Claramente, muy pocos países tienen el dinero o la tecnología para inventar tales sistemas de armas. También hay muy pocas ocasiones en que tales armas pueden ser usadas (si Dios quiere). Por lo tanto, Estados Unidos sigue siendo dominante en lo que denomina su primera y segunda estrategia de compensación: una clara supremacía en las armas nucleares y en los misiles guiados con precisión. Pero, aunque estas tecnologías siguen siendo necesarias para contrarrestar los desafíos de las potenciales rivales, ya no son suficiente en nuestro mundo que cambia rápidamente.

La mayoría de los gastos de defensa en los países de la OTAN continúan en costosas cajas de metal que pueden conducir, dirigir o volar. Pero, como en tantas otras áreas de nuestro mundo digital, la capacidad militar está cambiando rápidamente de lo visible a lo invisible, de hardware a software, de los átomos a los bits. Y ese desplazamiento está cambiando drásticamente la ecuación cuando se trata de los costos, las posibilidades y las vulnerabilidades de desplegar la fuerza. Compare los gastos de un bombardero B-2 con los costos insignificantes de un secuestrador terrorista o un hacker patrocinado por el estado, capaz de causar estragos periódicos a los bancos o la infraestructura de transporte de otro país, o incluso elecciones democráticas.

Estados Unidos ha reconocido en parte esta realidad cambiante y en 2014 esbozó una tercera estrategia de compensación, declarando que debe mantener la supremacía en las tecnologías de próxima generación, como la robótica y la inteligencia artificial. El único otro país que podría competir con Estados Unidos en estos campos es China, que también ha invertido dinero en esas tecnologías. Pero la tercera estrategia de compensación sólo contrarresta parte de la amenaza en la era del conflicto asimétrico. En el mundo virtual, hay pocas reglas de juego, poca manera de evaluar las intenciones y capacidad de tu oponente, y no hay pistas reales sobre si está ganando o perdiendo.

Tal turbidez es perfecta para aquellos que desean subvertir la fuerza militar de Occidente. China y Rusia parecen entender este nuevo desorden mundial mucho mejor que otros -y son expertos en convertir las propias vulnerabilidades de Occidente en su contra.

Los estrategas chinos tuvieron entre los primeros en trazar este nuevo terreno. En 1999, dos oficiales del Ejército Popular de Liberación escribieron Unrestricted Warfare en la que argumentaban que los tres "elementos de hardware" indispensables de cualquier guerra -es decir, soldados, armas y un campo de batalla- habían cambiado más allá de su reconocimiento. Los soldados incluían hackers, financieros y terroristas. Sus armas podían ir desde aviones civiles pasando net browsers a virus informáticos, mientras que el campo de batalla estaría "en todas partes".

Los pensadores estratégicos rusos también han ampliado su concepción de la fuerza. Moscú ha utilizado el hardware militar tradicional en los recientes conflictos en Georgia y Ucrania. Pero también ha lanzado ataques cibernéticos contra ambos países, así como contra Estonia y está acusado de hackear las elecciones presidenciales de Estados Unidos.

Más ampliamente, ha estado intensificando sus operaciones “dezinformatsiya” derivadas de la KGB, como parte de lo que el profesor Mark Galeotti ha llamado "el armamentismo de la información". Según Dmitry Kiselyov, el ancla de la televisión rusa y propagandista del Kremlin, las guerras de información se han convertido en "el main type de guerra".

Rosa Brooks, un ex funcionario del Pentágono, ha argumentado que el ejército estadounidense está lejos de ser la organización ideal para responder a esta multiplicidad de desafíos. En cambio, sugiere que la defensa de las sociedades occidentales y la proyección del poder blando necesitan ser repensadas como un propósito nacional colectivo. "Imaginemos un sector público mejorado basado en la idea del servicio universal, una América en la que cada joven y mujer pasa un año o dos en el trabajo que promueve la seguridad nacional y global", ha escrito.

Tales ambiciones son académicas mientras que Donald Trump permanece en la Casa Blanca, comprometido como él a aumentar el gasto en el hardware militar pasado de moda. Además, el Kremlin difícilmente podría desear un presidente estadounidense más complaciente que uno que ha elogiado el liderazgo fuerte de Vladimir Putin, vacilaba en apoyar la seguridad colectiva de la OTAN y denunció a los medios de comunicación estadounidenses por vender "fake news".

En el reino de la "guerra memética", como se ha llamado, el Kremlin ya parecía haber ganado. Pero antes que corra demasiado alto, la comitiva de Putin puede reflejar que occidente depende mucho menos de un individuo o una institución que Rusia. El Congreso estadounidense está ahora presionando sanciones más duras contra Moscú por su intromisión en las elecciones presidenciales.

Además, los opositores del presidente ruso también están adoptando nuevas estrategias. A principios de este año, el líder de la oposición, Alexei Navalny, publicó un video elaborado que destacaba la presunta corrupción del primer ministro Dmitry Medvedev. Desde entonces, se ha visto casi 24 millones de veces en las redes sociales. No importa cuán bien versados en la práctica, los estados autoritarios están perdiendo rápidamente su propio monopolio en la weaponisation of information.

Los daños subrepticios de los ciber-ataques

 

A principios de esta primavera (en el hemisferio norte), los científicos políticos en Israel publicaron uno de los primeros experimentos sobre los efectos psicológicos de los ataques cibernéticos. La pregunta era simple: ¿los actos random de terror cibernético aumentan los sentimientos de ansiedad, estrés y pánico en los individuos? Los científicos de la Universidad de Haifa, que realizaron el estudio, encontraron un aumento en los niveles de cortisol de los sujetos, la hormona del estrés corporal, cuando experimentan ataques cibernéticos simulados en computadores y teléfonos móviles. "Definitivamente vimos indicios de que el delito cibernético produce sentimientos de inseguridad, un aumento en los niveles de percepción de amenazas y que, a su vez, contribuye a actitudes políticas más militantes", dijo Michael Gross, uno de los autores del estudio.

Mientras que los experimentos de Haifa utilizaron un ataque cibernético simulado contra unas pocas docenas de sujetos, el año pasado ha visto tres enormes ataques cibernéticos globales que paralizaron los negocios, la infraestructura y los servicios públicos. Cada uno de ellos fue orquestado, como un ataque terrorista offline, causando el máximo trastorno y pánico, en lugar de obtener ganancias financieras. "Los ataques cibernéticos no son benignos. Incluso cuando nadie sufre daño físico, la oportunidad de causar ansiedad y estrés, infundir miedo e interrumpir la vida cotidiana es inmensa", escribieron los investigadores de Haifa.

A fines de junio, el malware de Petya afectó a las rutas marítimas, cajeros automáticos y sistemas de transporte. En mayo, el virus WannaCry infectó los sistemas hospitalarios, causando que el NHS del Reino Unido cancelara hospitalizaciones y appointments. A fines de octubre, el ataque Dyn derribó Netflix, Twitter, The New York Times y PayPal, entre docenas de otros servicios de internet.

Como periodistas, escribimos acerca de cómo las empresas y los gobiernos luchan para hacer frente a las consecuencias de un ataque cibernético, pero el impacto más duradero en la psique humana ha permanecido en gran parte inexplorado. Es evidente que la ansiedad provocada por los ataques cibernéticos es diferente de la asociada con los actos "tradicionales" de terrorismo que causan muertes y lesiones a civiles. "La mayoría de las formas de sufrimiento psicológico no son tan intensas, prolongadas o irreversibles como las lesiones corporales o la pérdida de la vida", observaron los investigadores de Haifa. Sin embargo, añadieron: "Nuestro análisis sugiere que el daño psicológico de la guerra cibernética puede afectar el bienestar, sin embargo". El robo de identidad, las amenazas online de daño personal y la divulgación de datos confidenciales, como los registros médicos, pueden causar una angustia significativa.

A medida que los terroristas cibernéticos se vuelven más sofisticados, los intentos de interrumpir la infraestructura podrían, en el futuro, conducir a la pérdida de vidas -si, por ejemplo, un tren se descarrila o los sistemas de control de tráfico aéreo son comprometidos. El crimen cibernético pronto se convertirá en una amenaza física para nuestro bienestar, ya que la infraestructura crítica como el transporte se pone online y se vuelve más vulnerable a la manipulación.

Dada la probabilidad de ataques cibernéticos más severos, la cuestión es cómo las organizaciones y los individuos pueden volverse resistentes a la amenaza. Gross lo contrasta con el terrorismo de la vida real, donde la educación y el asesoramiento son necesarios para ayudar a la recuperación. "Tal vez los gobiernos proporcionan salas digitales seguras o respaldan el ancho de banda en tiempos de crisis [cibernética]. Tal vez incluso las intervenciones psicológicas", dijo.

Samir Kapuria, ejecutivo senior de Symantec, una empresa global de ciberseguridad, está en la primera línea de control de daños, a menudo ayudando a los clientes después de un delito cibernético. Admitió que el mundo corporativo estaba "en un estado de urgencia" cuando se trataba de lidiar con la escala y la viralidad de los ataques cibernéticos. "A principios de los años 2000 fue una era delitos cibernéticos en masa, cuando virus como Stuxnet fueron liberados para interrumpir con intención criminal. Hoy, con ataques como WannaCry y Petya, estamos entrando en la era de la inteligencia", dijo Kapuria, "pasando de las cerraduras a la vigilancia y la detección temprana".

¿Qué hace Trump para evitar los ataques cibernéticos?

La negativa de la administración Trump a acusar públicamente a Rusia y a otros en una ola de ataques de hackers políticamente motivados está creando un vacío de política que los expertos en seguridad temen alentar más guerra cibernética.

En los últimos tres meses, los hackers ingresaron a sitios web oficiales en Qatar, ayudando a crear una crisis regional; sospechosos de que los hackers respaldados por Corea del Norte cerraron hospitales británicos con ransomware; y un ataque cibernético que los investigadores atribuyen a Rusia borró datos de miles de computadores en Ucrania. Sin embargo, ni Estados Unidos ni la alianza militar de 29 miembros de la OTAN han culpado públicamente a los gobiernos nacionales de esos ataques. El presidente Donald Trump se ha negado a aceptar las conclusiones de las agencias de inteligencia estadounidense de que Rusia interfirió en las elecciones estadounidenses de 2016 usando métodos de guerra cibernética para ayudar al hombre de negocios de Nueva York a ganar.

"La Casa Blanca está actualmente envuelta en una crisis cibernética de proporción existencial, y por el momento probablemente sólo quiere que el "cyber" desparezca, al menos en lo que se refiere a la política", dijo Kenneth Geers, un investigador de seguridad que hasta hace poco vivió en Ucrania y trabaja en el think tank de la OTAN en ciber-defensa. "Esto tendrá efectos secundarios desafortunados para la ciber-seguridad internacional". Sin llamar a los perpetradores conocidos, más ataques de hacking son inevitables, dijeron los funcionarios.

"No veo ninguna dinámica de disuasión", dijo un ex oficial de ciber-seguridad de la Casa Blanca Jason Healey, ahora en la Universidad de Columbia. El retiro del gobierno es subrayado por la salida a finales de julio de Chris Painter, el funcionario responsable de coordinar la diplomacia estadounidense en seguridad cibernética.

No se ha nombrado ningún reemplazo y el futuro de la posición en el Departamento de Estado está en flujo. Algunos de los funcionarios en temas cibernéticos de Trump han puesto de manifiesto públicamente una estrategia para centrarse menos en la construcción de normas mundiales y más en acuerdos bilaterales. Trump y el Kremlin han dicho que Rusia y Estados Unidos están en conversaciones sobre la creación de un grupo de seguridad cibernética.

Pero en las conferencias de seguridad Black Hat y Def Con la semana pasada en Las Vegas, el gobierno estadounidense tuvo una huella excepcionalmente ligera. Los speaker del pasado gobierno han incluido un jefe de la National Security Agency y funcionarios del Homeland Security. Una sesión con funcionarios estadounidenses encargados de hacer cumplir la ley discutiendo el supuesto robo por parte de Rusia de cientos de millones de credenciales de cuenta de Yahoo fue retirada en el último minuto. Una portavoz de la Federal Bureau of Investigation dijo que la presentación fue cancelada debido a que el experto de Yahoo iba a hablar, el Subdirector Eric Sporre, había sido reasignado para dirigir la oficina del FBI en Tampa.

El vacío político dejado por Estados Unidos también está afectando a las empresas privadas de seguridad, que dicen que se han vuelto más cautelosos al atribuir públicamente ataques cibernéticos a los estados-nación para que no atraigan el fuego de la administración Trump.

Trump sugirió en una entrevista en abril que la empresa de seguridad CrowdStrike, que trabajó en investigar el proceso electoral del Democratic National Committee, podría no ser confiable porque le dijeron que estaba controlada por un ucraniano. No lo es.

Los veteranos de la política cibernética están particularmente alarmados por la falta de respuesta estadounidense y de la OTAN al ataque destructivo, apodado NotPetya, en junio, que afectó a las computadoras de todo el mundo, pero fue especialmente perjudicial para Ucrania, que está en conflicto armado con Rusia en el este del país.

Expertos en seguridad cibernética, como Jim Lewis, del Center for Strategic and International Studies, un veterano del gobierno que asesoró al ex presidente Barack Obama, creen que Rusia llevó a cabo el ataque. Lewis y otros predecían que Trump no acusaría públicamente a Rusia, y la OTAN sólo ha dicho que parece ser el trabajo de una agencia gubernamental en alguna parte. "Si usted no está sonando las campanas de alarma de una forma elocuente, entonces creo que está dejando caer la pelota", dijo el oficial jubilado de la CIA, Daniel Hoffman, que trabajó en asuntos rusos. "Cuando fallamos en hacer lo suficiente, eso sólo los envalentona”.

Las reglas básicas de un compromiso para la ciber-guerra

A principios de este año, el Cooperative Cyber Defense Center of Excellence de la OTAN presentó la segunda edición del llamado Tallinn Manual, una detallada exploración del derecho internacional vigente en lo que se refiere a la ciberguerra. Los autores, 19 académicos y practicantes del derecho internacional encabezados por Michael Schmitt de la U.S. Naval War College, comenzaron a compilar el manual en 2009 en respuesta a los enormes ataques cibernéticos rusos en Estonia y Georgia durante el breve conflicto ruso-georgiano. Identificaron 154 reglas existentes, pero el manual no es un documento oficial, sino que refleja sólo la comprensión de los autores de la ley.

En el marco establecido en el Manual de Tallinn, la interferencia que los servicios de inteligencia atribuyen a Rusia en las elecciones presidenciales de 2016 no se consideraría una intervención ilegal. La actividad de espionaje, "la crítica, la diplomacia pública, la propaganda, la retribución, la mera maldad" -no tenía la intención de coaccionar a los estadounidenses, que todavía eligieron libremente a su presidente.

El robo de los correos electrónicos de los funcionarios del Partido Demócrata, sin embargo, sería ilegal porque violaba su derecho a la privacidad. Los Estados Unidos estarían justificados en la represalia -o en el lenguaje legal del manual- tomando "contra-medidas". Sin embargo, el alcance de tales medidas sería limitado: no se permitirían acciones que violen los derechos humanos fundamentales. Los autores del Manual de Tallinn no pudieron ponerse de acuerdo sobre si la violación de la privacidad sería permitida como contramedida.

Para tomar represalias por la interferencia electoral, el presidente Barack Obama, informó a The Washington Post, que ordenó a los servicios de inteligencia estadounidenses que colocaron "implantes" en las redes rusas "importantes para el adversario y que les causarían dolor e incomodidad si fueran interrumpidos". La activación de los implantes probablemente no se limpiaría bajo el Manual de Tallinn porque sería una respuesta desproporcionada.

A menudo usamos "cyberattack" indiscriminadamente para describir cualquier tipo de intrusión. El Manual de Tallinn utiliza la palabra "ataque" sólo para operaciones cibernéticas "que razonablemente se espera causen lesiones o muerte a personas o daños o destrucción de objetos". El cierre de una red eléctrica, el control del sistema de semáforos de una ciudad o el corte de las comunicaciones móviles a un área calificaría como un ataque debido a las consecuencias del mundo real. También sería un ataque ilegal porque atacaría a civiles, algo prohibido por las reglas de la guerra existentes.

Putin ha negado interferir con las elecciones estadounidenses "a nivel estatal" como dijo a los medios internacionales en un foro económico en San Petersburgo en junio, lo que sugiere que los hackers rusos patrióticos podrían haber tomado medidas para influir en la campaña. Bajo el Manual de Tallinn, eso no es una buena defensa: Rusia estaría obligada a impedir que los "patriotas" cometan actos ilegales desde el territorio ruso o capturarlos y castigarlos.

Hoy, Rusia y Estados Unidos pueden ir en el ciberespacio sin tener en cuenta la opinión de algunos profesores de derecho de las normas. Pero si sus representantes se sentaran y convinieran en cuál de estas reglas se aplicaría, los intercambios entre los ciber-poderes y el debate público interno en ambos países se harían más claros y más centrados. Tanto los gobiernos como el público tendrían una mejor idea de las acciones y contra-acciones legítimas, y palabras como "ataque" y "acto de guerra" no serían lanzadas tan descuidadamente como ahora.

Habrá resistencia política a esas conversaciones en Estados Unidos, con voces republicanas y demócratas señalando que no se puede confiar en Putin. Será más fácil para Trump no iniciar las conversaciones que enfrentarse a acusaciones de ser demasiado blando con los rusos. Pero si los acuerdos nucleares fueron posibles con los líderes soviéticos, tampoco se debería evitar uno cyber con Putin.

Por supuesto, las convenciones y tratados internacionales a menudo se rompen. Siria es signatario de la Chemical Weapons Convention, pero se cree que el gobierno de Bashar al-Assad ha utilizado las armas en el conflicto civil en curso en el país.

Mientras que la comunidad global puede sancionar a Assad y obligarle a destruir sus reservas químicas, Rusia y los Estados Unidos, como miembros del Consejo de Seguridad de las Naciones Unidad, no enfrentan casi ningún castigo por violar una convención internacional. En cuanto a los acuerdos bilaterales, las dos naciones se acusan constantemente de romperlas.

Sin embargo, las reglas son útiles incluso si pueden romperse con relativa impunidad. Los líderes, incluso autoritario como Putin, quieren ser vistos como actuando de buena fe. Con reglas claras y mecanismos de arbitraje acordados -como un organismo internacional para manejar la atribución de la negociación del ciber-desorden- es más difícil de conseguir, y la óptica del rompimiento de las reglas es potencialmente más perjudicial que cuando no existen reglas.

Después del derribo del vuelo 17 de Malaysia Airlines sobre el este de Ucrania en 2014, Rusia cooperó con la investigación de la Dutch Safety Board, porque quería ser visto como un actor de buena fe. Que se negó a aceptar las conclusiones perjudiciales de la investigación parece terrible para Moscú y ayuda a las naciones europeas a mantener un frente unido sobre las sanciones de Rusia.

El dialogo sobre las reglas de compromiso es esencial antes de que los conflictos salgan fuera de control, la infraestructura crítica se interrumpa y la gente muera. La humanidad tiene mucha experiencia definiendo acciones hostiles y sus consecuencias, y extender las definiciones al ciberespacio no es imposible.

El Manual de Tallinn

 

Las 154 reglas de participación en el Manual de Tallinn 2.0 sobre el Derecho Internacional Aplicable a las Operaciones Cibernéticas incluyen:

*Regla 20 Contramedidas

Un Estado puede tener derecho a adoptar contramedidas, ya sean cibernéticas o no, en respuesta a un incumplimiento de una obligación jurídica internacional que le debe a otro Estado.

*Regla 66 Intervención de los Estados

Un Estado no puede intervenir, ni por medio cibernéticos, en asuntos internos o externos de otro Estado.

*Regla 69 Definición del uso de la fuerza

Una operación cibernética constituye un uso de la fuerza cuando su escala y efectos son comparables a operaciones no cibernéticas que llegan al nivel de un uso de la fuerza.

*Regla 90 Mercenarios

Los mercenarios involucrados en operaciones cibernéticas no gozan de inmunidad de combatiente o de prisionero de guerra.

*Regla 151 Operaciones cibernéticas en territorio neutral

Está prohibido el ejercicio de los derechos beligerantes por medio cibernéticos en territorio neutral.