Un investigador de la UOC s'uneix a un grup d'experts de l'Europol per lluitar contra la ciberdelinqüència

Els ciberdelinqüents cada vegada fan servir tècniques més sofisticades per a amagar la informació que volen transmetre. Per a alertar d’aquesta amenaça, que augmenta, i combatre-la s’ha convidat l’investigador principal del grup de recerca K-riptography and Information Security for Open Networks (KISON) de la UOC, David Megías, a formar part de la iniciativa Ús Delictiu de l'Ocultació d'Informació (CUIng), que coopera amb el Centre Europeu de Ciberdelinqüència de l'Europol (EC3).

Megías és un dels pocs a l’Estat que són experts en una tècnica molt desenvolupada per a ocultar informació en fitxers digitals: l’esteganografia. Aquesta tècnica permet amagar a simple vista informació en imatges, vídeos, àudios, documents de text i, fins i tot, protocols de comunicació. És l’equivalent digital de la tinta invisible. «Per exemple, es pot publicar una foto a Instagram amb informació secreta incrustada i que només en siguin conscients les persones que s’han conxorxat prèviament per a consultar-la per aquesta via», explica aquest expert. 

L’esteganografia la utilitzen els espies, com va passar amb la xarxa descoberta als Estats Units el 2010, i els terroristes. En aquest últim cas, els delinqüents s’han enviat missatges codificats per mitjà de les plataformes eBay i Reddit o per vídeos. A un membre d’al-Qaeda, arrestat a Berlín el 2011, se li va trobar el que semblava un vídeo pornogràfic en una targeta de memòria; però, gràcies a tècniques forenses digitals, va ser possible descobrir que contenia 141 documents amagats amb detalls de les operacions i plans de futur d’aquesta organització terrorista. 

Els ciberdelinqüents també són un col·lectiu que fa servir aquests sistemes de camuflatge en els ciberatacs. La seva finalitat és introduir codi maliciós (malware) encobert a les xarxes informàtiques. Els darrers casos coneguts de codis secrets introduïts per ciberdelinqüents russos, entre altres, són el Hammertoss, l’Stegoloader, el Regin o el Duqu.

Davant d’aquest context, la iniciativa CUIng, creada el 2016 i formada per diversos experts de l’àmbit acadèmic, la indústria, les forces o cossos de seguretat i les institucions, entre altres, treballa per abordar aquest problema i evitar, així, que es generalitzi. Té com a principals objectius conscienciar de les amenaces, fer un seguiment dels avenços en aquest àmbit, compartir informació estratègica enfront de possibles amenaces, treballar conjuntament per a desenvolupar contramesures efectives i integrar-les a escala global –o almenys a la UE– i educar i formar experts en aquestes tecnologies.

«Amb aquesta iniciativa es vol posar èmfasi en una problemàtica que és molt fàcil que passi inadvertida. Actualment les proteccions contra aquesta mena de tècniques són molt baixes i és important extremar la vigilància», assenyala Megías, també director de l’institut de recerca Internet Interdisciplinary Institute (IN3) de la UOC.

L’esteganografia enfront de la criptografia

L’esteganografia sovint es confon amb criptografia perquè totes dues tenen un propòsit comú: proporcionar confidencialitat. La diferència es pot trobar mirant l’etimologia d’aquestes dues paraules. Esteganografia en grec significa 'escriptura amagada', mentre que la criptografia significa 'escriptura secreta'. La primera fa servir tècniques per a crear un canal de comunicació ocult i, la segona, en canvi, no amaga la informació tramesa sinó que la fa inintel·ligible per a les persones que no estan autoritzades a llegir-la. És a dir, en l’una s’aplica un mètode per a mantenir confidencial el canal de comunicació i en l’altra per a mantenir indesxifrable el missatge. 

En l’esteganografia hi ha diverses maneres d’incrustar informació secreta en fitxers digitals. «En el cas de les fotografies, es poden camuflar dades en les imatges alterant per exemple les propietats específiques dels píxels. En tot cas, l’objectiu és que la transmissió de la informació amagada passi totalment inadvertida», explica Megías. 

Per a acabar, aquest expert remarca que aquesta tècnica també es pot utilitzar per a fins beneficiosos com ara la protecció de dades personals o la transmissió d’informació confidencial dintre d’una organització i entre treballadors, per exemple per a protegir-la de l’espionatge industrial.