8/18/2019 Calvo Panama Papers- Qué Sucedió Desde Una Perspectiva de Seguridad de La Información

1/4

Panama Papers: ¿Qué sucedió desde una perspectiva de seguridad de la

información?Rodrigo Calvo, Universidad Cenfotec

Al iniciar el mes de abril del año 2016 nos encontramos con un escándalo de relevancia mundial

denominado “Panama Papers”, el cual se puede analizar bajo dos contextos: Fiscal y de Protección de la

información.

Más allá de lo fiscal, mediante el análisis de la información publicada por distintos medios de prensa,

nos enfocaremos en formular hipótesis sobre las circunstancias que pudieron darse para que una fuga

de información de tal magnitud sucediera.

Las estadísticas de la fuga de información  2.6 TB de datos.

  11.5 Millones de archivos.

  38 Años de información

o  1977 al 2015

Fuente: Süddeutsche Zeitung, en cooperación con The International Consortium for Investigative

Journalists.

Contexto tecnológico.

- 

1988: Eudora, primer servidor de correo comercial.

-  Década de los 90’s: Inicio en el mercado comercial de los llamados Network Attached Storage

(por sus siglas en inglés: NAS)

-  8 horas: Tiempo promedio en copiar 1 TB a un dispositivo USB versión 2.0

01.000.000

2.000.0003.000.000

4.000.0005.000.000

Correos Electronicos

Formato de base de datos

PDF´s

Imágenes

Documentos de Texto

Otros

Cantidad por tipo de dato exfiltrado

   T   i   p   o   s    d   e   D

   a   t   o   s   E   x    f   i    l   t   r   a    d   o   s

Panama Papers: 11.5 Millones de documentos

8/18/2019 Calvo Panama Papers- Qué Sucedió Desde Una Perspectiva de Seguridad de La Información

2/4

- 

40 + horas: Tiempo aproximado en transferir 1 TB por una conexión de Internet de 30 Mbps.

Análisis cuantitativo de la información

Fuente: Visualización de las estadísticas publicadas por los medios de prensa

Si se hace la comparación de los casi siete millones de archivos diferentes a correo electrónico versus los

treinta y ocho años de información histórica se puede inferir que mucha de la información

probablemente se encontraba impresa entre las décadas de los 80´s e incluso 90´s y con el avance

tecnológico fue transformada a un formato digital (por ejemplo: PDF, imágenes). Almacenar tal cantidad

de información y variedad de formatos requiere al día de hoy contar con Sistemas de Almacenamiento

de Datos especializados.

En términos de correo electrónico muy difícilmente existiría un único sistema de procesamiento de

correo que almacene un histórico de correos más allá de 10 años. Las mejores prácticas demuestran

incluso que los Servidores de Correo deben ser ágiles con el procesamiento del día a día, todo histórico

de correo que pase de un año o más debería ser transferido a un medio de almacenamiento de largo

plazo.

¿Quiénes pudieron estar implicados en la fuga de la información?

Las hipótesis son dos y no se pretende en este artículo afirmar cuál ocurrió en el caso específico de

Panama Papers.

Es importante tomar en consideración que estudios de terceros han revelado que identificar una fuga de

información les toma a las empresas muchas veces más de 6 meses antes de poder detenerla, si no

tienen las herramientas tecnológicas necesarias.

42%

58%

Clasificación de datos exfiltrados

Correo Electronico

Formatos Varios

Commented [IT1]: Tildar. No usar mayúsculas

indebidamente. Cambiar la leyenda:

. Correo electrónico

. Formatos varios

8/18/2019 Calvo Panama Papers- Qué Sucedió Desde Una Perspectiva de Seguridad de La Información

3/4

Alguien interno

Por la cantidad de datos no sería extraño que la investigación trate de descartar la participación de

alguien interno sea por negligencia o con intención. Recordemos que entre los años 2010 y 2013 dos

fugas de información relevantes fueron producto de personas internas (Chelsea Manning y Edward

Snowden, WikiLeaks).

Las ventajas logísticas son obvias (acceso físico, posibilidad de ingresar dispositivos de almacenamiento,

conocimiento), sin embargo, por la variedad y cantidad de información no sería una tarea fácil de

disimular.

Alguien externo

Después de la publicación de la fuga de datos se está hablando que fue a través de los servidores de

correo de la entidad afectada que se inició la fuga, esto hace sentido también y refleja una gran

complejidad para finalizar con el grado de exactitud que se refleja en las publicaciones.

Corroborando información publicada por la revista Wired encontramos que es factible que el ataque

haya sido facilitado por una política de parchado tardía en varios de sus sistemas (especialmente con

acceso web) lo cual fue aprovechado por el (los) hacker(s).

De confirmarse, los Servidores de Correo fueron tan solo un punto de partida para dicho ataque, como

se mencionó anteriormente, tantos años de información es improbable se encuentren almacenados en

un solo punto, el objetivo final fue la información contenida en el NAS.

Cualquiera que haya sido el(los) responsable(s) tuvieron el cuidado de no anunciar lo que estaban

haciendo y fueron transfiriendo la información por fragmentos, no sería extraño que también hayan

eliminado registros de su presencia en donde quiera que hayan ingresado.

Medidas de prevención

Aunque difícilmente llegaremos a conocer todo lo que sucedió en el caso de los ‘Panama Papers’,

debemos analizar el contexto y tomar previsión en nuestras empresas. El costo de imagen que

representó esto a la entidad afectada es sencillamente millonario.

La protección de la información es responsabilidad de toda la empresa. Entre las acciones preventivas

que una empresa podría tomar, enumeramos algunas de las principales:

-  Proteger la información en sus diferentes estados:

o  En tránsito

  Ejemplo: Transmitida por correo electrónico, Web.

o  En reposo

  Ejemplo: Almacenada en NAS

o  En uso

  Ejemplo: En ejecución en el Endpoint

-  Usar tecnologías que permitan analizar el contexto de la información y registrar incidentes

cuando la información esté siendo transferida de forma anómala.

-  Encriptar la información y los canales de comunicación, de manera que si aún terceros obtienen

acceso no puedan descifrarla.

Commented [IT2]: Es el costo (masculino), no l

(femenino).

Commented [IT3]: Poner término en español.

http://www.wired.co.uk/news/archive/2016-04/06/panama-papers-mossack-fonseca-website-security-problemshttp://www.wired.co.uk/news/archive/2016-04/06/panama-papers-mossack-fonseca-website-security-problemshttp://www.wired.co.uk/news/archive/2016-04/06/panama-papers-mossack-fonseca-website-security-problemshttp://www.wired.co.uk/news/archive/2016-04/06/panama-papers-mossack-fonseca-website-security-problems

8/18/2019 Calvo Panama Papers- Qué Sucedió Desde Una Perspectiva de Seguridad de La Información

4/4

- 

Tener tecnología de protección contra robo de información e implementar los flujos de procesos

internos para que pueda ser sostenible en el tiempo.

o 

-  Mantener el parchado actualizado tanto de aplicaciones como de sistemas operativos.

Máster Rodrigo Calvo, CISSP, CEH

Sr. Security Engineer, Infolock Technologies.

Profesor, Universidad Cenfotec.

Commented [IT4]: No me queda claro este pár