El Departamento de Comercio de EE. UU. ha sancionado a cuatro empresas de ciberseguridad por presuntamente vender software espía y otras herramientas de piratería a gobiernos extranjeros represores.
La Oficina de Industria y Seguridad del departamento agregó a las empresas israelíes NSO Group y Candiru, así como a Positive Technologies con sede en Rusia y Computer Security Initiative Consultancy (COSEINC) con sede en Singapur a la Lista de Entidades «por participar en actividades que son contrarias a la seguridad nacional o intereses de la política exterior de los Estados Unidos”.
Estados Unidos dijo que NSO Group y Candiru se agregaron a la lista porque los funcionarios habían encontrado «evidencia de que estas entidades desarrollaron y suministraron software espía a gobiernos extranjeros que usaron estas herramientas para atacar maliciosamente a funcionarios gubernamentales, periodistas, empresarios, activistas, académicos y trabajadores de embajadas». .»
El Departamento de Comercio señaló que los gobiernos que recibieron estas herramientas reprimieron a varias personas en otros países más allá de sus fronteras, y explicó que algunos gobiernos autoritarios apuntan a «disidentes, periodistas y activistas fuera de sus fronteras soberanas para silenciar la disidencia».
Positive Technologies y Computer Security Initiative Consultancy están acusadas de tráfico de «herramientas cibernéticas utilizadas para obtener acceso no autorizado a sistemas de información, amenazando la privacidad y seguridad de individuos y organizaciones en todo el mundo».
«Estados Unidos se compromete a utilizar agresivamente los controles de exportación para responsabilizar a las empresas que desarrollan, trafican o usan tecnologías para realizar actividades maliciosas que amenazan la seguridad cibernética de miembros de la sociedad civil, disidentes, funcionarios gubernamentales y organizaciones aquí y en el extranjero», dijo. Secretaria de Comercio de los Estados Unidos, Gina Raimondo.
El fallo se hizo en coordinación con el Departamento de Defensa, el Departamento de Estado, el Departamento del Tesoro y el Departamento de Energía.
Los funcionarios dijeron que la Lista de entidades restringe la «exportación, reexportación y transferencia dentro del país de artículos sujetos a la EAR a personas (individuos, organizaciones, empresas) que razonablemente se crea que están involucradas, han estado involucradas o representan un riesgo significativo de estar o llegar a estar involucrado en actividades contrarias a la seguridad nacional o los intereses de la política exterior de los Estados Unidos”.
No habrá excepciones de licencia disponibles para exportaciones, reexportaciones o transferencias dentro del país a las entidades que se agregan a la Lista de entidades, agregó el Departamento de Comercio.
El Grupo NSO se ha hecho famoso por su participación en una serie de escándalos globales relacionados con su software espía Pegasus a principios de este año. Citizen Lab y decenas de investigadores revelaron que ciberdelincuentes, dictadores y otros estaban utilizando ampliamente el software espía para espiar a primeros ministros, diplomáticos, periodistas y activistas de derechos humanos. Un dictador incluso lo usó para espiar a su ex esposa y sus abogados.
La compañía negó las acusaciones en un comunicado a The New York Times, afirmando que sus «tecnologías respaldan los intereses y políticas de seguridad nacional de EE. UU. al prevenir el terrorismo y el crimen, y por lo tanto abogaremos por que se revierta esta decisión».
Positive Technologies ha sido acusada durante mucho tiempo de proporcionar herramientas de piratería y apoyo al brazo de inteligencia del gobierno ruso. La compañía de seguridad cibernética de $ 1 mil millones de dólares fue sancionada en abril por el Departamento del Tesoro para proporcionar soluciones de seguridad de redes informáticas al FSB y GRU y empresas rusas, gobiernos extranjeros y empresas internacionales. La compañía incluso organiza «convenciones a gran escala que se utilizan como eventos de reclutamiento para el FSB y el GRU».
A pesar de sus vínculos con la inteligencia rusa, la empresa estuvo a punto de salir a bolsa este año y fue valorada en 2500 millones de dólares gracias a sus vínculos con Samsung, Microsoft e IBM, según Forbes.
Haaretz informó en 2019 que el secreto Candiru se especializaba en piratear computadoras y servidores. El medio de comunicación dijo que Isaac Zack fundó la empresa y también participó en la fundación del Grupo NSO. Tanto Microsoft como Citizen Lab publicaron informes en julio sobre DevilsTongue, spyware creado por Candiru.
De acuerdo a El record, Computer Security Initiative Consultancy tiene vínculos con Pwn0rama; un programa de adquisición de exploits.
«Este esfuerzo tiene como objetivo mejorar la seguridad digital de los ciudadanos, combatir las amenazas cibernéticas y mitigar la vigilancia ilegal y sigue una regla final provisional reciente publicada por el Departamento de Comercio que establece controles sobre la exportación, reexportación o transferencia dentro del país de ciertos artículos que pueden usarse para actividades cibernéticas maliciosas”, dijo el Departamento de Comercio en un comunicado.
El CTO de BreachQuest, Jake Williams, dijo MarketingyPublicidad.es que cada una de las adiciones a la Lista de Entidades es interesante por derecho propio, pero la más significativa a sus ojos era NSO Group.
Si bien NSO trató de hacer creer que su software se usaba con fines legítimos, está claro que se ha usado repetidamente para atacar a periodistas, activistas y funcionarios gubernamentales, explicó Williams.
“No es solo que la NSO tenga como objetivo a estas personas lo que puso en aprietos a la NSO; es que las entidades que no son amistosas con los EE. UU. usaron las herramientas de la NSO para atacar a periodistas, activistas, etc. el COSEINC y Positive Technologies «son quizás más interesantes académicamente».
«Aunque Positive Technologies (una empresa rusa) no es una sorpresa para ver en esta lista, COSEINC (una empresa de Singapur) sí lo es. COSEINC ha volado en gran medida bajo el radar público antes de hoy, aunque un informe anterior de Joseph Cox de Motherboard/VICE identificó la empresa como proveedor de día cero en 2018. Parece probable que se descubrió que COSEINC estaba vendiendo exploits o colaborando con organizaciones de inteligencia extranjeras o ciberdelincuentes para haber obtenido tal designación en la Lista de entidades».
Oliver Tavakoli, CTO de Vectra, dijo que las sanciones «en su mayoría representan un obstáculo para estas empresas», considerando que el turbio negocio de proporcionar capacidades cibernéticas ofensivas a los gobiernos de todo el mundo lleva invariablemente a estas empresas a emitir juicios sobre lo que constituye un «uso apropiado». de las tecnologías y si se puede confiar en que sus clientes cumplan con el espíritu de las restricciones, a menudo expresadas en términos vagos que se refieren a «amenazas» y «seguridad», escritas en los contratos.
«Está bastante claro que la mayoría de los gobiernos ignoran esas restricciones y hacen lo que creen que es en interés propio del gobierno y su líder actual, aunque las empresas pueden alegar una negación plausible», dijo Tavakoli.
