El 27 de marzo, un ataque DDoS provocó que internet se ralentizara en Europa. Sólo fue levemente perceptible en algunas zonas, pero había servicios que funcionaban más lento de lo normal. La culpa se atribuyó a la congestión creada por la empresa holandesa Cyber­bunker, dedicada al alojamiento de todo tipo de webs, que estaba enviando toneladas de tráfico en forma de spam y peticiones de datos a los servidores de la organización Spam­haus. Se trataba de un chantaje: Cyberbunker exigía desaparecer de la lista de servidores que envían masivamente correo no deseado que mantiene Spamhaus y es referencia en todo el mundo. El 26 de agosto, China denunció haber recibido el mayor DDoS de su historia, que tumbó gran parte de los sitios bajo el dominio .cn durante un par de horas. Su autoría no ha llegado a hacerse pública.

Son dos ejemplos de algo que sucede en la red continuamente: los DDoS, ataques distribuidos de denegación de servicio (en sus siglas en inglés). Básicamente, consisten en que muchos ordenadores se comuniquen con un sistema informático de manera simultánea –por ejemplo, que visiten una web o una red y soliciten determinados datos– hasta conseguir que éste se sature y deje de estar accesible. En principio, el agresor no tiene acceso a los datos contenidos en el sistema objetivo del ataque, si bien éste puede generar ciertas situaciones de vulnerabilidad que pueden ser aprovechadas para acceder a las máquinas. Para alcanzar la capacidad de computación necesaria para inun­dar los servidores con suficientes peticiones, se utilizan botnets: redes de ordenadores que se controlan de forma remota. En ocasiones estos ordenadores son “zombis”, han sido infectados por un virus informático y sus propietarios ni siquiera saben que están contribuyendo a generar este tráfico de datos.

En ocasiones, los ataques son lanzados por hacktivistas, siguiendo la tradición inaugurada por los zapatistas en 1998, continuada con el movimiento antiglobalización y popularizada por Anonymous. Algunos de sus simpatizantes han llegado a pedir que los DDoS sean considerados formas legales de manifestarse, como si fueran sentadas virtuales. Sin embargo, en la mayoría de los casos los DDoS responden a intereses económicos: empresas o personas que piden una cantidad de dinero a cambio del cese de hostilidades.

Cibercrimen para todos

Cualquiera que sepa inglés y manejar un buscador puede encontrar servicios de alquiler de bots. Hace un año, la revista Wired hablaba de que Rusia estaba “democratizando” el mercado del cibercrimen porque en este país se puede comprar una red de bots por poco más de 500 euros o alquilarla a 1,50 la hora. El precio, no obstante, depende de la potencia requerida y, low cost aparte, suele llegar a las tres o cuatro cifras en un mercado un tanto turbio, plagado de mensajes desprestigiadores de unos vendedores a otros.

La otra parte del negocio son las empresas que ofrecen soluciones mitigadoras: redireccionar el tráfico a otros servidores espejo, copiar y distribuir los datos en servidores para que sean más difíciles de tumbar, o discernir entre las peticiones y descartar las que llegan al servidor con la intención de generar más ruido de lo normal, por ejemplo. A medida que los ataques DDoS van sofisticando sus formas, estas compañías mejoran sus servicios. La victoria en estas batallas suele jugarse en la capacidad económica de atacante y víctima para contratar más máquinas.

Las redes de bots tienen una aplicación perfectamente legal: efectuar pruebas de estrés para comprobar cuánto tráfico es capaz de soportar un sistema. Por tanto, no se puede denunciar su alquiler o contratación, pero sí su uso ilegítimamente intencionado. El artículo 264 del Código Penal, que entró en vigor en 2010, persigue directamente a quien “hiciese inaccesibles datos, programas informáticos o documentos electró­nicos ajenos”. Esta­blece penas de seis meses a tres años de prisión, si se acredita que la interrupción ha tenido consecuencias graves. A este tipo penal puede sumarse el de extorsión (artículo 243), con pena de uno a cinco años.

Sin embargo, no es nada fácil que los autores de un ataque DDoS lleguen a sufrir consecuencias legales: de un lado, pueden ocultar sus direcciones IP mediante sistemas de anonimización, y por otro, la normativa española estipula que sólo se pueden dictar órdenes judiciales para violar la intimidad de las comunicaciones relacionadas con delitos graves (penas de prisión igual o superiores a cinco años), por lo que en principio la mayoría de las personas sospechosas de participar en DDoS no serían identificadas.