50.000 barcos. Hoy pueden ser más. Y más grandes. Y con consecuencias más graves. Porque mientras Barcelona ve atracar en su puerto el segundo portacontenedores más grande del mundo y hay quien ya prevé la llegada de buques totalmente automatizados, el peligro de que sean controlados por hackers y naveguen como "zombis" en el mar ha llegado para quedarse. Y el problema es que todos están conectados a Internet.

Así es que si en el pasado el marinero temía las galernas y huracanes, los hielos, las colisiones y abordajes, remolinos, las olas asesinas y quién sabe si incluso al mítico kraken, hoy la navegación marítima se enfrenta a una nueva y emergente amenaza: los ciberataques.

“Hasta cierto punto sin darnos cuenta, nos hemos vuelto totalmente dependientes de las comunicaciones digitales. Los coches se han vuelto computadoras. También las centrales eléctricas. O los barcos. Hay muchos más ejemplos. Y si alguien puede tomar el control de estos sistemas informáticos, entonces tenemos un problema real porque podría, en teoría, atacar desde cualquier parte del mundo”, alerta en conversación con La Vanguardia Keith Martin, catedrático de Seguridad de la Información en el Royal Holloway de la Universidad de Londres.

Pero es que, además, el comercio marítimo es el corazón de la globalización. Está en la base del 90% del transporte mundial de mercancías. Y el ciberespacio es el terreno, diario, en el que se mueve. De manera que si la red es vulnerable, también lo son los barcos.

Es así que el miedo crece. Sobre todo respecto a los buques mercantes. Porque los graneleros, petroleros, gaseros, portacontenedores, frigoríficos o cocheros –los hay de todo tipo- impresionan. Los más extensos tienen un tamaño que llega a los cuatro campos de fútbol. Valen millones. Mueven millones.

Y ahora surge la posibilidad de piratearlos a distancia y guiarlos a un destino diferente al original, tanto como para bloquear puertos, estrechos y pasos clave por los que transitan, como pueda ser el del canal de Suez u otras rutas de un mundo globalizado, que quedarían, en consecuencia, colapsadas.

Piratas modernos

En 2009 los piratas somalíes ocuparon las portadas en España tras el secuestro físico del atunero vasco Alakrana. Fue liberado tras el pago de un rescate a las pocas semanas, pero su caso puso sobre la mesa el tracking y targeting digital que los corsarios del siglo XXI hacen de buques susceptibles de ser atacados en su paso por el cuerno de África, una vía obligada en su camino a Europa desde la fábrica del mundo, China. Desde entonces muchos apagan su geolocalización al pasar por la zona.

Luego, en 2010, el virus Stuxnet se adueñó de unas 1.000 máquinas de la planta nuclear de Natanz, en Irán, y ordenó que se autodestruyeran. Equivalía a una quinta parte de sus centrifugadoras. Es la razón por la que muchos expertos la creen el ‘bautismo’ de la invisible ciberguerra: el cibervirus estaba programado para hacerse con el sistema de control automático de la planta (o PLC) y manipularlo, no para robar información.

Y es así que llegamos a 2017, cuando un buque portacontenedores alemán perdía el control de sus sistemas de navegación durante casi diez horas y no respondía a las órdenes del capitán. A este, ese mismo año, se sumaba una noticia sobre colisiones en un principio inverosímiles entre buques de guerra de EE.UU. en el Pacífico que dejaban una docena de marineros muertos.

Unos y otros ponían en cuestión la seguridad de un sector clave para la economía. Tanto como lo hacía el pirateo de los narcos a terminales del puerto de Amberes en 2011 para colar su droga o el boicot a las grúas de un puerto de EE.UU. –aún hoy indeterminado por las autoridades– en 2014 y 2015. En todos los casos, cuanto más automáticos e interconectados estaban los barcos, las plataformas marítimas, los puertos, terminales o grúas contenedores, más accesibles eran para los hackers. Porque las navieras o los puertos, todos dependen de un sistema de comunicación por red wifi –sea en 3G o en 4G–, sobre todo en el puerto, o satelital, sobre todo en el mar, que puede ser pirateado.

El "secuestro" del superyate en el Mediterráneo se centró en emitir señales falsas de GPS que, muy poco a poco, variaron la posición real del navío. Algo posible porque tanto el GPS como Internet dependen de varios satélites que envían las señales que los orientan y que, en su versión más cotidiana, se usan sin cifrar. El hackeo sólo tuvo que emitir una señal falsa más potente que la original, logrando confundir a la tripulación y a la embarcación, que llegó a navegar sobre referencias distorsionadas a la real variando su rumbo según el deseo del hacker. Por suerte el de un profesor universitario que ponía a prueba su experimento.

Sin embargo, más allá de la prueba académica, en el 2017 era un informe del gobierno de EE.UU. el que dejaba por escrito el primer ciberataque, oficial, contra la autonomía de los navíos: a 20 barcos que navegaban por el mar Negro el GPS les indicaba estar 32 kilómetros tierra adentro. Todavía hoy la agencia contra los ciberataques de EE.UU. desconfía de China, Rusia y Corea del Norte. Quizá porque cuando el presidente ruso, Vladímir Putin, inauguró ese mismo año al volante de un llamativo camión naranja el puente sobre el estrecho de Kerch que une a Rusia con Crimea, los sistemas de navegación por satélite de dos decenas de buques los posicionó en tierra, en el aeropuerto de Vítiazevo, a más de 60 kilómetros de su ubicación real. Según el Centro de Defensa Avanzada (C4AD), desde entonces les habría sucedido igual a más de 1.000 barcos en casi 8.000 ocasiones.

Fernando Ibáñez, analista de inteligencia, profesor de la Universidad a Distancia de Madrid y especialista en seguridad marítima y piratería, reitera por todo ello que “la vulnerabilidad principal es porque se depende al menos de 24 satélites que orbitan a 20.000 kilómetros sobre la Tierra, de que haya estaciones en tierra y, por último, del receptor de los usuarios. Y nuestros dispositivos deben poder ver, al menos, cuatro satélites para conectarse a la red del GPS. Pero esa señal es bastante débil y puede ser vulnerable a los ataques”.

Sin embargo, una cosa es piratear el GPS, y otra más grave controlar la navegación directa de la nave como sucedió con el portacontenedores alemán. Y es aquí cuando volvemos al Stuxnet. Porque los hackers apuntan a los tres dispositivos básicos que utilizan los buques para su navegación: al GPS, al AIS (el sistema de identificación automatizada que relata la identidad, tipo, posición, destino y velocidad o distancia hacia la costa y/o respecto a otros barcos y en el que se suele incluir el propio GPS) y el ECDIS (el sistema para visualizar digitalmente las cartas náuticas). Con todo ello, que converge en el ya mencionado sistema de control automático (o PLC), podrían llegar a tomar el control y escorar barcos, dejar ciegos a los capitanes o atacar a los sistemas de control de propulsión, lastre o de maniobra. Todo quizá por un –en origen– uso inadecuado del USB portátil o por una computadora infectada al descargar una película.

Complejidad vs. seguridad

“Los sistemas informáticos hoy son muy complejos, y la complejidad es enemiga de la seguridad, porque crecen los lugares en los que podría darse una debilidad. Y poner en riesgo la seguridad consiste en hallar el punto débil en ese sistema”, detalla Martin. Y sigue: “Un barco lleno de equipos informáticos anticuados no es problemático si todo lo que hace es ir del puerto A al B y hablar con su operador. Pero, desde el momento en que está conectado a Internet, y probablemente la mayoría de barcos hoy lo están, es un problema”.

Según el Crew Connectivity Survey de 2018 de FutureNautics, el 47% de los marinos embarcaron en buques que fueron el objetivo de un ciberataque. En 2015 eran el 40%.

Con todo, y hasta el momento, los casos de pirateo similares al del buque portacontenedores alemán conocidos se cuentan con cuentagotas. Y no es extraño. Los expertos señalan que no hay incentivos para hacerlos públicos. Al revés, podrían poner en peligro su propia imagen o traer la desconfianza entre los inversores y usuarios, con sus consecuentes costos económicos. Más cuando “los seguros tienen pavor a los ciberataques, y por eso es que incluyen cláusulas de exclusión en los contratos, que se venden aparte y son más caras”, explica José Manuel González Pellicer, abogado del estudio Kennedys especializado en el sector marítimo.

Y continúa: “Es un sector que se adapta muy poco a poco, también uno muy achuchado económicamente. A Maersk le hackearon todo su servicio de contenedores en 2017 y sufre un rosario de reclamaciones que llega hasta hoy. Algunas navieras sí son responsables en ciberesiliencia, pero es el último de sus problemas. Además, por desconocimiento, o por tecnofobia, hay cierta resistencia. Y a España le queda aún más camino que recorrer…”

Riesgos en un mundo globalizado

Hoy los barcos mercantes cada vez son más pequeños en personal, más grandes en tamaño, más automatizados y están más controlados de forma remota, por lo que la amenaza se vuelve cada vez más presente en un sector con “graves ondas expansivas” en caso de caer, según comparten los expertos. Podría afectar a las mercancías que transportan, pero también a toda la zona de influencia del puerto y a los intereses de los exportadores e importadores, al de los compradores y vendedores, o incluso a las zonas por las que transitan en un mundo globalizado e interdependiente.

Por eso es que las compañías intentan formarse. Y que la Organización Marítima Internacional, la agencia de la ONU encargada de regular el transporte por mar, ha modificado dos códigos generales para tratar de afrontar el peligro. Pero llega tarde. Y además, lo hace sin prisas: las nuevas recomendaciones no entrarán en vigor hasta el 1 de enero de 2021. Unas recomendaciones que dependerán de los diferentes países para volverse normativa de obligado cumplimiento.