POR DR. ÁNGEL DARIÉN ZAPATA MARÍN
Hace aproximadamente diez años transitaba de Cuernavaca rumbo a Tepoztlán. Por diversas circunstancias, no llevaba efectivo y tampoco había podido pasar a un cajero automático. Llegué a la caseta, dispuesto a pagar el peaje, cuando me encontré con una pequeña dificultad: no había sistema. No había forma de cobrar electrónicamente.
Los empleados, con una tranquilidad digna de mejores causas, se limitaron a darme una solución que, por su sencillez, bien podría formar parte de un manual de atención ciudadana elaborado por algún genio de la administración pública: Dese la vuelta y regrese por la libre.
Así, nada más. Sin importar el tiempo perdido, la gasolina consumida, la urgencia del viaje o las razones que me habían llevado hasta ahí. El sistema no funcionaba y, al parecer, eso era un problema exclusivamente mío.
Intenté explicar que no me negaba a pagar, que en aquel entonces el peaje debía rondar los quince o veinte pesos. Propuse que me cobraran manualmente la tarjeta -cargo o cobro con vucher-, que utilizaran algún procedimiento alternativo, incluso que podía firmara un pagaré, pues no me negaba a pagar eran ellos quienes no querían hacerlo y tampoco ofrecían soluciones.
No viene al caso contar cómo resolví finalmente aquella situación. Lo importante es que la experiencia sirve de hilo conductor para reflexionar sobre algo que parece estar pasando inadvertido en medio de los discursos triunfalistas por la digitalización de la economía.
El Congreso en estos días aprobó la Ley de Economía Digital para Pagos Digitales y Electrónicos, que busca extender la utilización de medios de pago electrónicos y digitales en trámites, servicios y actividades económicas. Entre las facultades previstas se encuentra la posibilidad de que la Secretaría de Hacienda y Crédito Público determine sectores estratégicos y actividades relevantes en los que los medios electrónicos se conviertan en la única forma de pago, gradual según dicen, lo que no resulta menor porque permite a esta dependencia un mayor control sobre la actividad económica de las áreas que ésta misma considere, sin entrar en detalles sobre este aspecto también relevante por su impacto, la ley nos invita a imaginar un México en el que todo funciona: las plataformas responden, los servidores nunca se saturan, los bancos mantienen sus servicios, las terminales aceptan pagos, las comunicaciones permanecen estables y ningún delincuente informático tiene la ocurrencia de interferir con el sistema.
Un país maravilloso, casi bucólico, en el que las transacciones fluyen como un arroyo cristalino y la modernidad se presenta puntualmente, sin retrasos ni interrupciones. Qué bonito sería vivir ahí. Lástima que el mundo real tenga la mala costumbre de no respetar las proyecciones de los funcionarios.
También en estos días -el pasado 12 de octubre-, en Francia los refrigeradores se convirtieron en un arma económica, pues un ciberataque afectó los sistemas de refrigeración de cientos de supermercados en Francia. Los atacantes manipularon controles conectados a internet y alteraron los ciclos de descongelación y las temperaturas de equipos que conservaban productos perecederos. El resultado fue la pérdida de alimentos, daños materiales y cuantiosas afectaciones económicas.
Detengámonos un momento en el episodio, no se trató necesariamente de destruir un edificio con explosivos, enviar un ejército de invasión o bloquear físicamente las entradas de los establecimientos. Bastó con intervenir sistemas informáticos que controlaban una actividad cotidiana y esencial: mantener los alimentos a la temperatura adecuada.
Un refrigerador, ese aparato que en cualquier hogar sirve para conservar la leche, la carne y las verduras, se convirtió en un instrumento capaz de producir pérdidas económicas a gran escala.
La lección es elemental: cuando una actividad física depende de un sistema digital, la vulnerabilidad de ese sistema puede trasladarse al mundo material.
En un escenario de guerra híbrida, las acciones hostiles no necesariamente se presentan como una invasión convencional. Pueden combinar sabotaje, desinformación, ataques informáticos y otras operaciones dirigidas a debilitar las capacidades de un adversario, afectar sus servicios o generar desconfianza en sus instituciones.
Ahora traslademos esa experiencia a México. Imaginemos que una interrupción informática afecta simultáneamente los sistemas de cobro de una cadena de gasolineras, una red de casetas o determinadas plataformas bancarias, lo que no es aventurado imaginar considerando que el panorama de la ciberseguridad en el sector público de México, ha estado marcado por diversos incidentes de alto impacto, recuerde el hackeo del colectivo guacamaya a la SEDENA, quien por no haber actualizado un parche de seguridad se extrajo 6 terabytes de información; la Lotería Nacional a quien se secuestró sus servidores a cambio de un rescate; Pemex que inhabilitó diversas computadoras administrativas y su sistema de facturación; para el SAT el colapso del sistema de aduanas, la filtración de una base de datos con registros fiscales; o, en el caso del INE, la filtración del padrón electoral por diversas negligencias y descuidos.
Ahora agregue a esto la alerta internacional que se emitió sobre dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado para desarrollar sitios web y aplicaciones. Los fallos permitían la ejecución remota de código sin autenticación en sistemas vulnerables. Esto se descubrió por investigaciones realizadas con el apoyo de la inteligencia artificial
La noticia es importante por dos razones. La primera: incluso las tecnologías ampliamente utilizadas y mantenidas por comunidades de especialistas pueden presentar vulnerabilidades difíciles de detectar, corregir y desplegar oportunamente. La segunda: la inteligencia artificial puede ayudar a descubrir fallos, pero también modifica las capacidades de quienes intentan aprovecharlos, pues no se trata sólo de una herramienta reservada para los buenos.
Así que tenemos una paradoja interesante. La inteligencia artificial puede ayudarnos a proteger infraestructuras, pero también puede facilitar el reconocimiento de debilidades, la automatización de tareas maliciosas y la producción de engaños cada vez más convincentes; y es que el pasado 8 de octubre se informó de la detención en Metepec de un exfuncionario de Michoacán y presuntos integrantes de una red de extorsión que, según las autoridades, utilizaba inteligencia artificial para imitar las voces de funcionarios y suplantar la identidad de figuras políticas y otros servidores públicos.
La investigación señaló que los implicados aprovechaban relaciones personales, información sobre estructuras gubernamentales y técnicas de suplantación para generar confianza y solicitar recursos o favores. Las personas detenidas fueron presentadas ante las autoridades judiciales, y el caso avanzó a la etapa de vinculación a proceso. Bien por las autoridades que realizaron las detenciones. Sin embargo, antes que la red fuera desarticulada, esta organización generó diversas víctimas con múltiples afectaciones patrimoniales.
Si un delincuente puede utilizar herramientas de inteligencia artificial para hacerse pasar por un funcionario, y engañar a personas que conocen las estructuras del poder, ¿de verdad podemos suponer que las infraestructuras digitales de cobro estarán exentas de riesgos?
¿Que nadie intentará interferir con ellas y aprovechar sus vulnerabilidades?
Aquí la pregunta no es si los ataques ocurrirán, sino sí estamos preparados para responder cuando éstos ocurran.
Ahora, regresemos a la caseta, pero ahora con inteligencia artificial y volvamos a nuestra carretera. Imagine usted a un buen hombre, mal intencionado, que en sus ratos libres decide realizar una travesura informática. Naturalmente, lo hace ayudado por inteligencia artificial, porque hoy hasta las malas ideas pueden aspirar a una pequeña revolución tecnológica.
Por supuesto, los sistemas de cobro de las carreteras mexicanas están perfectamente protegidos; los protocolos de contingencia son impecables, los respaldos funcionan, las auditorías son permanentes y las dependencias gubernamentales cuentan con todos los recursos necesarios para garantizar la continuidad operativa, en suma que no hay austeridad y siempre hay un arco iris en el horizonte.
Ahora imaginemos que un ataque, una falla técnica, una interrupción eléctrica o un problema de conectividad impide procesar los pagos electrónicos en varias casetas, o en las gasolineras, ¿cómo se piensa solucionar tales contingencias en las que, aunque usted tenga dinero, quiera pagar y el proveedor quiera cobrarle, pero, ninguno de los dos pueda concretar la operación, en una parálisis económica infernal en la que todos cumplen su parte, excepto el sistema?
Si piensa amable lector que son exageradas mis preocupaciones, le propongo un ejercicio muy sencillo: recuerde la última vez que se cayó el sistema de su banco, eso que casi nunca ocurre, que falló una terminal de pago o que una plataforma gubernamental dejó de funcionar justo cuando más la necesitaba.
Ahora imagine que ya no tiene otra opción, que no puede pagar en efectivo, no puede hacer una transferencia, no puede comprar combustible, cruzar una caseta o adquirir mercancía porque la infraestructura de la que depende su operación está fuera de servicio. Y que, ante su insistencia, un empleado le ofrece la misma solución que me dieron hace diez años, con la diferencia de que ahora no existe una carretera libre, un cajero alternativo ni una ventanilla en la que pueda resolver el problema.
Lo sentimos, el sistema no funciona. Regrese cuando se restablezca. Bienvenidos a la modernidad.
Antes de convertir el pago electrónico en una obligación exclusiva para determinadas actividades, debemos tener respuestas concretas sobre seguridad informática, continuidad operativa, acceso a los servicios, protección de datos, inclusión financiera y mecanismos alternativos de pago. Debemos saber qué ocurrirá si falla la conectividad, si una institución necesita desconectar sus servidores para contener una amenaza, si una plataforma bancaria deja de funcionar o si un ataque informático afecta simultáneamente varios servicios.
