El robo y la filtración de cientos de miles de correos electrónicos del Estado Mayor Conjunto (Emco) de las Fuerzas Armadas de Chile escalaron ayer hasta convertirse en la mayor crisis en los 12 años de trabajo de esa instancia, creada para asesorar al Ministerio de Defensa y coordinar a las tres ramas en operaciones combinadas.

Anoche, la ministra de Defensa, Maya Fernández, que durante todo el día tuvo sucesivas reuniones para evaluar cursos de acción, confirmó la renuncia del jefe del Emco, general de división Guillermo Paiva Hernández, tercer hombre del Ejército. Y al sumario administrativo y al envío de los antecedentes a la justicia militar que había anunciado en la víspera agregó ayer un oficio al Consejo de Defensa del Estado para que represente a la cartera en las investigaciones.

Señal de La Moneda

La ministra había llegado en la mañana a Santiago, luego que el Presidente Gabriel Boric le instruyera regresar desde Nueva York para “liderar” una respuesta a la crisis. El diseño de La Moneda —acordado en una cita telemática entre el mandatario, Fernández y la vicepresidenta Carolina Tohá— apuntaba a dar una señal sobre la gravedad del caso, ante la eventualidad de que se revelen datos sensibles o que comprometan a Chile en el contexto latinoamericano. Desde el Ejecutivo dicen haber recibido advertencias sobre posibles fallas de seguridad, pero no sobre un hackeo.

Aún extraoficiales, los antecedentes apuntan a un hackeo de 10 mil terabytes de mails de organizaciones militares y policiales de Chile, Colombia, México, Perú y El Salvador reivindicado por el grupo hacktivista Guacamaya (ver recuadro).

Los mensajes vulnerados del Emco corresponden al período febrero 2019-mayo 2022. Esos 39 meses abarcan los mandos de tres jefes del Emco: el vicealmirante Rodrigo Álvarez, el general de división Javier Iturriaga (hasta marzo de 2022, cuando asumió su actual cargo de comandante en jefe del Ejército) y el general Paiva.

La filtración amenaza con crear problemas internos y externos, pues contiene tanto análisis (apreciaciones, en el lenguaje militar) sobre hechos políticos locales como la crisis social, el cambio de gobierno y los estados de excepción, como de sucesos en otros países de la región.

También hay información castrense sensible: Por ejemplo, reportes sobre el despliegue de fuerzas en todo Chile, resúmenes de reuniones de altos mandos y de inteligencia, informes sobre movimientos de tropas, aviones o buques extranjeros y datos respecto del avistamiento de drones, supuestamente bolivianos, que sobrevuelan poblados fronterizos chilenos.

¿Cómo pudo suceder?

Para el presidente de la comisión de Defensa de la Cámara de Diputados, Andrés Jouannet, “si algo no puede pasar es que se vulnere la ciberseguridad de quien debe tener el más alto nivel de ciberseguridad. Tenemos un tema de fondo que enfrentar como Estado”.

Germán Fernández, director de Operaciones de CronUp Ciberseguridad, y Óscar Bravo, ingeniero de seguridad de Arkavia Networks, coinciden en que la filtración pudo ocurrir por una vulnerabilidad llamada ProxyShell, que afecta a los servidores Exchange de Microsoft (en sus versiones 2013, 2016 y 2019) y que permite ejecutar un código remoto y falsificar las solicitudes de acceso a los correos.

Según Bravo, “esta vulnerabilidad era conocida desde 2021 y fue parchada por Microsoft en abril y mayo del mismo año”. En esa ocasión, detalla, la empresa invitó a sus clientes a “ejecutar el parche de seguridad de las plataformas que pudieran verse afectadas por esta vulnerabilidad”.

Un video subido a internet por Guacamaya, explica Fernández, detalla que esa fue la forma en que descargaron los mails. Añade que los parches de Microsoft “ya existían antes de que se conociera la forma de explotar esta vulnerabilidad, por lo tanto, todas las empresas a nivel mundial tuvieron la oportunidad de protegerse antes de que se iniciaran los ataques”.

Gabriel Bergel, CEO de 8.8 Computer Security Conference, introduce un matiz: el origen de la falla y el vector del ataque solo podrán ser identificados con precisión cuando se haga un análisis forense informático. Así se hizo, recuerda, cuando en 2018 varios bancos chilenos fueron víctimas de hackeos y luego se pudo determinar que el ataque provino del grupo Lazarus.

“Mientras no se haga eso, todo es especulación. Claro, podría haber sido (ProxyShell), pero también pudo ser otra vulnerabilidad, (…) o incluso una colusión interna, o sea, alguien del interior de la institución que filtró esta información”, plantea.

El presidente del Consejo para la Transparencia, Francisco Leturia, advirtió que Chile debe avanzar en forma “urgente” en una regulación más prolija y actualizada sobre protección de datos personales y ciberseguridad.