El preocupante hallazgo de una universidad: los satélites apenas están ciberprotegidos

Dos tipos de traje oscuro y cara de pocos amigos pegaron en la puerta de aquel piso de extrarradio barcelonés. Las identificaciones mostradas tenían tres letras y estaban emitidas por el Gobierno estadounidense. Habían ido a buscar a un joven estudiante para pedirle explicaciones acerca del porqué. Pero lo más importante era otra cosa: el cómo. La incógnita era cómo había conseguido mover, desde su habitación, los paneles solares de un satélite militar de comunicaciones.

El caso, enmarcado a principios de los años noventa, no era ni el único ni el primero. En esa época, y sobre todo en Brasil, miles de usuarios no autorizados usaron los satélites militares FLTSATCOM como si fueran suyos. En la creencia de creerse invulnerables, carecían de autenticación o cifrado en los transpondedores de voz y datos. Hubo redadas en la denominada «Operación Satélite», aunque los ciberpiratas no enviaban comandos a los satélites, sino que tan solo los utilizaban como meros repetidores.

Más llamativa resultó la hazaña de aquellos que recuperaron el control de una sonda de la NASA abandonada. Lo hicieron transmitiendo desde el radiotelescopio de Arecibo y tras llegar a acuerdos con la agencia. Intentaron encender motores y maniobrarla; fue un esfuerzo público y autorizado, no clandestino. Lo llamativo del asunto es que no eran sesudos ingenieros de una exótica agencia tecnológica, sino unos radioaficionados.

El problema ahora, tal y como expone la revista Wired, es que muchos satélites civiles y militares no fueron diseñados para evitar su intrusión. Estar a cientos o unos pocos miles de kilómetros de altitud no te libra de que unos hackers, con buenas o malas intenciones, accedan a los contenidos o incluso a la propia gobernanza del aparato. La suerte, al menos de momento, es que los que han logrado acceder a llamadas, mensajes de texto, datos militares y corporativos lo han hecho de buena fe.

Un grupo de trabajo conjunto de la Universidad de California en San Diego y la de Maryland, con un equipo de apenas ochocientos euros, descubrió una cantidad asombrosa de información transmitida sin cifrado por un buen puñado de satélites. Y todo, al alcance de una antena parabólica común y dispositivos que se pueden encontrar con facilidad en el mercado comercial.

Los satélites emiten datos a la Tierra constantemente, en todas direcciones. Sería lógico esperar que esas transmisiones desde el espacio estuvieran cifradas, protegidas contra cualquier curioso con una antena mirando al cielo. Pero, sorprendentemente y de forma preocupante, esa suposición resulta en gran medida equivocada.

Cerca de la mitad de las señales de satélites geoestacionarios, muchas de ellas cargadas de información sensible de consumidores, empresas y gobiernos, han sido dejadas totalmente vulnerables a la interceptación. Este hallazgo ha repercutido en toda la industria de la ciberseguridad, en las empresas de telecomunicaciones y en agencias militares y de inteligencia de todo el mundo.

Durante tres años, el equipo de investigadores utilizó un receptor de señales de satélite y lo instaló sobre el techo de un edificio en La Jolla, San Diego. Con solo apuntar su antena hacia distintos satélites y pasar meses interpretando señales complejas –pero no protegidas–, lograron recopilar una ingente cantidad de datos que deberían ser opacos al ojo ajeno.

Desde fragmentos de llamadas y mensajes de texto en la red de T-Mobile hasta datos de pasajeros en vuelos comerciales, comunicaciones vinculadas a infraestructuras sensibles como redes eléctricas y plataformas petrolíferas. Los casos más graves estaban relacionados con transmisiones militares y fuerzas del orden tanto de Estados Unidos como de México. En ellas se revelaba la ubicación de personal, equipos e instalaciones.

Durante el último año, el equipo ha estado advirtiendo a empresas y agencias cuyos datos sensibles encontraron expuestos. Algunas, como T-Mobile, actuaron rápidamente para cifrar sus comunicaciones. Otras, incluidos propietarios de infraestructuras críticas en Estados Unidos, no han implementado medidas de cifrado. Aunque ya había advertencias previas sobre los riesgos de esta brecha de seguridad, el alcance y nivel de detalle de este nuevo informe no tienen precedentes.

Un problema mucho más grande

Dicho estudio solo abarcó una pequeña fracción de los satélites geoestacionarios visibles desde San Diego, que viene a ser alrededor del 15% del total operativo, según sus estimaciones. Esto sugiere que el problema puede ser mucho mayor. Tal y como recoge Wired, Matt Green, profesor de informática especializado en ciberseguridad en la Universidad Johns Hopkins, quien revisó el estudio, advierte que esta vulnerabilidad probablemente persistirá durante años mientras empresas y gobiernos se enfrentan a los desafíos de modernizar sistemas obsoletos.

Aunque el trabajo académico contribuirá a solucionar una pequeña parte del problema, Green no cree que se produzca un cambio inmediato y generalizado. Entiende que sería bastante sorprendente que las agencias de inteligencia, de cualquier tamaño, no estén ya explotando estas vulnerabilidades.

Uno de los agujeros de seguridad está precisamente en el aire, pero más abajo, casi al nivel del suelo. Parte del tráfico interceptado proviene de torres de comunicaciones inalámbricas en zonas remotas; esas antenas de telefonía que pueblan montes y serranías. En lugares desérticos, zonas montañosas o de difícil acceso, con frecuencia este tipo de torre no tiene conexión física con la red de sus operadores y, en su lugar, se enlazan vía satélite. Esto hace posible que cualquier persona con una antena en su entorno pueda capturar esas señales.

Las compañías con actividad a su alrededor

Con esa técnica, los investigadores lograron interceptar señales no cifradas de T-Mobile, AT&T México y Telmex. Solo en nueve horas de escucha pasiva recolectaron los números telefónicos de más de 2.700 usuarios de T-Mobile, junto con los contenidos de sus llamadas y mensajes de texto. Cabe aclarar que solo podían acceder a un lado de la conversación: los datos enviados hacia la torre remota, no los que salían desde ella, lo cual requeriría una segunda antena ubicada más cerca del punto receptor.

Además de las comunicaciones personales, los investigadores encontraron información militar delicada. Detectaron tráfico no cifrado proveniente de buques militares estadounidenses que incluían los nombres de las embarcaciones. En el caso de México, la exposición fue mucho más grave: comunicaciones abiertas con centros de mando, instalaciones de vigilancia y unidades de las fuerzas armadas. En algunos casos se transmitía inteligencia relacionada con operaciones contra el narcotráfico; en otros, registros de mantenimiento de helicópteros de combate, ubicaciones de activos militares e incluso detalles de sus misiones.

También descubrieron transmisiones industriales igualmente sensibles. La Comisión Federal de Electricidad (CFE), empresa estatal mexicana, estaba enviando comunicaciones internas sin cifrar: órdenes de trabajo con nombres y direcciones de clientes, reportes de fallos técnicas y advertencias sobre riesgos de seguridad. Los investigadores alertaron al CERT-MX –la unidad de respuesta a incidentes cibernéticos de México– en abril y posteriormente también contactaron directamente a las empresas afectadas.

Algunos tomaron medidas; otros no

También interceptaron correos y registros de inventario de la subsidiaria mexicana de Walmart, transmisiones hacia cajeros automáticos de Santander México, así como de los bancos Banjército y Banorte. Algunos portavoces afirmaron que la información recolectada no comprometía a clientes. Walmart, por ejemplo, confirmó que tras ser notificados implementaron cifrado en sus comunicaciones vía satélite. Santander aseguró que los cajeros involucrados se encontraban en zonas remotas y que se tomaron medidas correctivas. Otros no respondieron.

El equipo utilizado era muy sencillo. La antena parabólica costó unos 170 euros, el soporte motorizado necesario unos 120 y la tarjeta sintonizadora poco más de 200. Son recursos fáciles de encontrar en tiendas especializadas; nada propio de grandes entidades relacionadas con la seguridad nacional. Matt Blaze, profesor de criptografía en Georgetown, dijo: «De aquí a unas semanas, seguramente habrá cientos –quizá miles– de personas replicando este experimento, muchas de las cuales no van a contarnos lo que encuentran allá arriba». Lo único que realmente impidió que otros lo hicieran antes fue el tiempo que dedicaron a ajustar y analizar los datos.

Los investigadores reconocen que su trabajo puede servir de guía para actores maliciosos; sin embargo, argumentan que visibilizar estas fallas es el primer paso para solucionarlas. La Agencia de Seguridad Nacional (NSA) de EEUU emitió una advertencia en 2022 sobre la falta de cifrado en las comunicaciones vía satélite. Los investigadores creen que es bastante posible que las agencias de inteligencia de China, Rusia y otros países hayan estado escuchando el cielo todo este tiempo. Lo que queda menos claro es qué han oído exactamente. De momento, no le han movido los paneles solares a ninguno. Que se sepa.