Las noticias de Herrero: Oleada de ciberataques en Europa contra los sistemas de refrigeración

0:00 En Casa de Herrero, con Luis Herrero, es radio. Faltan 18 minutos, amigos, para que sean las 5 de la tarde, las 4 en la Comunidad Canaria. Vamos a ver cómo está el santoral. Hoy el santoral, hoy tienen ustedes que felicitar, si tienen amigos, a los Martín, porque es el Martín de Porres, a los Germán. A los Valentín y a las Silvias. San Martín de Porres, San Germán, San Valentín y Santa Silvia.¿ Cuál es el más común de los cuatro? Pues yo creo que Germán, pero es que yo creo que Martín. Es Martín. Aquí con una confianza, pues no, pues no, pues los habéis colado todos. Son Silvia, Silvia hay 120.455 y el segundo más común es Martín, que hay 79.496, o sea que hay muchas más Silvias. O sea que hemos elegido los dos últimos. Sí, no, no, no, bueno, Germán hay 24.000 y Valentín es el que menos hay, 21.700.

1:06 Bueno, pues nada, muy bien. Y luego, todavía hay gente, aquí es curioso, porque yo conozco de los cuatro nombres poco comunes, conozco a dos. Quiere decir que conozco a dos personas que los tienen. Hoy es Santa Ida, San Teófilo, conozco a un teófilo, San Cirilo, quien lo conoce aquí en esta casa, Cirilo, y a San Hilario. Así que,¿ cuál es el menos común de los cuatro nombres? El menos común, sí. El menos teófilo. Yo diría Santa Ida, el menos común Bueno, no, es que es el más común, ¿no? Sí, el más común. Del que más hay, de estos. Bueno, tú puedes hacerlo al revés. Bueno, sí. Venga complícalo más.¿ Qué queréis?

1:46 El más común de estos o el menos común? Da igual, porque yo me voy a colar igual. No voy a arriesgar en ningún pronóstico. Hubiera hecho el ridículo suficientemente. Bueno, pues os lo digo, venga. El más común es Hilario, que yo pensé que era Cirilo. Pues no, es Hilario. 4.900 Hilarios. Hilario Pino. Sí, Teófilos 3214, Cirilos 1106 y Idas 337. O sea, que Idas es el menos común. Bueno, en eso había acertado a Inés Hernández. Bueno,¿ y en las redes de qué se está hablando? Pues está hablando de la trágica muerte del delantero del Tenerife, de José de Miguel, que se ha confirmado esta mañana, sabemos que estaba hospitalizado después de que ayer sufriese una parada cardiorrespiratoria cuando disputaba un partido contra el Andorra y el portero del Andorra, Jesús Ogueno, le hizo una entrada. Pues bastante fuerte, que le dejó tendido en el campo inconsciente y el fallecimiento se ha conocido esta mañana. El hashtag, el trending topic es José Miguel. Hay otro hashtag también muy comentado que es asesino. Hay que decir que la Federación Española ha comunicado que se suspenden los partidos de la Copa del Rey de hoy, de la Copa de la Reina también.

2:51 Y también hay gente que está pidiendo que se suspenda la próxima jornada de liga. Y entre los comentarios he encontrado un poco de todo, porque sobre todo hay comentarios muy duros con el portero Oguono. Por ejemplo, dicen, lo ha matado, nunca debería volver a jugar al fútbol, no le importaban las consecuencias que eso tendría. Oguono debe ser inhabilitado de por vida y juzgado por homicidio. Pienso que ese portero debe ser expulsado del fútbol, encarcelado por lesiones imprudentes e indemnizar a la familia del fallecido. Habría que meterlo en la cárcel, ha sido completamente intencional, es un asesino. Me parece que son comentarios bastante fuertes, la verdad. Y luego también hay gente que le defiende y dice, a ver, esto es fútbol, no sabía que iba a morir, no vayan a culpar de eso a Ogonó. Y otro dice, a ver, no fue el primero en morir durante un deporte, no se lo deseo a nadie, pero no hay forma de decir que va a ser el último. Es deporte, por el amor de Dios, ha muerto más gente por algo así. Y bueno, pues es complicado. También hay gente en tono conciliador, que dice que... A ver, dice,¿ cómo se sentiría el darse cuenta de que causó la muerte a otro hombre para evitar que marcara?

3:55 Juzgar la intención me parece arriesgadísimo. No creo que Hugo no tuviera la intención de causarle ese daño irreparable. Al delantero se ve en una situación apurada y hace lo que instintivamente, perdón, hacen todos los porteros. Los porteros siempre se protegen instintivamente subiendo una rodilla. Las consecuencias son tremendas y yo no sé muy bien cómo hay que hincarle el diente a esta polémica, pero es verdad que Ángeles Hernández ha tenido la oportunidad de escuchar muchos testimonios y de ver cómo está la cuestión. Sí, la verdad es que las imágenes impactaban al entrar los servicios médicos en el campo. El portero del Andorra fue expulsado por esa acción y según el acta del colegiado fue expulsado por impactar bruscamente con su pierna en alto sobre un adversario con uso de fuerza excesiva cuando el balón estaba en disputa. Ahora la Policía Nacional ha abierto diligencias para esclarecer las circunstancias del ocurrido y determinar si pudiera existir alguna responsabilidad penal por un posible homicidio imprudente.

4:50 Una investigación que no supone en ningún caso que se haya declarado culpable. Ante una tragedia de esta magnitud, la gran pregunta que se hace la afición en la calle es inmediata.¿ Puede un deportista ser considerado responsable desde una perspectiva penal por una acción en pleno partido? Nos responde el abogado experto en Derecho Deportivo, Alberto Palomar. Sí. En la historia reciente, toda la jurisprudencia penal había venido diciendo que esa responsabilidad era básicamente una responsabilidad judicial. muy diluida, porque se entendía que uno asume un riesgo cuando practica un deporte y que el deporte contiene unos riesgos.

5:34 Es cierto, últimamente, que se ha dicho que eso tiene algunos matices y que si finalmente se demuestra un grado de culpabilidad o un grado de negligencia punible, pues que podría producirse. Que yo recuerde, no hay precedentes. Como bien señala el análisis jurídico, aunque históricamente la justicia ha protegido el riesgo implícito de la competición, la puerta no está cerrada del todo si se detecta una negligencia punible a pesar de la ausencia de precedentes claros. La siguiente cuestión clave que se plantea la sociedad es qué características exactas tendría que tener una acción sobre el terreno de campo para cruzar la línea de lo meramente deportivo y convertirse en algo punible ante la ley.

6:21 Desde el punto de vista de qué características tendría la acción, hay que decir que la acción tendría que ser algo que se aparte notoriamente de las reglas de juego y de lo esperable en un marco deportivo, incluso en la parte disciplinaria que recoge ya algunas conductas punibles, pero que no tienen como resultado final, como idea final, La idea de abordar o de afrentar la vida o la integridad del otro deportista. Es cierto que según la normativa del IFAB, un portero puede salir a disputar un balón con la rodilla adelantada o elevada. No está prohibido por el reglamento. Lo determinante es cómo realiza esa acción y qué riesgo genera. La UEFA explica expresamente que el guardameta tiene derecho a salir a por el balón, tanto lanzándose a los pies de un atacante como saltando para interceptar un centro. El contacto físico puede ser inevitable en estas situaciones.¿ Cuándo está permitido?

7:22 al saltar para interceptar un balón aéreo, al salir a despejar un balón dividido o al protegerse en una colisión. O sea que habrá que mirarlo bien. Está claro que el jugador no tenía la intención de matar al adversario, pero habrá que esperar. El hecho de que la policía haya intervenido es una cosa también muy sorprendente. No tengo noticia, por cierto, no hay ninguna reacción de, bueno, no sabemos en este momento en qué estado de ánimo se encuentran, no debe ser fácil para él tampoco. En fin, es una tremenda noticia, es trágico, es lamentable. sobre todo para los que nos gusta el fútbol, no hay ninguna duda. Bueno, cambiemos el asunto porque en estos 10 minutos que faltan, hasta las noticias de las 5, les quiero contar una noticia que yo creo que en el mundo en el que vivimos va a ser cada vez más frecuente, cada vez dependemos más de la tecnología. Escuchábamos antes cómo el señor Puente, ministro de Transportes, quiere introducir ya la inteligencia artificial para tratar de mejorar la seguridad de los trenes. Bueno, pues esto de la dependencia tecnológica tiene sus pequeñas pegas.

8:23 Por ejemplo, noticia que ha alarmado mucho a nueve países que es donde se ha producido un ciberataque que ha determinado que las cámaras frigoríficas de los supermercados suban hasta los 50 grados y por lo tanto todo lo que tenían almacenado se ha echado a perder. Millones y millones de euros en pérdidas de alimentos, pero sobre todo una expresión de vulnerabilidad.¿ Esto puede pasar, por ejemplo, en España?¿ O si pasa con los frigoríficos de los supermercados, puede pasar con algún otro tipo de servicio? Esta es la cuestión que hemos querido abordar a partir de ahora.

9:09 y han cambiado sus parámetros para que dejen de enfriar... en algunos casos la temperatura ha llegado a los 50 grados... el resultado ha sido toneladas de alimentos echados a perder... y pérdidas millonarias para las cadenas afectadas... el último ataque se ha detectado la madrugada de este lunes... en supermercados de al menos nueve países europeos... como Bélgica, Suecia, Países Bajos, Irlanda, Luxemburgo... Estonia, Finlandia, Italia y Portugal... Entre las cadenas afectadas figuran Carrefour, Deleuze, Ica y Coupe. Pero lo ocurrido no es un episodio aislado. Hace apenas tres semanas, cerca de 700 supermercados franceses sufrieron un ataque muy similar. Así que han sido dos oleadas en un corto espacio de tiempo que han puesto sobre la mesa la vulnerabilidad de los sistemas que controlan servicios esenciales.

9:56 Una inquietud que comparten también los propios afectados comunitarios. este cliente de un supermercado sueco También es aterrador que seamos tan vulnerables. Si de hecho tantas personas han sido atacadas en una sola noche en distintos países simultáneamente, y si suponemos que se trata de los mismos atacantes, resulta muy inquietante y genera una sensación de vulnerabilidad en la sociedad en general. Por ahora no se sabe quién está detrás, ningún grupo ha reivindicado los ataques y no hay pruebas que permitan atribuirlos a un Estado o a una organización concreta, pero entre las hipótesis se barajan desde acciones de sabotaje hasta ciberdelincuentes que aprovechan fallos de seguridad.¿ Cómo han conseguido hacerlo?

10:37 Pues los supermercados afectados, hay que decir que utilizan sistemas de refrigeración conectados a Internet que permiten controlar las temperaturas de las cámaras y los congeladores a distancia, entonces Lo que han hecho los piratas informáticos es conseguir entrar en esos sistemas, aprovechando que en algunos casos mantenían contraseñas predeterminadas, y modificar los parámetros de funcionamiento para que dejaran de enfriar. Ahora lo que todos nos preguntamos es si algo así podría ocurrir en España. Pues los expertos advierten de que sí. De hecho, se han localizado más de 300 equipos de refrigeración y climatización accesibles desde Internet en nuestro país. Esto hay que decir que no significa que todos sean vulnerables, pero sí que existe una vía de exposición que obliga a extremar las precauciones y reforzar la seguridad. Y aquí lo verdaderamente preocupante es que esta amenaza va mucho más allá de los supermercados. Hay hospitales, redes de agua e infraestructuras energéticas que, aunque utilizan tecnologías diferentes, también dependen, en algunos casos, de sistemas digitales para controlar algunas de sus operaciones. Entonces, la gran cuestión, Luis, es si estamos preparados para proteger unas infraestructuras que cada vez están más conectadas.

11:48 Pues vamos a trasladarles la pregunta precisamente a David Arroyo Guardeño, que es el científico titular del Grupo de Investigación en Ciberseguridad y en protección de la privacidad del CSIC. Don David, bienvenido, buenas tardes. Hola, buenas tardes. Estamos preparados para asumir estas, digamos, amenazas? Estamos preparados, pero podríamos estar mejor preparados, quiero decir. El hecho de que hayamos tenido la primera oleada de ataques en Francia hace tres semanas y que pasadas tres semanas la estemos volviendo a ver... eh, quiere decir que... que no hemos actuado de forma rauda... eh, y eso nos...

12:31 nos pone también en... en preaviso respecto a esa preparación... es decir, tenemos capacidad operativa... Pero luego, a la hora de la verdad, no somos suficientemente raudos a la hora de implementar los mecanismos que evitarían que volviera a pasar esto y que está volviendo a pasar. Pero quién sería la persona responsable de responder con esa rapidez que usted reclama? Es decir,¿ a quién le corresponde tomar esas medidas con urgencia? Bien, lo que ocurre... Ahí viene sobre todo por el marco regulatorio. En el caso que estamos... abordando, los supermercados no son considerados infraestructura crítica, sino que son considerados como infraestructura fundamental y, por tanto, el marco regulatorio y sancionador no es tan estricto como en el caso de hospitales, de servicios de distribución de agua, y eso hace que al final las medidas no se incorporen todos los raudas y rápidas que debieran efectuarse. Y eso corresponde a los organismos de verificación y de supervisión de ciberseguridad, lo que se llaman los SECIC-3 de los distintos países.¿ Qué es lo que ocurre? Que la mayor parte de estos SECIC-3 no tienen rango de agencia independiente, lo cual hace que se ralentice todavía más la capacidad de forzar una respuesta inmediata de sí. hay un régimen sancionador que no es todo lo estricto que debiera ser y luego el órgano que debiera impulsar de forma automática la incorporación de las

14:05 mejoras no tiene el grado de independencia que debiera tener. Una pregunta que se me ha ocurrido mientras estábamos escuchando esta mañana los detalles de la noticia.¿ Qué sacan estos hackers o como diablos haya que llamarles echando a perder tantos millones de euros en comida? Es decir, hackean los frigoríficos, suben la temperatura,¿ y ellos qué ganan? Bueno, claro, es que aquí hay una cuestión para saber exactamente cuál es la ganancia que tienen, tendríamos que conocer, por lo menos de forma tentativa, cuál es el actor que está detrás. Si el actor que está detrás es un Estado extranjero, por ejemplo, es una medida de erosionar la confianza en instituciones, de crear una sensación de inestabilidad, de incertidumbre. Eso es una estrategia de lo que ahora estamos cada vez más habituados a escuchar de amenaza híbrida, es decir, de que algo que ocurre en la escena ciber acaba perjudicando y afectando en la escena física, en la real. Si la gente percibe que va a tener dificultades para poder acceder a alimentos, eso genera una sensación de zozobra que puede tener repercusiones en términos de paz social, digamos. Entonces, ese es el activo que hay cuando se hace este tipo de ataques. No hay una ganancia económica. La ganancia económica pudiera venir, que no estoy diciendo que fuera el caso de, oye, has visto lo que he hecho en el resto de países, si no me das este tipo

15:36 de contrapartidas, te voy a atacar. No es el caso que estamos porque no tengo suficiente evidencia para ello. Pero en ataques similares, similares con su debida distancia y diferencia, como ocurre en ataques de ransomware y demás, es esta amenaza la que entra en juego a la hora de conseguir un rey. Pero como digo, hasta que no sepamos exactamente qué actor está detrás, y eso es muy complicado... Es muy difícil dirimir cuál es el interés que tienen. El más rápido e inmediato es sabotaje para erosionar la confianza en el funcionamiento de esa infraestructura que nosotros damos por sentada que va a funcionar. Lo ha explicado usted muy bien. Yo me quedo con la copla después de esta pequeña conversación, don David. Tenemos los medios para defendernos, hace falta que seamos rápidos a la hora de aplicarlo.¿ Es un resumen acertado o no?

16:23 Sí, y teniendo en cuenta que esa rapidez a escala europea lo que sigue es coordinación entre los distintos Estados miembros. Tenemos una fragmentación muchas veces en términos operativos muy seria, una cuestión muy fácil. El marco regulatorio que aplica para que tuviéramos mayor capacidad de ser asertivos, exigir que se vayan, que se vayan, que se implementen medidas, es una directiva y no un reglamento. La diferencia entre una directiva y un reglamento es muy importante. Tenemos un reglamento de protección de datos. Si no se cumple la protección de datos, hay un régimen sancionador muy estricto, que además está forzado o está garantizado porque hay una agencia independiente. Esto no ocurre en la escena… donde todavía seguimos teniendo muchos problemas de transposición de directivas y de interoperabilidad y homogeneización. En el caso español se da la simpática casualidad de que llevamos dos años de retraso transponiendo la directiva que tendría que estar ya habilitada para que pudiéramos ser efectivos en la incorporación de medidas de ciberseguridad. Esto ocurre en el caso de Español, pero ocurre en otros tantos que transposiciones no se hacen de forma adecuada. Y la compartición de marco regulatorio, de evidencia, es fundamental para reaccionar de modo directo.

17:37 Y eso no falla. Luego, por supuesto, tenemos un déficit en cuestiones de recursos humanos. Eso existe, pero antes hay que mejorar lo que mencionaba, que son cuestiones procedimentales. Como país, en el caso concreto de España, nosotros tenemos una batería de personal y de recursos suficientes para hacer frente a esto, pero ya tenemos los antecedentes que tenemos. Entiendo y asumo que llevamos parcheando los sistemas, actualizándolos, segmentando las redes para que no nos ocurra a nosotros. Espero que tenga usted razón. Don David, le agradezco muchísimo.

18:19 Un saludo muy cordial Buenas tardes, hasta luego. Hasta luego. En Casa de Herrero, Es Radio. Es Radio. Ideas claras. 5 y 1, 4 y 1 en Canarias. Es Radio.