Un intruso aéreo

Siempre que se habla de los riesgos de ciberseguridad para la industria aeroespacial, suele venir a la mente un escenario catastrófico: ¿qué pasaría si los piratas cibernéticos pudieran atacar —y derribar— un avión en vuelo?

Aunque este escenario sigue siendo muy improbable, ha sido un punto de atención para los sectores de la aviación civil y la defensa, preocupados por la seguridad. Pero reforzar de la seguridad cibernética no solamente consiste en garantizar que un avión individual —y sus sistemas de navegación, comunicación aire-tierra, inalámbricos y de entretenimiento en vuelo— estén a salvo de intrusos digitales.

Según Steve Luczynski, presidente de la organización sin fines de lucro Aerospace Village, las compañías deben proteger también la torre de control, las ayudas para la navegación en tierra, los propios aeropuertos, además de los fabricantes y sus cadenas de suministro. “La superficie de ataque es enorme, ese ecosistema es enorme”, afirma.

La tecnología aeroespacial, por ejemplo, es un objetivo principal para el espionaje por parte de las naciones estado, dado el desarrollo de nuevos sistemas patentados tanto en el ámbito civil como en el de defensa. Sin embargo, es más perjudicial el riesgo de sabotaje o de ataques disruptivos —incluso de terrorismo— por parte de piratas informáticos respaldados por gobiernos o bandas criminales.

​De acuerdo con los expertos en cibernética, el ransomware —programa informático colocado por los piratas cibernéticos para confiscar datos y liberarlos solamente si se paga un rescate— es una amenaza que preocupa particularmente. Los informes muestran una reciente explosión de este tipo de ataques por parte de grupos criminales con motivación económica.

“Hemos visto estos ataques de ransomware en los que la gente retiene los registros de los hospitales y los sistemas hospitalarios por dinero”, dice Sami Saydjari, experto en cibernética y presidente de la Agencia de Defensa Cibernética (CDA, por sus siglas en inglés). “Definitivamente, se podría anticipar que la gente haga eso (retener el sistema operativo) en la comunidad aeroespacial, reteniendo aeronaves para pedir un rescate. Creo que se avecina”.

Además, también hay temores en torno al “spoofing”, en el que los piratas informáticos se introducen en los sistemas aeroespaciales y se hacen pasar por una fuente confiable. Ella Marie Atkins, profesora del departamento de ingeniería aeroespacial de la Universidad de Michigan, dice: “El escenario de pesadilla es un falso controlador de tráfico aéreo intentando hacer que la gente se estrelle entre sí”.

Los niveles de riesgo cibernético han aumentado a medida que la industria aeroespacial se ha digitalizado, introduciendo más conectividad y automatización en sus sistemas operativos.

“En el mundo aeroespacial, el avión siempre ha estado desconectado (del ámbito digital)” afirma Saydjari. “Pero ahora estamos conectando los aviones a las computadoras en tierra. Al estar conectados, somos mucho, mucho más vulnerables”. Los aviones actuales “dependen de la información de tierra para la navegación”, dice.

Dada la magnitud de los posibles ciberataques —y la amplitud de la superficie de ataque—, el sector recurre cada vez más a tecnologías como el aprendizaje automático y la inteligencia artificial para ayudar a vigilar comportamientos inusuales y defenderse automáticamente de los ataques o contenerlos. El uso de estas tecnologías se intensificará a medida que los atacantes se armen cada vez más con herramientas similares.

“La inteligencia artificial puede facilitar la automatización de tareas relativamente comunes y sencillas, liberando tiempo para que los ingenieros de seguridad se centren en ataques más creativos”, explica Rogier Fischer, director ejecutivo de la compañía de ciberseguridad Hadrian.

La inteligencia artificial es especialmente importante en un sector en el que la velocidad de respuesta es vital y hay mucho en juego. Los pilotos están entrenados para tomar decisiones en menos de un segundo, pero las computadoras operan a una billonésima de segundo, señala Saydjari.

Todd Moore, vicepresidente de protección de datos de Thales, está de acuerdo en que las defensas cibernéticas deben seguir el ritmo. “Es probable que el futuro de los ciberataques se base en armas cibernéticas inteligentes autónomas y, por tanto, se necesita una ciberdefensa autónoma que actúe a la velocidad y escala de los sistemas y ataques”, afirma.

Pero, más allá de la inteligencia artificial, los expertos afirman que el sector todavía tiene que hacer más para mejorar su cibersalud general, a través de otras tecnologías. El doctor Matthew McFadden, vicepresidente de cibernética de General Dynamics Information Technology, afirma que entre ellas se encuentran la verificación multifactor, la segmentación (dividir una red en partes más pequeñas para garantizar que un ataque no se extienda demasiado) y la administración de identidades y accesos.

“El camino hacia la seguridad a largo plazo pasa por el refuerzo de los estándares, la mejora de la gobernanza de los datos y una profunda cooperación en el sector”, dice Moore, de Thales.

Evitar las catástrofes también se reduce a una planeación desarrollada cuidadosamente. “Hay que tener planes para las fallas y los respaldos”, dice Atkins, de la Universidad de Michigan. Dice que la industria de la aviación siempre se asegura de que haya “tres de todo” cuando se trata de elementos críticos de un avión: radios, computadoras y sistemas hidráulicos, por ejemplo.

Este principio también se aplica a los enlaces de datos —las tecnologías de comunicación digital entre los aviones y los sistemas en tierra— agrega. Además, las tecnologías en las que se basa deben ser diversas: WiFi, frente a un sistema de comunicaciones por satélite, frente a 5G, por ejemplo. “No se puede depender de solo un enlace porque no va a ser lo suficientemente confiable”, dice Atkins. “Hay que empezar a mezclar y combinar”.

Saydjari cree que las compañías del sector deberían someterse a una “evaluación de riesgos técnicos realmente seria sobre las probabilidades y consecuencias de diversos escenarios de ataque”. Las lecciones aprendidas deberían incorporarse a todas las decisiones de ingeniería de sistemas que se tomen en el futuro, afirma.

La educación es vital, coincide Steve Lee, director senior de contenidos adyacentes y desarrollo de productos del American Institute of Aeronautics and Astronautics. “Los profesores que le enseñan a la próxima generación de ingenieros aeroespaciales tienen que empezar a enseñar seguridad cibernética e incluirla en su plan de estudios”.

GAF