En noviembre de 2019, Petróleos Mexicanos sufrió uno de los ciberataques más importantes conocidos contra una empresa pública mexicana.
La explicación oficial fue breve y tranquilizadora: Pemex aseguró que sus sistemas de operación y producción no habían sido comprometidos y que el incidente había afectado a menos del 5% de sus equipos personales de cómputo.
Casi siete años después, sabemos algo nuevo: la Fiscalía General de la República cerró la investigación.
De acuerdo con información obtenida por El Universal, el 4 de abril de 2024 la FGR determinó el no ejercicio de la acción penal en la carpeta abierta por el ataque.
Lo que no sabemos es por qué.
Tampoco conocemos el alcance de la investigación, qué logró establecer la Fiscalía, si hubo responsables identificados o qué elementos llevaron a concluir que no había condiciones para proceder penalmente.
La información continúa reservada y, en principio, podría conocerse hasta abril de 2027.
Legalmente puede existir una razón para mantener el expediente bajo reserva.
El problema es otro: mientras esperamos, seguimos sin una explicación pública completa sobre qué ocurrió en uno de los incidentes de ciberseguridad más importantes sufridos por el Estado mexicano.
El famoso “menos del 5%”En 2019, Pemex reconoció el ataque, pero eligió medirlo con un dato aparentemente tranquilizador: menos del 5% de sus equipos personales de cómputo habían resultado afectados.
El porcentaje sonaba pequeño.
Pero con el tiempo quedó claro que decía muy poco sobre la verdadera dimensión del incidente.
Años después, un análisis técnico elaborado por Idaho National Laboratory reconstruyó, a partir de información pública, un escenario mucho más complejo: acceso inicial al entorno corporativo, escalamiento de privilegios, movimiento dentro de la infraestructura, extracción de información y, finalmente, despliegue del ransomware DoppelPaymer.
No se trata de la versión oficial de Pemex ni de las conclusiones de la FGR.
Es una reconstrucción técnica.
Pero permite entender algo esencial: el ransomware que apareció en las computadoras probablemente fue la última fase visible de un ataque que había comenzado antes.
Además, parte de la información robada terminó publicada.
Entre el material expuesto apareció documentación corporativa y datos relacionados con tecnología operacional, es decir, con sistemas vinculados a entornos industriales.
Esto no significa que los atacantes hayan tomado control de una refinería ni que hayan manipulado directamente procesos industriales.
No existe evidencia pública suficiente para afirmar algo así.
Pero sí demuestra que medir el incidente únicamente por el número de computadoras cifradas era insuficiente.
El problema no era solamente cuántos equipos habían dejado de funcionar.
También importaba saber cuánto tiempo estuvieron los atacantes dentro, qué privilegios consiguieron, hasta dónde pudieron desplazarse y qué información lograron sacar.
Y esas respuestas nunca se hicieron públicas.
Pemex ya había recibido advertenciasEl caso resulta todavía más incómodo cuando se revisa lo ocurrido antes del ataque.
La Auditoría Superior de la Federación había evaluado la ciberseguridad de Pemex como parte de la fiscalización de la Cuenta Pública 2018 y encontró deficiencias en distintos controles.
Entre ellas aparecieron problemas relacionados con análisis de vulnerabilidades, pruebas de penetración, revisión de bitácoras, monitoreo de red y medidas para prevenir fugas de información.
Esto no permite afirmar que esas deficiencias hayan provocado directamente el ataque de 2019.
Para establecerlo sería necesaria información forense que no es pública.
Pero sí permite una conclusión importante:
Pemex llegó al ataque con problemas de ciberseguridad previamente documentados.
Por eso resulta todavía más relevante saber qué ocurrió después.
- ¿Qué controles se corrigieron?
- ¿Qué vulnerabilidades se atendieron?
- ¿Qué cambió en la estrategia de seguridad?
- ¿Qué medidas se adoptaron para reducir la posibilidad de otro incidente semejante?
- Y, sobre todo, ¿qué aprendió Pemex?
Hasta ahora, tampoco tenemos una respuesta pública clara.
Cerrar una investigación no debería cerrar la explicación
Es posible que la FGR tenga razones jurídicas perfectamente válidas para haber determinado el no ejercicio de la acción penal.
Investigar un ciberataque no es sencillo.
Los responsables pueden encontrarse fuera del país, utilizar infraestructura distribuida, ocultar sus identidades y operar mediante organizaciones criminales que cambian constantemente de herramientas, nombres y servidores.
Una investigación puede terminar sin detenidos.
Lo que no debería ocurrir es que, con ella, desaparezca también el aprendizaje.
Porque una investigación penal y una revisión de ciberseguridad persiguen objetivos distintos.
La primera intenta establecer quién cometió un delito y si existen elementos para procesarlo.
La segunda debería explicar cómo ocurrió el ataque, qué controles fallaron, cuál fue el impacto y qué debe corregirse para evitar que vuelva a suceder.
La investigación criminal puede concluir sin responsables.
El análisis de seguridad debería dejar lecciones.
El costo del silencioEn México todavía existe una tendencia a tratar los ciberataques como si reconocerlos fuera, por sí mismo, una debilidad institucional.
Se informa lo indispensable, se minimiza el impacto, se reserva buena parte de la información y después se espera que el tema desaparezca.
Pero ocultar las lecciones de un incidente no borra lo ocurrido.
Mucho menos borra lo que aprendió el atacante.
Quien logró entrar ya sabe qué le funcionó, qué controles encontró, qué información pudo obtener y qué caminos recorrió dentro de la organización.
El problema es que ese conocimiento no necesariamente llega a quienes podrían utilizarlo para defenderse.
Esto no significa que Pemex deba publicar contraseñas, diagramas internos, direcciones de sistemas o configuraciones que pudieran facilitar nuevos ataques.
Eso sería irresponsable.
Pero entre revelar información sensible y no explicar prácticamente nada existe un espacio enorme.
Una institución puede informar qué tipo de fallas encontró, qué controles reforzó, qué señales debieron detectarse antes y qué recomendaciones pueden servir a otras organizaciones.
En otros países, este tipo de análisis posterior a los incidentes se utiliza precisamente para que los mismos errores no tengan que repetirse una y otra vez.
La idea es sencilla: un ataque puede causar daño, pero también puede producir conocimiento.
Desperdiciar ese conocimiento es cometer dos veces el mismo error.
Siete años despuésLo más llamativo del caso Pemex es que buena parte de lo que hoy sabemos se ha reconstruido por fragmentos.
Por investigaciones periodísticas.
Por archivos publicados por los propios atacantes.
Por auditorías previas.
Y hasta por análisis técnicos realizados fuera de México.
Mientras tanto, la explicación oficial completa sigue pendiente.
La FGR cerró la investigación en abril de 2024. El expediente continúa reservado y, en principio, podría abrirse hasta abril de 2027.
Tal vez entonces conozcamos qué encontró realmente la autoridad.
Pero hay una pregunta que no debería necesitar ocho años para responderse:
¿qué aprendió el Estado mexicano del hackeo a Pemex?
Porque proteger infraestructura crítica no consiste solamente en tratar de impedir que alguien entre.
También consiste en entender por qué logró entrar cuando ocurre.
Y si después de uno de los mayores ciberataques conocidos contra una empresa pública mexicana la sociedad sigue sin saber qué falló, qué se corrigió y qué cambió, entonces el problema no terminó con el ataque de 2019.
El problema es que todavía no sabemos si aprendimos algo de él.
The post Hackearon Pemex, cerraron la investigación… y todavía no sabemos qué pasó appeared first on Etcetera.
Contenido sindicado vía RSS de Etcétera. Nota original: https://etcetera.com.mx/opinion/hackearon-pemex-cerraron-investigacion-sabemos-paso/