Estableciendo nuevas reglas para la guerra cibernética

Los esfuerzos del Comité Internacional de la Cruz Roja (CICR) para lograrlo Establecer reglas para tratar con los combatientes. en una guerra cibernética debería ser bienvenido a nivel internacional, aunque es probable que el apoyo sea limitado. El CICR publicó recientemente un conjunto de reglas que los piratas informáticos civiles deben seguir en los conflictos, aclarando la línea entre civiles y combatientes, ya que el ciberespacio puede ser un lugar de trabajo borroso, especialmente durante la guerra.

En particular, el conflicto en curso entre Rusia y Ucrania ha llevado a que un número sin precedentes de piratas informáticos civiles entren en medio de la guerra y utilicen sus habilidades para alimentar ataques contra bancos, plantas de fabricación, hospitales y ferrocarriles en un intento de influir en la guerra en el un lado o el otro. La cibervigilancia no es nuevo conceptopero la gran escala de estas “bandas” cibernéticas patrióticas emergentes ha dado al CICR motivos para tomar medidas con la esperanza de que los piratas informáticos de ambos lados respeten estas reglas.

Qué hacer y qué no hacer para los hacktivistas

Las ocho reglas del CICR para los “hacktivistas” son:

Estas reglas llegan en un momento en el que nunca ha sido más fácil para grupos o incluso individuos participar en ataques y hacer su parte por su causa. Cuanto más fácil sea para alguien resentido lanzar un ciberataque, menos restrictivas serán estas reglas y menos probable será que se sigan. Muchos de los grupos apátridas involucrados en el conflicto Rusia-Ucrania no están sujetos a las leyes nacionales o internacionales aplicables. De hecho, existen varios grupos, como por ejemplo: grupo Killnet prorrusoya han informado que no seguirán las reglas del ICRS.

Aunque es poco probable que estas reglas sean aceptadas por los grupos de hackers actualmente activos en el conflicto Rusia-Ucrania, el CICR merece elogios por redactarlas y publicarlas. El establecimiento de normas es fundamental para responsabilizar a esos grupos por posibles crímenes de guerra, muerte y destrucción de civiles y otras consecuencias colaterales dañinas.

Las reglas pretenden ser consistentes con el derecho internacional humanitario, un conjunto de reglas que apunta a limitar los efectos de un conflicto armado y constituyen crímenes de guerra si se violan. Las normas del derecho internacional humanitario que rigen los conflictos armados son fundamentales para proteger a los ciudadanos en zonas militares durante la guerra, pero la naturaleza a menudo anónima y distante del ciberespacio significa que será mucho, mucho más difícil hacer cumplir estas nuevas normas del derecho internacional humanitario centradas en los ciberataques. .

La regla número 3, por ejemplo, es absolutamente fundamental para limitar el daño a los civiles durante un conflicto. Pero los piratas informáticos civiles que trabajan en nombre de un objetivo militar pueden desconocer por completo la destrucción no intencionada que causarían con sus ataques. A la hora de prepararse para un ciberataque de cualquier tipo, la inteligencia que tiene un actor en el entorno objetivo rara vez es del 100%, incluso si se trata de un profesional. Por ejemplo, si se va a atacar un solo componente de un banco, pero el atacante no se da cuenta de que un hospital cercano depende de la misma red eléctrica, la situación puede empeorar muy rápidamente. Y cuando se trata de un atacante poco cualificado que tiene poca consideración o comprensión de las capacidades de una herramienta poderosa, es preocupantemente fácil cometer errores de cálculo.

daños colaterales

También es probable que el sector privado sea el más afectado por este daño colateral. Por ejemplo, No Petia —un ataque dirigido a la infraestructura ucraniana— explotó en 2017, paralizando fábricas en todo el mundo y costándole a la naviera Maersk 300 millones de dólares. Otra preocupación es que la comercialización del cibercrimen ha hecho posible que actores menos avanzados tomen prestado malware de última generación y lancen campañas de forma rápida y sencilla. Por ejemplo el oleoducto colonial El ataque probablemente fue organizado por una empresa asociada que lo pagó. malware del lado oscuro. Esto hace que sea mucho más difícil monitorear quién está siendo atacado, e incluso los desarrolladores probablemente no sepan exactamente cómo y dónde se está implementando su malware.

El CICR está enviando estas normas a grupos de piratas informáticos de ambos lados del conflicto y ha pedido a todos los Estados –no sólo a Rusia y Ucrania– que “Dar la debida consideración al riesgo de exponer a los civiles a daños si se les alienta o se les exige que participen en operaciones cibernéticas militares”. Es de esperar que crear ahora los parámetros para los piratas informáticos civiles involucrados en conflictos conduzca a reglas internacionalmente aceptadas y ejecutables en el futuro. Si estas reglas pueden lograr incluso algún grado de disuasión, servirán para prevenir daños y sufrimientos innecesarios en futuros conflictos.