La reacción al hack de Sony 'está más allá de la estupidez'

Es un gran día para las noticias sobre el hack a Sony.

Primero, las grandes cadenas de cines anunciaron que no mostrarán la película The Interview luego de ​una violenta y no muy especifica amenaza del grupo Guardians of Peace, el colectivo de hackers que atacó a Sony. Luego l​a compañía anunció que cancelaba completamente el lanzamiento de la película. Ahora el gobierno estadounidense ​sugirió que ​Corea del Norte está detrás del ataque.

Entonces, sí, un gran día.

Para entender todo esto llamé a Peter W. Singer para conocer su opinión, uno de los mayores expertos norteamericanos en ciberseguridad y ciberguerra. Singer es el autor de Cybersecurity and Cyberwar: What Everyone Needs to Know y ​​Wired for War, también es un estratega en la New America Foundation.

Motherboard: Vamos directo al grano. ¿Estos hackers son terroristas? ¿Son ciberterroristas?

Peter W. Singer: Hay dos formas de verlo. Está la definición de terrorismo y la reacción a el. Por culpa de esto ha ocurrido una combinación insípida que alienta actos futuros.

Lo primero es lo que ya ha sucedido. Sony ha dicho que es ciberterrorismo y ​muchos medios también lo han descrito así. La realidad es que ver tus guiones en línea no constituye un acto terrorista. El FBI describe el terrorismo como 'un hecho que resulta en violencia'. Perder el guión de la próxima película de James Bond que habla sobre violencia no es lo mismo que un acto violento.

Lo que le ha sucedido a Sony no se acerca a la definición. Ellos dicen que "este es un acto de guerra". Nosotros no vamos a ir a la guerra con Corea del Norte porque Angelina Jolie está enojada con los ejecutivos de Sony. Los actos de guerra tienen un estándar diferente.

Estamos más allá de la estupidez con esto, literalmente.

Y también existen las amenazas de violencia.
Este grupo amenazó ayer con incidentes tipo 11 de septiembre en cualquier cine que muestre la película. Necesitamos distinguir entre amenaza y capacidad. La habilidad de robar emails en una red de computadores que no está muy protegida no es lo mismo que ser capaz de llevar a cabo un ataque físico como el del 11 de septiembre en 18.000 lugares al mismo tiempo. No puedo creer que esté diciendo esto. No puedo creer que tenga que decir esto.

Este grupo no ha mostrado la capacidad de hacerlo. En estos momentos Sony lamenta cualquier asociación que ha tenido con la película. No estamos en la esfera del 11 de septiembre. ¿Las cadenas de cines vieron la realidad de esta amenaza? ¿O las cadenas de cines se rindieron absolutamente? Eso está mas allá de los sueños de estos agresores.

​Ayer hablé con Bruce Schneier, y él me dijo que Sony está jugando a ser la víctima. ¿Sony tomó un evento desafortunado y lo convirtió en un incidente internacional?
Ahora llegamos a la parte en que vamos desde la bromas y las tonteras a la seriedad. Este es caso de estudio sobre cómo no reaccionar frente a las amenazas y caso de estudio sobre cómo no defender tu red, también lo es sobre cómo no responder a amenazas terroristas.

Le dijimos a cualquier posible agresor que haremos todo lo que ellos quieran.

Me vuela la cabeza, particularmente cuando lo comparas con cosas reales que sucedieron. Alguien mató a 12 personas y le disparó a otras 70 en la primera noche que dieron Batman: The Dark Knight Rises. Esa película siguió en los cines. ¿Qué pasa si te enfrentas con una amenaza cibernética anónima que no puedes verificar? Sacas la película de 18 mil cines.

Desde el comienzo Sony y los medios han descrito esto como un hack expansivo y que todavía sucede y han asustado a todos más allá de lo creíble. ¿Qué pasó aquí?
​ Los agresores comprenden la psiquis norteamericana. Esto fue un hack, pero llamalo 'ciber' y 'terrorismo' y nos cagamos en los pantalones. No hay otra forma de explicarlo.

Schneier sugirió que Sony lo llama ciberterrorismo para que parezca peor. Da la impresión que la compañía no tuvo cómo defenderse. ¿Los ejecutivos están haciendo esto para mantener sus trabajos?
​ Si, no quieres estar en la categoría de cuando se culpa a la víctima, pero Sony ha tenido hacks anteriormente. ​Fueron hackeados el 2005 y los ejecutivos siguen enviando emails entre ellos como si fuera 1997 y es la primera vez que envían uno.

Dejando de lado lo anterior, incluso las mejores compañías con la mejor ciberseguridad son hackeadas. El banco JP Morgan, los militares de Estados Unidos, la Casa Blanca. La realidad que podemos elegir entre una mentalidad de 'cagarnos en los pantalones' o una mentalidad mucho mejor que es enfocarse en la resistencia.

Es sobre aceptar el hecho que cosas malas pueden suceder y tu puedes ejercer poder sobre ellas. Es sobre levantarse rápidamente cuando estas knockeado, lo que le quita incentivo al atacante.

Tu reacción puede ser 'me rindo' o 'vamos a mostrar la película de todas formas'.

¿Qué opinas sobre la idea de lanzar la película en línea ahora mismo? ¿Sería lavarse las manos?
​ No lo creo. Lo que hemos aprendido sobre ​Sony y sus acercamientos a la piratería es a través de la MPAA, esto habría puesto a Sony es una fantástica e interesante posición para decir 'Es contra lo que hemos peleado todos estos años, pero acá está la película'.

Pero la película debería ser lanzada.
Esto ha traído muchas publicidad a esta película y, por lo que sabemos, no es tan bueno. Definitivamente no habría esta publicidad, pagada o gratis. El problema es que si no lanzas la película, no puede hacer limonada con los limones. En ese momento lo están haciendo. Al esconderse ellos creen que están minimizando sus perdidas, pero están sentando un precedente horrible que hace mal a las otras compañías.

Hay un paralelo con las bombas en la maratón de Boston. Voy a ser cuidadoso en esto. Los ataques en Boston fueron reales y gente murió. No es la misma categoría, pero un gran número de analistas de terrorismo dijeron que había que cerrar toda la ciudad de Boston, lo que es un mal mensaje. Le dice a los terroristas en todo el mundo que si dos personas poco entrenadas con una bomba hecha en una arrocera pueden cerrar una ciudad norteamericana ¿Qué podemos hacer nosotros, que somos buenos en esto?

No se sabe si fue Corea del Norte o no, pero ¿Crees que fueron ellos? ¿Es importante?
​ Es una cosa de atribución. Las víctimas siempre quieren saber quién lo hizo. En el mundo virtual es más difícil saber quién lo hizo por razones técnicas, pero también ¿Qué tipo de prueba necesitamos? ¿Una prueba legal? ¿Una prueba para la opinión publica o una prueba que salió desde un cuarto en la Casa Blanca??

Hasta ahora la información apunta a grupos de Corea del Norte, pero está basado en el contexto. No es el tipo de prueba necesario en una corte. El contexto mezcla el hecho que están enojados por la película y ciertas técnicas que son similares a las utilizadas en otros ataques que no están vinculados definitivamente con Corea del Norte. Es suficiente para que la gente hable al menos.

Pero ¿Importa?
Está, de muchas maneras, más allá de la discusión. Incluso si Corea del Norte da un paso adelante y dice orgullosamente 'nosotros lo hicimos' ¿Cuál es el recurso de Sony? No tienen muchos. Supongo que pueden demandar a Corea del Norte.

El gobierno puede ayudar a defender esta compañía y prevenir hacks, pero en términos de castigo a Norcorea ¿Qué pueden hacer? No es un acto de guerra. Es muy molesto para Sony, pero no es un acto de guerra.

No fuimos a la guerra con Corea del Norte cuando ​mataron soldados norteamericanos a hachazos. No fuimos a la guerra con Corea del Norte ​cuando le dispararon misiles a nuestros aliados. No fuimos a la guerra con Corea del Norte cuando ​torpedearon un submarino aliado y mataron a algunos de sus soldados. ¿Me dices que vamos a ir a la guerra porque un ejecutivo describió a Angelina Jolie como una diva? Eso no va a suceder.

Actualización, 18/12: ​Más de Peter Singer sobre las consecuencias del hack a Sony:—"Esto será un caso de estudio. Puedo garantizar que sera utilizado y mal utilizado para todo, desde legislacion a ventas de ciberseguridad."