La respuesta a la presentación fue positiva, aunque algo cínica, según Angus. "La mayoría se llevó las manos a la cabeza cuando se dieron cuenta de lo que había hecho y cómo lo había hecho, y lo único que les impedía hacerlo era la burocracia", indica. Cáceres recuerda que uno de los asistentes respondió con un chiste: que Cáceres olvidó el paso en el que presenta un PowerPoint de 100 diapositivas a alguien que no entiende de qué está hablando y luego le deniega la autorización.

Demasiado caliente para el Departamento de Defensa

Después de esa presentación inicial, Cáceres dio una charla similar en el Laboratorio Lincoln del Instituto Tecnológico de Massachusetts (MIT), un laboratorio de I+D financiado por el Pentágono, y luego fue invitado a hablar de nuevo cerca de DC, esta vez ante un público más amplio de militares y funcionarios de inteligencia. Este último compromiso se retrasó debido al papeleo y finalmente nunca llegó a producirse, en parte porque Cáceres ya estaba ocupado con una demostración más práctica.

De hecho, mientras Angus buscaba financiamiento para su proyecto, Cáceres se dirigía a otro adversario extranjero para demostrar el alcance del caos cibernético que podía infligir un pequeño equipo. Durante el año siguiente, él y otro hacker, conocido como tu3sday, llevaron a cabo una amplia campaña de intrusión cuyos detalles ambos se negaron a describir.

Cáceres y tu3sday hicieron gran parte de ese trabajo en las oficinas de la empresa de Angus, visitando el sitio docenas de veces a lo largo del año siguiente. Pero Cáceres sostiene que el trabajo nunca se llevó a cabo oficialmente con la aprobación o la participación de la empresa, y mucho menos del Pentágono. "El mensaje que recibí fue que era una especie de 'que no te pillen, negaremos todo conocimiento'", recuerda Cáceres.

Mientras tanto, Angus se topaba con obstáculos en sus intentos de conseguir más apoyo oficial para su experimento. "La respuesta inicial fue: 'Deberíamos estar haciendo eso'", menciona. Pero cuando "lo fue comentando por una cadena muy larga, hasta llegar a personas de muy alto nivel para ver si estaban de acuerdo, la mayoría no lo estaban".

Angus aún no sabe por qué su proyecto no prosperó. Cree que, en parte, fue una decisión meditada por el Pentágono de no participar en las operaciones de pirateo más agresivas y libres que habían propuesto. Cree que la resistencia puede explicarse al menos en la misma medida por la esclerótica gestión del Departamento de Defensa y la dificultad de convencerle de que intente algo nuevo que implique riesgo. "Había fuerzas que eran nebulosas incluso para mí, y la gente quería cosas diferentes, y había mucha aversión al riesgo", afirma Angus. "La burocracia fue un factor al cien por cien. Intentaban diluir la responsabilidad".

Tras casi un año de esfuerzos de Angus por encontrar financiamiento para el proyecto y fracasar, Cáceres explica que se dio por vencido y puso fin a sus visitas a la startup. "Teníamos algo realmente poderoso que compartir aquí, y algo que realmente necesitan", indica refiriéndose al ejército estadounidense. "Y realmente no salió nada de ello".

WIRED se puso en contacto con el Departamento de Defensa, el Comando Cibernético y la NSA, pero ninguno respondió a nuestras solicitudes de comentarios.

Un difícil dilema

Incluso después de chocar contra ese muro, Cáceres no ha renunciado a su propuesta. Ahora habla con WIRED bajo su propio nombre, en un intento de reavivar la idea de las "fuerzas especiales" de hackers estadounidenses. Sigue imaginando pequeños equipos que conviertan en un infierno la vida de las bandas de ransomware atacando y destruyendo repetidamente sus servidores y computadoras personales, o irrumpiendo en las carteras de los hackers vinculados a Corea del Norte para robar los cientos de millones de dólares en criptodivisas que sacan habitualmente a las víctimas estadounidenses. También sugiere que las fuerzas cibernéticas de Estados Unidos podrían fácilmente, como P4x, tumbar internet de Corea del Norte durante largos períodos en respuesta a cada robo importante hasta que los ladrones patrocinados por el Estado de Kim se vean obligados a parar. "Por ejemplo, cada vez que roben cien millones de dólares les cerramos Internet durante un año", propone Cáceres. "Averigüemos qué tipo de interrupción hace que se lo piensen dos veces antes de hacer esto".

Cáceres argumenta incluso que este tipo de respuesta disuasoria podría utilizarse en contestación al mal comportamiento ruso o norcoreano en el mundo físico, como crímenes de guerra o abusos de los derechos humanos. Y lo que es más radical, sostiene que los ciberataques estadounidenses no deberían limitarse a objetivos militares, gubernamentales o incluso criminales: las infraestructuras civiles también deberían ser objeto de ataque. Dice que los efectos de esos ataques no deberían considerarse una "ciberguerra", sino simplemente otro tipo de embargo comercial o de sanciones. "Exactamente igual que estamos reteniendo ciertos bienes y negocios de Rusia ahora mismo", compara Cáceres, "podríamos estar reteniendo internet".

Quienes tienen un planteamiento menos agresivo de la ciberpolítica, por supuesto, citan algunas razones válidas por las que el Pentágono podría dudar en adoptar el modelo P4x de hacking patrocinado por el Estado. Si el Mando Cibernético de EE UU adoptara la idea de Cáceres de atacar objetivos civiles, por ejemplo, podría ser acusado de crímenes de guerra, al igual que algunos han dicho sobre los ciberataques de Rusia contra Ucrania, argumenta Jacquelyn Schneider, investigadora de conflictos cibernéticos en la Institución Hoover de Stanford. No solo los ataques indiscriminados contra civiles serían posiblemente inmorales, señala, sino que potencialmente invitarían a otros países a hacer lo mismo, o peor.

"Eso no está bien y no es una buena norma", opina Schneider. Cree que gran parte de la lentitud del gobierno de EE UU a la hora de abordar los ciberataques se debe a su preocupación por evitar golpear involuntariamente a civiles, así como infringir el derecho internacional o desencadenar peligrosas represalias.

Sin embargo, Schneider admite que Cáceres y Angus tienen razón. Estados Unidos podría estar utilizando más sus fuerzas cibernéticas, y algunas de las explicaciones de por qué no lo hace se deben a la burocracia. "Hay buenas razones, y luego hay malas razones", aclara Schneider. "Como que tenemos una política organizativa complicada, que no sabemos hacer las cosas de otra manera, que se nos da mal utilizar este tipo de talento, que llevamos 50 años haciéndolo así y funcionaba bien para lanzar bombas".

El hackeo ofensivo de Estados Unidos, según todas las apariencias, se ha vuelto menos agresivo y menos ágil en la última media década, señala Schneider. A partir de 2018, por ejemplo, el general Paul Nakasone, entonces jefe del Comando Cibernético, abogó por una estrategia de "defensa hacia adelante" destinada a llevar el conflicto cibernético a la red del enemigo en lugar de esperar a que ocurra en el territorio de Estados Unidos. En aquellos años, el Mando Cibernético lanzó operaciones de hacking disruptivas, diseñadas para paralizar la granja de trolls de la Agencia de Investigación de Internet rusa que difundía desinformación y desmantelar la infraestructura del grupo de ransomware Trickbot, que algunos temían en aquel momento que pudiera utilizarse para interferir en las elecciones de 2020. Desde entonces, sin embargo, el Mando Cibernético y otros hackers militares estadounidenses parecen haber pasado relativamente desapercibidos, dejando a menudo la respuesta a los hackers extranjeros a las fuerzas del orden como el FBI, que se enfrentan a muchas más restricciones legales.

Cáceres no se equivoca del todo al criticar esa postura más conservadora, según Jason Healey, quien hasta febrero trabajó como estratega principal de ciberseguridad en la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos. Healey responde a los argumentos de Cáceres citando el Trilema Subversivo, una idea expuesta en un artículo de 2021 del investigador Lennart Maschmeyer. las operaciones de pirateo tienen que elegir entre intensidad, velocidad y control. Incluso en los años anteriores, más agresivos, el Mando Cibernético de EE UU ha tendido a subir el dial para el control, dice Healey, dándole prioridad sobre esas otras variables. Pero señala que, de hecho, puede haber ciertos objetivos (como las bandas de ransomware o los hackers que trabajan para la agencia de inteligencia militar rusa, GRU) que podrían justificar un reajuste de esos diales. "Para esos objetivos", de acuerdo con Healey, "realmente puedes soltar a los sabuesos".

P4x ha muerto. Viva P4x

En cuanto al propio Cáceres, anuncia que no se opone a que las agencias de hacking estadounidenses adopten un enfoque conservador para limitar sus daños o proteger a los civiles, siempre y cuando actúen. "Está ser conservador, y está no hacer nada", sentencia.

Sobre el argumento de que unos ciberataques más agresivos provocarían una escalada y contraataques de hackers extranjeros, Cáceres piensa en los ataques que esos hackers extranjeros ya están llevando a cabo. El catastrófico ataque del grupo de ransomware AlphV a Change Healthcare en febrero, por ejemplo, paralizó las plataformas de reclamaciones médicas de cientos de proveedores y hospitales, efectos tan perturbadores para la población civil como puede serlo cualquier ciberataque. "Esa escalada ya se está produciendo", responde Cáceres. "No estamos haciendo nada, y ellos siguen escalando".

Cáceres confiesa que no ha renunciado del todo a convencer a alguien en el gobierno de EE UU para que adopte su enfoque más "sin guantes". Abandonar el alias P4x y revelar su nombre real es, en cierto modo, su último intento desesperado de llamar la atención del gobierno estadounidense y reanudar la conversación.

Pero también afirma que no esperará a la aprobación del Pentágono para seguir adelante por su cuenta. "Si sigo con esto solo, o con unas pocas personas en las que confío, puedo avanzar mucho más rápido", esgrime, "puedo joder a la gente que se lo merece, y no tengo que rendir cuentas a nadie".

En otras palabras, puede que el alias P4x esté muerto. Pero la doctrina P4x de la ciberguerra sigue viva.

Fuentes:

https://es.wired.com/articulos/p4x-hacker-justiciero-tumbo-internet-corea-del-norte-se-quita-mascara