Mikko Hypponen: Three types of online attack

Mikko Hypponen: Tres tipos de ciberataques

Traductor: Sebastian Betti Revisor: Andrea Pisera

In the 1980s, in communist Eastern Germany,

En los años '80,

en la Alemania Oriental comunista,

si uno tenía una máquina de escribir

if you owned a typewriter,

you had to register it with the government.

debía registrarla ante el gobierno.

Había que registrar

You had to register a sample sheet of text out of the typewriter.

una hoja de texto de ejemplo

escrita con la máquina.

And this was done so the government could track

Y esto para que

el gobierno pudiera rastrear el origen de los textos.

where the text was coming from.

Si encontraban un escrito

If they found a paper which had the wrong kind of thought,

con el mensaje incorrecto

they could track down who created that thought.

podrían rastrear la huella

hasta el origen de la idea.

En Occidente

And we in the West

no concebimos que alguien pudiera hacer esto,

couldn't understand how anybody would do this,

how much this would restrict freedom of speech.

lo mucho que esto limitaría la libertad de expresión.

Nunca haríamos eso

We would never do that in our own countries.

en nuestros países.

Pero hoy, en 2011,

But today, in 2011, if you go and buy a color laser printer

si uno compra una impresora color láser

from any major laser printer manufacturer

de cualquier fabricante grande

e imprime una página,

and print a page,

esa página terminará

that page will end up

having slight yellow dots printed on every single page,

teniendo unos puntitos amarillos

impresos en cada página

que siguen un patrón que las hace propias

in a pattern which makes the page unique to you and to your printer.

de uno y de su impresora.

Eso nos está

This is happening to us today.

pasando hoy.

Y nadie parece alborotarse mucho por esto.

And nobody seems to be making a fuss about it.

Este es un ejemplo

And this is an example

de las formas

of the ways our own governments are using technology

en que nuestros gobiernos

usan la tecnología

en contra de nosotros, los ciudadanos.

against us, the citizens.

Y es una de las tres causas principales

And this is one of the main three sources of online problems today.

de problemas en la red.

If we look at what's really happening in the online world,

Si vemos lo que pasa en el mundo en línea

we can group the attacks based on the attackers.

podemos agrupar los ataques según sus atacantes.

Hay tres grupos principales.

We have three main groups.

We have online criminals.

Están los cibercriminales

Like here, we have Mr. Dmitry Golubov,

como el Sr. Dimitry Golubov

from the city of Kiev in Ukraine.

de la ciudad de Kiev, en Ucrania.

El móvil de los cibercriminales

And the motives of online criminals are very easy to understand.

es muy fácil de entender.

These guys make money.

Estos tipos ganan dinero.

They use online attacks to make lots of money --

Usan los ciberataques

para ganar mucho dinero,

and lots and lots of it.

ingentes cantidades.

We actually have several cases of millionaires online, multimillionaires,

Realmente hay muchos casos

de millonarios en línea, multimillonarios,

que gananaron dinero con sus ataques.

who made money with their attacks.

Here's Vladimir Tsastsin, from Tartu in Estonia.

Este es Vladimir Tsastsin, de Tartu, Estonia.

Este es Alfred González.

This is [Albert] Gonzalez.

Este es Stephen Watt.

This is Stephen Watt.

Este es Björn Sundin.

This is Bjorn Sundin.

This is Matthew Anderson, Tariq Al-Daour

Estos son Matthew Anderson, Tariq Al-Daour

and so on and so on.

etc., etc., etc.

Estos tipos

These guys make their fortunes online,

hacen sus fortunas en línea

pero lo hacen por medios ilegales

but they make it through the illegal means

of using things like banking Trojans

mediante troyanos bancarios

para robar dinero de nuestras cuentas

to steal money from our bank accounts while we do online banking,

cuando compramos en línea;

o roban nuestras claves

or with keyloggers

para conseguir información de nuestras tarjetas

to collect our credit card information

while we are doing online shopping from an infected computer.

cuando compramos en una computadora infectada.

El servicio secreto de EE.UU.,

The US Secret Service,

hace dos meses,

two months ago, froze the Swiss bank account

congeló la cuenta suiza

of Mr. Sam Jain right here,

de este señor, Sam Jain,

y esta cuenta tenía 14,9 millones de dólares

and that bank account had 14.9 million US dollars in it

cuando fue congelada.

when it was frozen.

El Sr. Jain anda suelto;

Mr. Jain himself is on the loose; nobody knows where he is.

se desconoce su paradero.

And I claim it's already today

Y yo digo que hoy

es más probable que cualquiera de nosotros

that it's more likely for any of us to become the victim of a crime online

sea víctima de un cibercrimen

que de un crimen real.

than here in the real world.

Y es muy obvio

And it's very obvious that this is only going to get worse.

que esto va de mal en peor.

In the future, the majority of crime will be happening online.

En el futuro, la mayoría de los crímenes

ocurrirán en línea.

El segundo grupo de atacantes en importancia

The second major group of attackers that we are watching today

que observamos hoy en día

are not motivated by money.

no está motivado por el dinero.

Hay otra cosa que los mueve,

They're motivated by something else --

les motivan las protestas,

motivated by protests,

les motivan las opiniones,

motivated by an opinion,

les motivan las risas.

motivated by the laughs.

Groups like Anonymous have risen up over the last 12 months

Grupos como Anonymous

han descollado en los últimos 12 meses

ocupando un papel destacado

and have become a major player in the field of online attacks.

en los ataques en línea.

Esos son los tres atacantes principales:

So those are the three main attackers:

los criminales que lo hacen por dinero,

criminals who do it for the money,

los hacktivistas como Anonymous

hacktivists like Anonymous doing it for the protest,

que lo hacen para protestar

but then the last group are nation states --

y el último grupo son los Estados nacionales

governments doing the attacks.

los gobiernos que atacan.

Y entonces vemos casos

And then we look at cases like what happened in DigiNotar.

como el de DigiNotar.

Ese es un buen ejemplo

This is a prime example of what happens when governments attack

de ataque gubernamental

against their own citizens.

contra sus propios ciudadanos.

DigiNotar es una autoridad de certificación

DigiNotar is a certificate authority from the Netherlands --

de los Países Bajos

o, en realidad, lo era.

or actually, it was.

Declaró la quiebra

It was running into bankruptcy last fall,

el último otoño

debido a un sabotaje.

because they were hacked into.

Sortearon la seguridad del sitio

Somebody broke in and they hacked it thoroughly.

y perpetraron un ciberataque.

And I asked last week,

La semana pasada pregunté,

en una reunión con representantes del gobierno holandés,

in a meeting with Dutch government representatives,

le pregunté a uno de los líderes

I asked one of the leaders of the team

si hallaban plausible

whether he found plausible that people died

la muerte de personas

because of the DigiNotar hack.

a causa del ataque a DigiNotar.

Y la respuesta de él fue sí.

And his answer was: yes.

Entonces, ¿cómo muere la gente

So how do people die

a causa de un ataque de estos?

as the result of a hack like this?

DigiNotar es una autoridad certificante.

Well, DigiNotar is a CA.

They sell certificates.

Venden certificados.

What do you do with certificates?

¿Para qué sirven los certificados?

Well, you need a certificate if you have a website

Bueno, se necesitan

si uno tiene un sitio web con https,

that has https, SSL encrypted services,

servicios encriptados SSL,

services like Gmail.

servicios como Gmail.

Ahora todos, o casi todos,

Now we all, or a big part of us, use Gmail or one of their competitors,

usamos Gmail o alguno de sus competidores

pero estos servicios son muy populares

but these services are especially popular in totalitarian states like Iran,

en estados totalitarios

como Irán

where dissidents use foreign services like Gmail

en los que los disidentes

usan servicios extranjeros como Gmail

because they know they are more trustworthy than the local services

porque saben que son más confiables que los servicios locales

y están encriptados en conexiones SSL

and they are encrypted over SSL connections,

so the local government can't snoop on their discussions.

de modo que el gobierno local no puede

espiar sus discusiones.

Salvo que intercepten una autoridad certificante extranjera

Except they can,

if they hack into a foreign CA and issue rogue certificates.

y que emitan certificados apócrifos.

Y en el caso de DigiNotar

And this is exactly what happened with the case of DigiNotar.

sucedió exactamente eso.

¿Y qué pasó en la Primavera Árabe

What about Arab Spring

y esas cosas que han sucedido, por ejemplo, en Egipto?

and things that have been happening, for example, in Egypt?

Bueno, en Egipto

Well, in Egypt,

the rioters looted the headquarters of the Egyptian secret police

los manifestantes saquearon la sede

de la policía secreta egipcia

in April 2011,

en abril de 2011

y durante el saqueo del edificio, hallaron muchos papeles.

and when they were looting the building, they found lots of papers.

Entre esos papeles

Among those papers was this binder entitled, "FinFisher."

estaba esta carpeta titulada "FINFISHER".

Y dentro de esa carpeta había notas

And within that binder were notes from a company based in Germany,

de una empresa con sede en Alemania

que le había vendido el gobierno egipcio

which had sold to the Egyptian government

herramientas para

a set of tools for intercepting, at a very large scale,

interceptar

a gran escala

all the communication of the citizens of the country.

las comunicaciones de los ciudadanos del país.

Le habían vendido esta herramienta

They had sold this tool for 280,000 euros to the Egyptian government.

por 280 000 euros al gobierno egipcio.

La sede de la empresa está justo aquí.

The company headquarters are right here.

O sea, los gobiernos occidentales

So Western governments are providing totalitarian governments with tools

le proveen herramientas a los gobiernos totalitarios

to do this against their own citizens.

para que le hagan esto a sus ciudadanos.

Pero los gobiernos occidentales también se hacen esto a sí mismos.

But Western governments are doing it to themselves as well.

Por ejemplo, en Alemania,

For example, in Germany,

hace sólo un par de semanas

just a couple of weeks ago, the so-called "State Trojan" was found,

se encontró el troyano Scuinst;

un troyano usado

which was a Trojan used by German government officials

por oficiales del gobierno alemán

to investigate their own citizens.

para investigar a sus propios ciudadanos.

Si uno es sospechoso en un caso criminal

If you are a suspect in a criminal case,

well, it's pretty obvious, your phone will be tapped.

bueno, es bastante obvio que su teléfono está intervenido.

Pero hoy se va más allá.

But today, it goes beyond that.

Se intercepta la conexión a Internet.

They will tap your Internet connection.

Usarán incluso herramientas como el troyano Scuinst

They will even use tools like State Trojan

para infectar nuestra computadora con un troyano

to infect your computer with a Trojan,

which enables them to watch all your communication,

para permitirles

ver toda la comunicación,

y escuchar las discusiones en línea,

to listen to your online discussions,

para obtener nuestros datos.

to collect your passwords.

Now, when we think deeper about things like these,

Cuando pensamos detenidamente

en cosas como estas

la respuesta obvia debería ser

the obvious response from people should be,

"Bueno, parece algo malo,

"OK, well, that sounds bad, but that doesn't really affect me,

pero en realidad no me afecta porque soy un ciudadano honesto.

because I'm a legal citizen.

¿Por qué preocuparme?

Why should I worry? Because I have nothing to hide."

No tengo nada que ocultar".

Y ese argumento

And this is an argument which doesn't make sense.

no tiene sentido.

Está en juego la privacidad.

Privacy is implied.

La privacidad no se discute.

Privacy is not up for discussion.

This is not a question

No es una cuestión

between privacy

de la privacidad

contra la seguridad.

against security.

It's a question of freedom

Se trata de la libertad

contra el control.

against control.

Si bien podríamos confiar en nuestros gobiernos

And while we might trust our governments right now, right here in 2011,

hoy en 2011,

any rights we give away will be given away for good.

cualquier derecho que resignemos hoy, será para siempre.

¿Confiaremos ciegamente

And do we trust, do we blindly trust, any future government,

en cualquier gobierno futuro,

en una administración que podríamos tener

a government we might have 50 years from now?

dentro de 50 años?

Estas son las preguntas

And these are the questions

que nos deben preocupar en los próximos 50 años.

that we have to worry about for the next 50 years.