
RIESGO CIBERNÉTICO MARÍTIMO
19/03/2021
El riesgo cibernético marítimo se refiere a la medida del nivel de amenaza de un activo tecnológico por una circunstancia o suceso posibles, que podrían causar fallos operacionales, de seguridad o protección del transporte marítimo al corromperse, perderse o ponerse en peligro información o sistemas.
Las circunstancias actuales debido al COVID-19, forzaron a las empresas marítimas y a los armadores a adaptarse a los accesos remotos, trabajos a distancia, y usar mayor tecnología cibernética, lo cual ha traído ventajas, sin embargo, mayor exposición al riesgo cibernético marítimo. Estos riesgos se han incrementado gradualmente entre 2020 y 2021, exponiendo la industria marítima a los delincuentes cibernéticos.
Los riesgos son cada vez más diversos, y los ataques más minuciosos y novedosos; amenazando su tecnología, operaciones, seguridad o protección de sus cargas o pasajeros, información o sistemas en peligro.
En este artículo, analizaremos sobre el riesgo cibernético marítimo, sus amenazas, y directrices tomadas para la seguridad marítima.
AMENAZAS Y RIESGO CIBERNÉTICO

Tomando en cuenta las circunstancias actuales y previas poco mencionadas, como base de partida, se mencionan algunas de las amenazas o ataques cibernéticos a las embarcaciones marítimas, las cuales pueden empeorar a causa de un simple error o descuido.
- Filtración de manera remota de computadores, salas de máquinas, redes administrativas de la embarcación, por medio de tecnología IT u operativa OT.
- Irrupción en procesos de control térmico de contenedores con carga especial, la cual se rastrean desde largas distancias por medio de sistemas informáticos. Así también, irrupción en los sistemas de control de propulsión, maquinaria y electricidad, y en la planificación, transporte y gestión de la carga; como en los programas de cálculo de carga, estabilidad y esfuerzos estructurales, enlace con la terminal para programar slots de estiba y documentación de carga.
- Penetración al sistema de navegación y gestión de motores causando daños operacionales. En los equipos de navegación; ARPA, ECDIS, GNSS, AIS, VDR.l, en comunicaciones; GMDSS, Sat.com comerciales y de acceso al pasajero. Es importante mencionar que los sistemas de seguridad de la embarcación misma se compromete apagando servidores, sistemas de emergencia y telecomunicaciones.
- Exposición de medios físicos, equipos, programas y aplicaciones, softwares que no están actualizados, pueden ser comprometidos. También es importante mencionar que a veces dispositivos removibles usados el por personal o entregados por terceros pueden traer virus que causen estos ataques.
- Irrupción en los sistemas de control en el puente, como el sistema integrado de navegación, sistema integrado de control de ,máquinas, Centralita C.I., pneles de función puertas C.I., rampas y portas de acceso, puertas estancas, sistema de megafonía. También están en riesgo los sistemas de control de propulsión, maquinaria y electricidad, sistemas de control de accesos, CCTV, IDS, tarjetas acceso zonas restringidas.
- En buques de pasajeros, se comprometen los sistemas de información tales como: listas de pasajeros, tarjetas de embarque, tarjetas de acceso a habitaciones, y cabinas, redes públicas, acceso WI-FI, sistemas administrativos, programas de gestión y mantenimiento con la compañía, sistemas de entretenimiento de la tripulación y pasajeros, ordenadores, servidores, routers, antivirus, cortafuegos, información personal de los pasajeros, sistemas de cargos y pagos del pasajero, tarjetas de crédito, entre otras, comprometiendo así la integridad del pasajero o tripulación.
OTROS CIBERATAQUES MARÍTIMOS

El Malware es un software malicioso que interrumpe o causa daños en el equipo del usuario, se puede pasar por medio de un archivo adjunto de correos electrónicos no solicitados o descargas aparentemente legítimas. Suele utilizarse para exigir cantidades de dinero o con fines políticos. Entre los tipos de malware más comunes se destacan los siguientes:
- Virus: programa específico que se introduce en archivos limpios, se expande por todo el sistema informático, infecta archivos con códigos maliciosos.
- Troyanos: variante de malware con apariencia de software legitimo, puede recopilar datos de interés para el pirata informático.
- Sppyware: programa que registra en secreto lo que haces como usuario, sin notarlo por un tiempo. Generalmente captan datos financieros (bancarios, de tarjetas de crédito, transferencias, etc).
- Ramsomware: este tipo de malware bloquea datos, información y archivos, acompañado de amenazas de borrado, a cambio de dinero o rescates.
- Adware: software de publicidad usado para difundir o contagiar varios tipos de malware.
- Botnets: grupo o redes de computadoras ya infectadas pertenecientes a un usuario, usadas por los cibercriminales para realizar faenas en línea, con distintos fines sin el permisos concedido.
- Inyección de código SQL: una inyección de este tipo de código toma el control de bases de datos, buscando información confidencial.
- Phishing: Ataca y envía a las víctimas correos electrónicos con apariencia legítima asociada a empresas, bancos u otros; requiriendo información confidencial. Si el usuario accede a este mail se convierte en víctima del delito.
- Ataque de intermediario o del tipo «man in the middle»: una técnica para interceptar la comunicación entre dos personas o un usuario conectado a la red y proceder a robarle sus datos. El ciberdelicuente logra este tipo de transgresión cuando uno o ambos usuarios, usan redes wifi “no seguras”, comunes en aeropuertos u otros espacios abiertos al público en general; muy común a bordo.
- Ataque de denegación de servicio: consiste en negar la ejecución correcta de un sistema informático del usuario sobrecargando determinadas redes y/o servidores. Esto puede impedir que un ente u organización pueda cumplir con sus funciones o actividades, en el sector que sea.
GESTIÓN DE LOS RIESGOS CIBERNÉTICOS

La gestión de los riesgos cibernéticos cubre identificar, analizar, evaluar y comunicar estos riesgos pasando por su aceptación, cómo evitarlos, analizando la transferencia y mitigación de esos riesgos hasta niveles aceptables, considerando los costos y las ventajas para los involucrados.
Los sistemas de las embarcaciones están interconectados y asociados a una red cibernética como el sistemas del puente, gestión de la carga, propulsión, máquinas y de control de suministro eléctrico, accesos, sistemas de servicio al pasajero, tripulación, comunicación, entre otras.
Estos sistemas son vulnerables a las amenazas de los diferentes ataques cibernéticos, es por eso que la OMI con su objetivo «contribuir a la seguridad y a la protección de las embarcaciones marítimas», viene creando una serie de normativas y directrices, apoyadas por organizaciones como el Consejo Marítimo Internacional del Bático (BIMCO), International Association of Independent Tanker Owners (INTERBANKO), International Association of Dry Cargo Shipowners (INTERCARGO) y la Asociación Internacional de Líneas de Cruceros (CLIA).
ARTÍCULO QUE TE PODRÍA INTERESAR: «¿QUÉ ES LA OMI?«
Ejemplo de como la gestión de la seguridad puede ser vulnerable si no se toman medidas estrictas, cito el caso del año 2017, cuando el virus Petya (malware de tipo ransomware) afectó a la naviera Maersk causandole una enorme congestión en casi 80 puertos, con altos costos estimados de 255 millones de euros, además del daño reputacional. Este evento afectó a miles de empresas y gobiernos en el mundo, particularmente en países como Holanda, España, Reino Unido, Francia, Rusia, Ucrania, entre otros.

Este malware tipo ransomware cifraba o bloqueaba máquinas, ordenadores y otros sistemas conectados a una misma red. La forma inmediata de proceder a desbloquearles, era pagando un rescate en bitcoins. Esto es un ejemplo más de cuan vulnerable puede estar la industria y de lo importante de tomar mucho más en serio esta amenaza y riesgos.
La OMI publicó la Resolución MSC.428 (98), sobre estas gestiones de riesgos cibernéticos, obligatoria desde el 1 de enero de 2021. Con este enfoque puesto sobre sus elementos que ayudarán a la efectividad de sus objetivos de protección, la cual también se hace mención en el Código ISM (Gestión Internacional de la Seguridad).
Aunque se tienen ya algunas directrices, debido a la carencia de datos, referencias históricas de estas amenazas y sus riesgos registrados por parte de las embarcaciones, aún falta mayor soporte para una mayor concientización en la importancia de esta gestión y sus actores involucrados. Aquí algunas directrices:
- Norma ISO/IEC 27001 Tecnología de Información–Tecnicas de Seguridad–Sistemas de Manejo de la Seguridad de Información– requerimientos. Publicada conjuntamente por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (CEI).
- Marco de mejora de la ciberseguridad de las infraestructuras críticas del Instituto Nacional de Normas y Tecnologías (NIST) (Marco NIST) de los Estados Unidos (NIST Framework).
RECOMENDACIONES
Es importante que las embarcaciones posean sistemas operativos actualizados, con antivirus adecuados, configuraciones de seguridad altamente encriptadas, cuentas y contraseñas con actualización y monitoreo constante; esto debe ser de acuerdo a cada empresa.
Usar técnicas de segmentación de redes, características de seguridad (VLANs), sistemas de monitorización del tráfico de red y la mejora de la seguridad de los servidores. Sistemas más modernos como el SCADA (Supervisory Control and Data Acquisition o Supervisión, Control y Adquisición de datos); software que ayuda en la supervisión y explotación de procesos a bordo, monitoreo de funcionamiento de la maquinaria a bordo; usando sensores que permiten tomar decisiones sobre ejecuciones determinadas.
También considerar capacitar constantemente a la tripulación que le permita estar apto para identificar y reportar los ataques o incidentes cibernéticos. Según estadísticas recopiladas por la empresa Futurenautuc Maritime en 2018, solo el 15% de los marinos reconoce haber recibido formación al respecto y solo el 33% dijo que la última empresa para la que trabajaron tenía una política de cambio regular de contraseñas a bordo. Tanto el personal a bordo como el DPA (persona designada en tierra) para la protección de la embarcación (OCPM), deben estar involucrados en la capacitación e información relacionada con estas amenazas .
Establecer medidas estrictas de monitoreo de riesgos generales y cibernéticos por medio de un equipo o área determinada de personal y así garantizar la seguridad 24/7 y la fluidez de las operaciones. En estos tiempos Post covid es menester contar ya con estas áreas y profesionales de esta especialidad de ahora en adelante.
Instaurar dentro del plan o manual de contingencia y de riesgos de las embarcaciones, planes y medidas preventivas y paliativas para estos ataques como procesos de recuperación de información, procesos rutinarios de soporte de la información o backups automáticos para no comprometer información importante o su pérdida total, como también, crear Firewalls más resistentes, considerar contratar hackers que ya no sean una amenaza social, para analizar las posibles amenazas y crear nuevas barreras de seguridad; todo esto dentro de las posibilidades.
Esta amenaza y sus riesgos relacionados, permanecerán por tiempo indefinido, cada vez más elaborados, con más recursos debido a los alcances tecnológicos y con mayor apertura debido a la nueva realidad a la que nos adaptamos en tiempos post covid, dependemos más de la tecnología y telemecomunicaciones; razones por las cual es fundamental tomar acciones necesarias en la industria marítima para paliar esta modalidad de ataque sin demoras.
Autor: Kerly Cornejo
Fuentes:
- OMI – Comité de Seguridad Marítima (CSM), (Junio 16, 2017) – Resolución MSC.428(98) – «Gestión de los Riesgos Cibernéticos Marítimos en los Sistemas de Gestión de la Seguridad». www.imo.org
- Organización Internacional de Normalización ISO y la Comisión Electrotécnica Internacional CEI – Norma ISO/IEC 27001 (Febrero 2018) – «Information technology – Security techniques – Information security management systems».
- Futurenautics Maritime, 2018 – Encuesta de Conectividad de la Tripulación , estadísticas de ciberseguridad y capacitación .
- Artículo «Ciberseguridad en la automatización a bordo a través de sistemas digitales integrados en redes internas y externas «(2019) – por Luis Sánchez Crespo y José Álvarez – GRUPO COMISMAR-Asociación de Navieros Españoles.
- Artículo: «Ciberseguridad Marítima», por Ab. Gustavo García, (2020)- SOV, Consultores Maritime & Commercial Law . (sovconsultores.com.ve)