WASHINGTON (AP) — Era el momento de echar al pirata informático de las computadoras del gobierno de Estados Unidos. Tras monitorear durante meses y en secreto los movimientos del hacker en internet, funcionarios preocupados porque se estaba acercando demasiado a la información crítica trazaron un plan, llamado "El Big Bang", para expulsarlo.

El problema fue que, con toda la atención centrada en ese caso, otro ataque informático pasó totalmente inadvertido.

Un nuevo reporte del Congreso proporciona detalles no desvelados antes y una cronología de uno de los ciberataques más graves de la historia de Estados Unidos, destacando las oportunidades perdidas antes de que la incursión en la Oficina de Gestión de Personal (OPM, por sus siglas en inglés) comprometiese códigos de seguridad, comprobaciones de antecedentes y registros de huellas dactilares. 

El ataque, que se cree fue obra del gobierno de China, puso en peligro información personal de más de 21 millones de trabajadores federales actuales, pasados y futuros, provocó la dimisión del director de la OPM y generó críticas por las cambiantes explicaciones sobre la gravedad de la incursión.

El informe del comité de la Cámara de Representantes de Supervisión y Reforma del Gobierno consideró que el personal de la agencia no protegió debidamente datos sensibles a pesar de recibir advertencias durante años de que eran vulnerables al ataque de ciberpiratas. Concluyó que el hackeo revelado el año pasado podría haberse evitado si la OPM hubiese establecido controles básicos y necesarios de seguridad y reconociese desde una incursión previa que estaba enfrentando un enemigo sofisticado y persistente.

"Tenemos literalmente decenas de millones de estadounidenses cuyos datos fueron robados por un nefasto actor extranjero, en una acción que era totalmente evitable", dijo en una entrevista Jason Chaffetz, congresista republicano por Utah y presidente del comité.

"Con un poco de higiene básica, algunas buenas herramientas, atención y algo de talento, reamente podrían haber evitado esto", agregó.

La directora interina del OPM, Beth Cobert apuntó en un comunicado que la agencia no está de acuerdo con gran parte del reporte y que este "no refleja cabalmente la posición de la agencia hoy en día". El ataque al departamento "sirvió de catalizador para un cambio acelerado dentro de nuestra organización", incluyendo la contratación de nuevos expertos en ciberseguridad y mejoras en la seguridad.

El principal demócrata del comité, el representante Elijah Cummings, dijo que no podia apoyar el informe porque contiene "varias deficiencias importantes". Estimó que algunas de las críticas eran injustas y que no lidiaba debidamente con los contratistas involucrados en la ciberseguridad.

El gobierno descubrió el primer ataque a la oficina en marzo de 2014 cuando un equipo especializado del Departamento de Seguridad Nacional (DHS, por sus siglas en inglés) detectó flujos sospechosos de datos que salían de su red entre las 22:00 y las 10:00 — el equivalente digital a mover camiones cargados con armarios llenos de archivos confidenciales en medio de la noche. El sistema de alerta de intrusiones del gobierno, llamado Einstein, pilló el robo.

El DHS se puso entonces en contacto con la oficina para dar a conocer la intrusión, señaló Jeff Wagner, director de operaciones de seguridad e información del OPM a funcionarios que investigaban lo sucedido.

Durante dos meses, el personal de la oficina trabajó con el FBI, la Agencia de Seguridad Nacional y otros para monitorear al ciberpirata y conocer mejor sus movimientos. Funcionarios desarrollaron un plan, "El Big Bang", para expulsar al intruso durante un fin de semana de tres días en mayo de 2014. La iniciativa incluyó restablecer cuentas administrativas, construir nuevas cuentas para usuarios que se habían visto afectados y sacar de la red los sistemas atacados.

"El riesgo de expulsarlos demasiado pronto ya había pasado", señaló Wagner. "Y ahora el riesgo era tenerlos demasiado tiempo, y no queríamos tenerlo más tiempo del necesario".

Pero el problema estaba lejos de solucionarse.

Sin que los expertos, que estaban centrados en eliminar la amenaza, se percatasen, un segundo intruso se hizo pasar por empleado de un contratista federal para infiltrarse en el sistema semanas antes del "Big Bang". Este hacker empleó las credenciales del contratista para entrar al sistema, instalar software malicioso y crear un acceso indirecto a la red, según el reporte.

Durante los meses siguientes, en incursiones no detectadas por el sistema, el pirata informático robó archivos sobre investigaciones de antecedentes para conceder permisos de seguridad, archivos personales y, finalmente, datos de huellas dactilares.

Ese ataque no se detectó hasta abril de 2015, cuando un contratista de OPM siguió el rastro del flujo de material sustraído hasta una dirección de internet registrada a nombre de Steve Rogers, el alter ego del personaje Capitán América, apuntando a que se trataba de una cuenta falsa. Para entonces, la información sensible de millones de trabajadores estadounidenses ya estaba comprometida.

El informe culpó además al personal del departamento por no haber activado rápidamente herramientas de seguridad de una firma externa para detectar códigos maliciosos y otras amenazas. Una vez aplicado, el programa de Cylance Inc., una empresa de Irvine, California, "se encendió como un árbol de Navidad", indicando que había encontrado malware en las computadoras federales, apuntó un ingeniero según fue citado en el reporte.

"¿Podrían haberlo hecho mejor? Absolutamente", dijo el fundador y director ejecutivo de Cylance, Stuart McClure. "Pero una vez que estuvieron convencidos de que había una falla, se lo tomaron muy en serio".

El informe del Congreso dice que funcionarios del OPM desinformaron al público sobre el alcance de la intrusión y también al decir que los dos ataques no estaban relacionados cuando, sin embargo, "parecían estar conectados y posiblemente coordinados".

"Los dos atacantes compartían el mismo objetivo, llevaron a cabo sus ataques con la misma sofisticación y golpearon con una sincronización parecida", apunta el reporte.

Aunque Estados Unidos sospecha que el hackeo fue un acto de espionaje de China, la investigación de la Cámara no entra en detalles sobre los responsables. Menciona que los robos de datos descubiertos en abril de 2015 estuvieron perpetrados aparentemente por el grupo "Deep Panda", al que se ha relacionado con el ejército chino.