La ciberseguridad durante los Juegos Olímpicos y Paralímpicos de París 2024
Los Juegos Olímpicos y Paralímpicos (JOP) son las competiciones deportivas más seguidas del mundo. Cada nación busca destacar en ellos ganando el mayor número posible de medallas, lo que le garantiza un prestigio internacional indudable.
Más allá de los retos deportivos, los grandes eventos de este tipo son especialmente delicados para los países anfitriones. El éxito de su organización es crucial, especialmente en lo que respecta a la seguridad y la ciberseguridad.
Los Juegos Olímpicos y Paralímpicos de París, que se celebraron entre julio y septiembre de 2024, no fueron una excepción. Sobre todo porque tuvieron lugar en un contexto especial, lo que hizo que las ciberamenazas estuvieran omnipresentes.
Un contexto nacional e internacional marcado por tensiones
Si bien la proximidad de los Juegos suele estar marcada por la tregua olímpica, hay que reconocer que esta se ve cada vez más amenazada por el contexto político y geopolítico.
En Francia, las tensiones sociales y políticas se han visto agravadas por la celebración de las elecciones legislativas el 30 de junio y el 7 de julio de 2024, menos de 20 días antes del inicio de los Juegos Olímpicos de París.
En la escena internacional, los conflictos que involucran a Estados o grupos armados importantes, sin olvidar las crecientes rivalidades geopolíticas entre las grandes potencias, han constituido un terreno propicio para posibles ataques informáticos.
Por lo tanto, se dieron todas las condiciones para que se cernieran importantes amenazas sobre la organización de los Juegos Olímpicos y Paralímpicos.
Terroristas, hacktivistas (activistas que utilizan ciberataques con fines políticos), ciberdelincuentes o incluso gobiernos hostiles podían aprovechar este gran evento deportivo para llevar a cabo operaciones en el ciberespacio.
Las ciberamenazas, cada vez más presentes durante los Juegos Olímpicos
A decir verdad, la aparición de las ciberamenazas en el ámbito olímpico no data de 2024. Han ido creciendo al mismo ritmo que la importancia de lo digital en nuestra sociedad.
Ya en 2008, los Juegos Olímpicos de Pekín fueron objeto de ciberataques. Los ciberdelincuentes aprovecharon la oportunidad económica que brindaba el evento: venta de entradas falsas para asistir a las competiciones, phishing masivo para obtener datos personales o bancarios, etc.
Esta edición también se caracterizó por las acciones de hacktivistas que aprovecharon la tribuna que ofrecía el evento para abordar temas políticos.
En 2012, en Londres, se denunció un ataque DDoS (ataque de denegación de servicio destinado a perturbar el funcionamiento de un servidor), sin que ello afectara al buen desarrollo del evento.
En 2014, los Juegos Olímpicos de Invierno de Sochi se vieron marcados por una operación de ciberespionaje dirigida tanto a las organizaciones olímpicas como a los deportistas, los espectadores y los periodistas.
En 2016, en Río, el ciberespionaje volvió a ser noticia, junto con un aumento considerable del número de intentos de phishing antes de los Juegos.
En 2018, por primera vez, un ciberataque a gran escala tuvo como objetivo la ceremonia de inauguración de los Juegos Olímpicos de Invierno de Pyeongchang, en Corea del Sur. La operación tenía como objetivo perturbar el buen desarrollo del evento y su retransmisión.
A medida que se acercaban los Juegos Olímpicos de París, el contexto en materia de ciberseguridad era ampliamente conocido. En pocas palabras, la cuestión ya no era si se producirían ciberataques, sino cómo limitar al máximo su impacto.
Analizar, sensibilizar y proteger para anticiparse a las ciberamenazas
Los grandes eventos tienen la particularidad de que el objetivo principal es llevar a cabo la misión a toda costa. En otras palabras, en caso de piratería, la capacidad de recuperación debe ser inmediata.
Partiendo de esta premisa,la ANSSI (Agencia Nacional de Seguridad de los Sistemas de Información) ha trabajado en colaboración con las autoridades competentes y el Comité Organizador de París 2024.
La seguridad de los Juegos frente al riesgo cibernético se articuló en torno a cinco ejes:
- Determinar las ciberamenazas que se ciernen sobre los Juegos
- Proteger los sistemas de información críticos
- Proteger los datos sensibles
- Sensibilizar al ecosistema de los Juegos
- Prepararse para intervenir en caso de ciberataque
Cabe señalar que el ecosistema de París 2024 reunía a cerca de 500 entidades, divididas en tres categorías según su importancia. Cada entidad pudo beneficiarse del apoyo de la ANSSI (auditoría de ciberseguridad, asistencia técnica, etc.).
La dificultad para las autoridades competentes ha sido sensibilizar a los colaboradores del ecosistema de los Juegos, que son la primera línea de defensa en materia de ciberseguridad. Esto implica prestar especial atención a los intentos de phishing o smishing, que representan la puerta de entrada del 80 % de los ciberataques.
Descubra cómo sensibilizar a sus empleados sobre la lucha contra el phishing con la solución AvantdeCliquer.
Ciberseguridad de los Juegos Olímpicos de París 2024: hora de hacer balance
La ANSSI esperaba un verano muy crítico desde el punto de vista de la ciberseguridad. Aunque ningún ciberataque ha sido noticia, eso no significa que no haya habido ninguno. De hecho, entre el 8 de mayo y el 8 de septiembre de 2024 se produjeron unos 548 incidentes que afectaron al ecosistema de los Juegos.
De estos 548 casos, solo 83 se clasificaron como «incidentes», es decir, sucesos en los que los piratas informáticos lograron alcanzar su objetivo. Por lo tanto, la gran mayoría se clasificó como «notificaciones», lo que significa que el impacto en los sistemas de información de las víctimas fue limitado.
Uno de los principales objetivos era el buen desarrollo de las ceremonias de inauguración y clausura. Dado que estos eventos son seguidos por cientos de millones de personas en todo el mundo, es fácil comprender la importancia que esto tiene.
Objetivo alcanzado, ya que ningún ciberataque afectó a los espectáculos ni al buen desarrollo de las pruebas. Incluso se puede considerar la ciberseguridad como uno de los grandes éxitos de París 2024. Lamentablemente, no es uno de los más mediáticos.
La organización de los Juegos Olímpicos y Paralímpicos de París ha supuesto una oportunidad para que muchos actores avancen en el ámbito de la ciberseguridad. El reto ahora es mantener este impulso y no quedarse atrás respecto a los hackers. Y todo ello en un contexto presupuestario delicado.
Sobre todo porque no ha habido ningún incidente importante que destacar. Paradójicamente, esto puede dar lugar a un relajamiento de las prácticas en materia de ciberseguridad. De ahí la importancia de formar y sensibilizar constantemente al actor clave de la ciberseguridad: el ser humano.
Perspectivas: la ciberseguridad en el ámbito de los eventos
Una de las lecciones aprendidas de la organización de los Juegos Olímpicos y Paralímpicos es que pone de manifiesto la vulnerabilidad de los eventos, especialmente los deportivos, frente a las amenazas cibernéticas.
Hay que tener en cuenta que la misión de un organizador de eventos es llevar a cabo un proyecto en un plazo de tiempo bastante corto. La ciberseguridad puede parecer superflua en este contexto y aún no es un reflejo para muchos actores.
Sobre todo porque las entidades implicadas en la organización de estos eventos son, en su mayoría, pequeñas empresas. Evidentemente, no pueden asumir los mismos esfuerzos en materia de ciberseguridad que los grandes grupos.
Sin embargo, debido a su cobertura mediática, los acontecimientos excepcionales son un objetivo privilegiado para los hackers. Y probablemente lo serán cada vez más en el futuro.
Este es el objetivo del proyecto Stadia, liderado por Interpol, que tiene como finalidad crear un centro de excelencia en materia de seguridad (física y cibernética) durante grandes eventos internacionales, especialmente deportivos.
Por último, será interesante observar si la experiencia de los Juegos Olímpicos y Paralímpicos de París 2024 en materia de ciberseguridad se utilizará en la transposición al derecho francés de la directiva europea NIS2.
Fuentes: www.cyber.gouv.fr, www.blog.sekoia.io, Matinale du CyberCercle del 13 de noviembre de 2024, con la presencia de Philippe LATOMBE (diputado de Vendée), Nicolas Moreau (asesor de seguridad digital de la prefectura de policía de París) y Franz Regul (responsable de seguridad de los sistemas de información de París 2024).
DSI, RSSI, DPO, solicite una demostración gratuita de la solución totalmente automatizada de sensibilización sobre el phishing:
