DOGE como ciberataque de Estado

DOGE como ciberataque de Estado

• En las últimas semanas, el gobierno de Estados Unidos ha sufrido una de las violaciones de seguridad más graves de su historia. No fue causada por un ciberataque sofisticado ni por espionaje extranjero, sino por órdenes oficiales de un multimillonario cuyo papel en el gobierno no está claramente definido.

• Personas vinculadas al recién creado Departamento de Eficiencia Gubernamental (DOGE) accedieron a los sistemas informáticos del Tesoro de EE. UU. y obtuvieron la capacidad de recopilar y controlar datos de pagos federales por aproximadamente 5.45 billones de dólares al año.

• Es posible que personal no autorizado de DOGE haya accedido y copiado datos confidenciales de la Agencia de los Estados Unidos para el Desarrollo Internacional, y también se habrían visto comprometidos registros de la Oficina de Administración de Personal (OPM) y de Medicare y Medicaid.

• Los nombres de empleados de la CIA fueron enviados a una cuenta de correo no oficial con censura parcial, y personal de DOGE ingresó datos del Departamento de Educación en software de inteligencia artificial y también comenzó a trabajar en el Departamento de Energía.

• El 8 de febrero, un juez federal bloqueó al equipo de DOGE para que no siguiera accediendo a los sistemas del Tesoro, pero no está claro cuál es la solución, ya que es posible que ya hayan copiado datos e instalado y modificado software.

• Los sistemas a los que accedió DOGE son elementos centrales de la infraestructura nacional, y los sistemas del Tesoro incluyen el plano tecnológico del movimiento de fondos del gobierno federal.

• Este incidente no tiene precedentes porque operadores externos están trabajando públicamente, con experiencia limitada y supervisión mínima, mientras obtienen acceso administrativo del más alto nivel a las redes más sensibles de Estados Unidos y realizan cambios en ellas.

• Lo más preocupante no es solo la concesión del acceso, sino que además se están desmantelando sistemáticamente las medidas de seguridad. Eso implica eliminar protocolos estándar de respuesta a incidentes, mecanismos de auditoría y seguimiento de cambios, y reemplazarlos con operadores sin suficiente experiencia.

• Los sistemas informáticos del Tesoro fueron diseñados con principios similares a los de los protocolos de lanzamiento de armas nucleares, de modo que ninguna persona individual tenga autoridad ilimitada. Este es el principio de seguridad conocido como "separación de funciones", una salvaguarda esencial para prevenir corrupción y errores.

• Personas vinculadas a DOGE obtuvieron permisos para modificar los programas centrales de las computadoras del Tesoro, acceder a claves cifradas y alterar los registros de auditoría que documentan los cambios del sistema.

• Las modificaciones a estos sistemas no solo dañan la operación actual, sino que también dejan vulnerabilidades que podrían explotarse en futuros ataques.

• Hay tres grandes áreas de seguridad amenazadas: manipulación del sistema, exposición de datos y control del sistema.

• Para corregir estas vulnerabilidades, se debe revocar el acceso no autorizado y restaurar los protocolos adecuados de autenticación, además de reanudar el monitoreo integral del sistema y la gestión de cambios.

• Esto no es un tema político, sino de seguridad nacional, y existe la posibilidad de que agencias de inteligencia extranjeras aprovechen el caos y la nueva inestabilidad para robar datos de Estados Unidos e instalar puertas traseras.

[GN⁺]

Opinión de Hacker News

• Es válida la preocupación de que actores hostiles o enemigos obtengan la oportunidad de recopilar datos y entender cómo atacar al Estado
  • Hay una diferencia entre que funcionarios electos actúen de forma tonta o insegura y que personas no electas lo hagan sin ningún control
  • Respeto la opinión de Bruce Schneier y recomiendo esta publicación para evitar que se marque todo lo relacionado con este tema
• Puede haber errores en la lógica de Schneier
  • Hay reportes de que "están entrenando software de IA con estos datos sensibles"
  • Ejecutar inferencia no es lo mismo que entrenar
  • Esta publicación no debería ser marcada, eso va en contra de la libertad de expresión
  • Hay muchas personas en HN que valoran sus ideas
  • Es mejor expresar el desacuerdo en los comentarios que intentar hacer desaparecer una opinión contraria
• Si el Estado sobrevive a este caos, el software tendrá que reescribirse desde cero
  • De lo contrario, no habrá forma de saber qué actores extranjeros o nacionales tienen conocimiento del sistema
• Schneier no debería ser marcado
  • Durante días se ha estado esperando una evaluación serena e integral del riesgo de ciberseguridad
  • Esto es lo más cercano a esa evaluación que podemos conseguir
• Hay que reconocer el principio de la cerca de Chesterton
  • La "cerca de Chesterton" es el principio de que no deben hacerse reformas hasta entender la razón del estado actual de las cosas
• La conducta continuará hasta que se impongan consecuencias
  • Esas consecuencias deben ser legislativas o legales
• Si Dios quiere, el Estado administrativo será puesto de rodillas por los funcionarios electos encargados de controlarlo
• Las corporaciones son una cuarta rama no oficial del gobierno
  • Si el mercado bursátil se desploma, desaparecerán
  • Se cerrará el grifo de las donaciones de campaña y de los lobbistas para los políticos
  • El pánico y el liderazgo cambiarán
  • Citizens United permite que dinero oscuro de cualquier lugar financie campañas indefinidamente, pero no basta para compensar un desplome del mercado bursátil causado por la falta de confianza en el dólar estadounidense y en el mercado
• Artículo relacionado: "Se advirtió al Tesoro que el acceso de DOGE fue marcado como una 'amenaza interna'"
  • La evaluación realizada por Booz Allen Hamilton se hizo antes de nombrar como supervisor de sistemas de pago sensibles a un aliado de Elon Musk
• El contratista gubernamental Booz Allen Hamilton dijo que despidió el viernes por la noche al subcontratista que preparó el informe
  • Era un borrador de informe que sostenía que el acceso del Departamento de Eficiencia Gubernamental de Elon Musk a los sistemas de pago del Tesoro generaba un "riesgo sin precedentes de amenaza interna" y debía detenerse de inmediato