Las relaciones de Occidente con Rusia se han visto profundamente transformadas tras la nueva invasión de Ucrania en febrero de 2022. El Consejo de la Unión Europea afirma en su página web que se impusieron “nuevas sanciones a gran escala y sin precedentes contra Rusia”. Esas sanciones tienen carácter económico, afectan a individuos e incluyen medidas diplomáticas.
En este panorama llama la atención la actividad de la empresa rusa de ciberseguridad Kaspersky, cuyos productos han sido prohibidos en algunas administraciones públicas de países occidentales o han sido directamente desaconsejados en aquellos ordenadores con información sensible Y, sin embargo, encontramos que su producto estrella, el antivirus Karspersky ha sido comprado en diferentes organismos públicos españoles, especialmente en Cataluña.
El producto de Kaspersky es el antivirus que ofrece el Centro de Telecomunicaciones y Tecnologías de la Información del gobierno catalán. Y encontramos en Internet referencias a contratos públicos relacionados con su uso en otras instituciones como el Instituto de Investigación de la Fundación Hospital Universitario Vall d’Hebrón, el Ente de Abastecimiento de Agua Ter-Llobregat (ATL) o el Instituto de Investigación y Tecnología Agroalimentarias (IRTA). Según recogió en 2017 el diario El País, la administración catalana era el principal cliente público de la empresa rusa en España. Una región de España que resulta familiar al director general y cofundador de la empresa, Yevgueni Kaspersky, tal como mencionaba en su blog personal el pasado 18 de marzo de 2024.
Los productos y servicios de ciberseguridad son profundamente delicados no sólo porque su misión sea proteger los sistemas y la información del cliente, sino porque tienen un acceso privilegiado a ellos. Así, para desempeñar su función, un antivirus debe tener acceso a la memoria y el disco duro del cliente, además de intercambiar información regularmente con los servidores de la empresa. Esto abre la posibilidad de crear la herramienta de espionaje perfecta porque lo que en otras circunstancias sería actividad sospechosa en el caso de un antivirus es la actividad normal.
La preocupación por la empresa Kaspersky es anterior a la segunda invasión rusa de Ucrania y la crisis de relaciones con Occidente a partir de 2022. Dos investigaciones periodísticas en el año 2017 establecieron que la empresa mantenía relaciones con los servicios de seguridad rusos más estrechas de las declaradas públicamente, lo que establecía un patrón de ocultamiento. Mientras tanto, las investigaciones oficiales llevarían a una cascada de prohibiciones del uso de su software.
Ciberseguridad en la Rusia de Putin.
El 11 de julio de 2017 los periodistas Jordan Robertson y Michael Riley publicaron un artículo en el portal de información Bloomberg donde contaban que su medio había obtenido correos electrónicos de la empresa Kaspersky Lab que mostraban que “ha mantenido una relación de trabajo mucho más estrecha con la principal agencia de inteligencia rusa, el FSB, de lo que ha admitido públicamente”. En ese contexto había “desarrollado tecnología de seguridad a instancias de la agencia de espionaje y ha trabajado en proyectos conjuntos que el director general sabía que serían embarazosos si se hacían públicos”.
El FSB es la Servicio Federal de Seguridad ruso y tiene una naturaleza dual. Por un lado, es una agencia federal de investigación que podríamos equiparar al FBI en Estados Unidos, ya que investiga crímenes en el interior de Rusia. Pero también opera como servicio de inteligencia interior y cuenta con competencias en lo que en Rusia se considera el “extranjero cercano”. Así, desde el comienzo de la guerra de Ucrania en 2022 personas con vínculos con el FSB han sido detenidas en países como Moldavia, Letonia y Georgia. Pero también en otros como Estados Unidos y Alemania. Y es que en la comunidad rusa de inteligencia los diversos servicios operan en el exterior, solapándose y compitiendo en sus funciones.
Los correos obtenidos por los periodistas de Bloomberg databan de 2009 y reflejaban las comunicaciones entre el director general y fundador de la empresa, Yevgueni Kaspersky con directivos de la empresa sobre un proyecto llevado a cabo “por una gran petición desde Lubianka”, nombre de la plaza de Moscú donde se ubicó la sede del KGB y ahora ocupa el FSB.
Según los dos periodistas de Bloomberg, desde la propia empresa reconocieron la autenticidad de los correos electrónicos. El proyecto tenía como objetivo crear una defensa contra ataques distribuidos de denegación de servicio (DDOS) y fue dirigido por Igor Chekunov, director jurídico de la empresa. El plan de la empresa era aprovechar el desarrollo hecho para el FSB para crear posteriormente un producto comercial.
Varios meses después de la publicación del artículo en el portal Bloomberg, el 13 de de diciembre de 2017, la periodista Ellen Nakashima publicó en el diario Los Angeles Times un artículo sobre el papel de la empresa Kaspersky en la operación que llevó a la detención de Konstantin Kozlovskiy, presunto miembro del grupo de cibercrimen Lurk. Según la información en posesión del diario Los Angeles Times, la empresa no actuó como un consultor externo, sino que acogió en su sede a un agente del FSB para supervisar una operación en abril de 2015 en la que se emplearon herramientas informáticas de Kaspersky para obtener información protegida por el presunto cibercriminal. Según las fuentes consultadas por el diario Los Angeles Times, la clase de colaboración prestada por la empresa rusa excedía el grado de colaboración que se consideraba normal para una empresa de ciberseguridad en Estados Unidos.
Ambigüedad calculada.
Yevgueni Kaspersky respondió en su blog al artículo de Bloomberg de julio de 2017 acusándolo de “inexactitudes” y “mentiras”. Y su empresa ha publicado repetidamente artículos dando respuesta a varias de las acusaciones lanzadas contra ella. Véase por ejemplo “Desmintiendo todas las acusaciones falsas sobre Kaspersky Lab” (02/02/2018) y “3 mitos comunes sobre Kaspersky Lab” (23/07/2018). Pero es razonable mantener dudas sobre el grado de relación que tiene con las agencias gubernamentales una empresa que ha prosperado en un país autoritario y famoso por la agresividad en sus operaciones de inteligencia en el exterior, tanto en el mundo físico como cíber.
La empresa Kaspersky ha destacado por destapar operaciones de ciberinteligencia que empleaban sofisticadas herramientas atribuidas a los servicios de inteligencia de países como Estados Unidos, Israel o China. Pero entre esos grandes hitos de la empresa no aparece destapar grandes operaciones atribuidas a Rusia.
La respuesta de Kaspersky a las dudas que se cernían sobre la empresa fue establecer la sede del holding Kaspersky Limted en el Reino Unido y anunciar en 2020 que se había completado el traslado de la información de sus clientes extranjeros de servidores rusos a otros suizos. Después de la invasión rusa de Ucrania en febrero de 2022, la empresa trató de transmitir normalidad en la provisión de servicios a clientes occidentales, enfatizando que no se veía afectada por las sanciones occidentales.
El propio Yevgueni Kaspersky sólo se significó sobre la guerra para manifestarse a favor de una solución negociada el 1 de marzo de 2022, cuando tuvo lugar una ronda de contactos entre Rusia y Ucrania que no condujeron a nada. La posición oficial de la empresa es que no se manifiesta sobre asuntos de geopolítica que están más allá de su campo de conocimiento.
La invasión rusa generó rechazo en el sector IT de Rusia, donde una carta de repulsa a la invasión de Ucrania recogió miles de firmas hasta el endurecimiento de las leyes de opinión. Como muchos profesionales rusos, empleados de Kaspersky quisieron trasladarse al exterior, pero la empresa no les dio más opción que renunciar al puesto. Es significativo, por contraste, que su negativa a acceder a las presiones del gobierno ruso para acceder a la información de los usuarios llevó a Pável Dúrov, creador de la popular red social rusa V Kontakte a perder su puesto al frente de la empresa y marcharse del país.
Prohibiciones y recomendaciones en contra del uso de Kaspersky.
Las investigaciones periodísticas de medios como Bloomberg y Los Angeles Times en 2017 sobre las relaciones de la empresa Kaspersky con las autoridades rusas sólo fueron el síntoma de que otras investigaciones más profundas por parte de los servicios de inteligencia occidentales estaban en marcha, con conclusiones y consecuencias evidentes.
El 13 de septiembre de 2017, el departamento de Seguridad Nacional estadounidense emitió una directiva operacional vinculante pidiendo a los departamentos y agencias públicas del país a borrar el software de Kaspersky en los siguiente 90 días, tras dar plazos intermedios para identificar los ordenadores con software de la empresa y buscar alternativas. La directiva especificaba la preocupación por “los lazos entre ciertos directivos de Kaspersky y agencias rusas de inteligencia y otras gubernamentales”, además de la obligatoriedad bajo la ley rusa para empresas como Kaspersky de colaborar con las autoridades y permitir la “interceptación de comunicaciones transitando por redes rusas”.
Acompañando la medida, Jeanne Shaheen, senadora demócrata por New Hampshire, introdujo una enmienda en la Ley de Autorización de la Defensa Nacional de 2018 que prohibía el uso de software de la empresa Kaspersky en el gobierno federal. Una resolución conjunta del Departamento de Defensa, la agencia aeroespacial NASA y la Administración de Servicios Generales con fecha 10 de septiembre de 2019 establecía que “hay un nivel de riesgo inaceptable para el Gobierno en la compra de hardware, software o servicios desarrollados al completo o en parte por Kaspersky Lab”.
Meses después, el director general del Centro de Ciberseguridad Nacional británico publicó una carta sobre la amenaza de seguridad que suponía los servicios en la nube proveídos por empresas de ciberseguridad rusas, mencionando específicamente a Kaspersky. Se desaconsejaba su uso en aquellos sistemas que manejaran información clasificada. El Centro de Ciberseguridad Nacional pertenece al Cuartel General de Comunicaciones del Gobierno (GCHQ), una de las tres agencias de inteligencia gubernamentales británicas.
Las medidas tomadas en 2017 por las administraciones públicas de Estados Unidos y Reino Unido tuvieron su eco en Europa en 2018. El primer país en tomar medidas fue Holanda. El 14 de mayo de 2018 el gobierno holandés anunció que dejaría de usar el antivirus de Kaspersky como “medida de precaución”. El ministro de justicia, Ferdinand Grapperhaus, justificó la medida en una carta al parlamento donde dijo que su gobierno había llevado a cabo “una revisión y análisis independiente” del asunto.
El europarlamentario estonio Urmas Paet impulsó en el Parlamento Europeo la propuesta A8-0189/2018 sobre Ciberdefensa que fue aprobada en junio de 2018 con 476 votos a favor frente a 151 noes y con 36 abstenciones. En su punto 76 dice textualmente: “Pide a la Unión que lleve a cabo una revisión exhaustiva de los programas, los equipos y las infraestructuras informáticas y de comunicaciones que se utilizan en las instituciones, a fin de excluir programas y dispositivos potencialmente peligrosos y prohibir aquellos que hayan sido confirmados como malintencionados, como los de Kaspersky Lab”. En este caso se trató de una petición no vinculante.
Una nueva ronda de advertencias en contra de los productos de Kaspensky llegó justo tras la invasión rusa de Ucrania. El 28 de febrero de 2022 el diputado italiano Paolo Nicolò Romano presentó una pregunta parlamentaria sobre el extenso uso del software de Kaspersky en la administración pública italiana, las valoraciones del gobierno italiano sobre el riesgo que suponía en el contexto geopolítico de aquel momento y las alternativas estudiadas. El subsecretario de Estado de Seguridad, Franco Gabrielli, informaría semanas después de que el gobierno italiano iba a reemplazar el software de Kaspersky.
Mientras tanto, la Oficina Federal de Seguridad de la Información alemana (BSI) emitió una advertencia el 15 de marzo de 2022 pidiendo reemplazar el antivirus de la empresa Kaspersky, ya que el software podía ser usado por fuerzas militares o de inteligencia rusas para llevar a cabo operaciones ofensivas incluso sin el consentimiento o conocimiento del fabricante.
Poco tiempo después, el 22 de marzo de 2022 fue la Comisión Federal de Comunicaciones en Estados Unidos puso a la empresa Kaspersky en una lista de amenazas a la seguridad, convirtiéndose así en la primera empresa rusa que entraba en una lista donde habían entrado previamente varias empresas chinas.
