Julio César Ardita - Entrevista a Julio César Ardita

JULIO CESAR ARDITA: Yo estoy trabajando con computadoras prácticamente desde los 12 años -hace más de 17 años-, y específicamente con seguridad informática desde hace unos 10 años.

EC - Pese a que todavía no eras analista de sistemas.

JCA - Exactamente, ni analista ni licenciado en sistemas.

EC - Títulos que obtuviste después; ¿dónde?

JCA - En la Universidad Kennedy, aquí en Argentina.

EC - ¿Cómo se explica que hayas podido realizar aquellas proezas que llamaron tanto la atención?

JCA - Más que proezas fue investigación, paciencia y dedicación. El tema de la seguridad informática me interesa desde hace muchísimo tiempo, desde antes de que surgiera todo esto de Internet, esta nueva forma de comunicación. Internet existe desde hace muchísimos años, recién desde hace cuatro o cinco años se le está dando el impulso que tiene actualmente por un tema comercial. Hace bastante tiempo que estoy en el tema de la seguridad informática, simplemente por un tema de investigación. Es como estar investigando todo lo nuevo que está viniendo en la tecnología de punta.

EC - ¿Por eso se transformaste en un "hacker"?

JCA - Se puede decir que sí. En realidad la palabra "hacker" tuvo muchas deformaciones. Hace muchos años era bien visto que alguien fuera un "hacker"; hoy en día no es tan bien visto. En realidad un "hacker" es una persona que se dedica a investigar, a tratar de sacar el máximo provecho de un sistema informático.

EC - Gente que se dedica a actividades parecidas a la tuya nos señalaba que entre los "hackers" existen varias subdivisiones, pero que hay una en particular que es muy importante: los verdaderos "hackers" no dan notas, son anónimos y no les interesa ser conocidos ante la opinión pública. Son investigadores sumamente curiosos e inteligentes. Ellos, los verdaderos "hackers", llaman "lammers" a todos los que se dicen hackers y van por la sociedad diciendo que lo son. Está claro que es un término despectivo, ser un "lammer" no es algo bueno desde el punto de vista de los "hackers".

JCA - Exactamente.

EC - Esta gente tiende a ubicarte en la categoría de "lammer".

JCA - No, que yo salga a dar notas públicas o a hablar puntualmente de temas de seguridad informática es un hecho meramente comercial. Ya hace aproximadamente tres años que estoy sacando puntualmente notas que podríamos denominar comerciales, notas técnicas sobre seguridad en los sistemas, seguridad en Internet, cómo trabajar contra los virus, etcétera, todo lo referido a la seguridad en informática. No me interesa salir tanto en los medios sino simplemente informar cuáles son los problemas y cómo se los puede solucionar. Esa es un poco la idea, el objetivo.

EC - Podría decirse que ya "colgaste los hábitos", que ya no eres un "hacker" y por eso sales y hablas. Ahora eres un empresario y punto.

JCA - Exactamente. En realidad no es que colgué; siempre tengo la chispa de la investigación. Estamos dirigiendo un centro de investigación en seguridad informática aquí en Argentina, donde estamos investigando todas las nuevas tecnologías, todo lo nuevo que está viniendo, cosas que en realidad se va a empezar a aplicar dentro de uno o dos años. Siempre hay que estar trabajando en la avanzada. Lo que pasa es que, comercialmente, si uno investiga y no da a luz los resultados, nadie se entera de lo que está haciendo.

EC - ¿No cabe la posibilidad de que seas visto como un traidor por los "hackers"?

JCA - Yo sigo investigando todo lo que es seguridad informática. Esto no significa ser visto como un traidor. Todas las personas que hace siete, ocho o nueve años trabajaban conmigo, hoy en día trabajan como administradoras de seguridad en las principales empresas, en universidades del mundo, en empresas de seguridad informática. Hubo un cambio muy importante.

EC - ¿No han recibido represalias?

JCA - No. Lo que pasa que la evolución de los "hackers" cambió muchísimo desde lo que era hace cinco años hasta ahora. En realidad hubo tres grandes generaciones de "hackers". La primera fue la que arrancó en 1980 en Estados Unidos, que eran los que se dedicaban a investigar más en los sistemas informáticos, en computadoras. Luego vino la generación de los 90, en la que me incluyo. Y, finalmente, la última generación que arrancó a partir del 97, que es la nueva generación de "hackers" de Internet. Al tener el poder de la gran red donde está todo conectado es mucho más sencillo ingresar a sistemas, trabajar; es mucho más fácil para los "hackers" actuales.

EC - No se necesita tanta habilidad y tanto conocimiento como antes.

JCA - Exactamente. Uno de los problemas que detectamos es que un intruso -o cualquier persona que se conecte a Internet- con un cierto nivel de capacidad, entrando a alguna página web, a algún sitio donde haya herramientas, puede bajar un programa, ejecutarlo y por ahí hacer una acción dañina sin tener conciencia de lo que realmente está haciendo.

EC - Yo te preguntaba si alguien que dejó de ser "hacker" no podía ser víctima de represalias, por ejemplo en su actividad comercial.

JCA - Hemos tenido muchísimos intentos de intrusión en nuestra propia empresa por parte de "hackers" que tratan de entrar.

EC - ¿Alguno de esos intentos se explicó como represalia?

JCA - No, ninguno.

EC - Recordemos cómo fue lo del año 1995. ¿Desde dónde operabas cuando ingresaste a los servidores de la Nasa y la Marina de Estados Unidos?

JCA - Yo estaba en Argentina, en mi casa, estudiando, trabajando. En su momento todo el sueldo que ganaba era para pagar la línea telefónica.

EC - ¿Cuánto pagabas por mes de teléfono?

JCA - Muchísimo, cerca de 700 u 800 dólares.

EC - ¿Qué quiere decir que entraste en esos servidores de la Nasa y la Marina de Estados Unidos? ¿Qué hiciste?

JCA - Básicamente, testear si esos servidores eran seguros o no. Uno tiene la idea de que al ser un sistema tan delicado debe ser relativamente seguro, y se da cuenta de que realmente no lo es, que el mundo es uno solo, va avanzando y hay muchos sistemas que están desprotegidos.

EC - ¿A qué profundidad de la información almacenada en esas redes llegaste?

JCA - Llegué a bastante profundidad. Cuando finalizó todo el tema judicial con la gente del Departamento de Defensa de Estados Unidos tuve que firmar un acuerdo por el cual no se me permite divulgar qué fue lo que vi y de qué se trató exactamente.

EC - ¿Tú no suponías que iban a terminar detectándote?

JCA - En su momento, no.

EC - ¿Cómo que no? Se trataba nada menos que de la Nasa o la Marina de Estados Unidos.

JCA - En esa época era un adolescente rebelde, con ciertas ideas, pero hoy en día, analizándolo desde otro punto de vista, el concepto es totalmente diferente.

EC - Concretamente, ¿tú suponías que ibas a quedar en la sombra, que no iba a ser posible localizarte?

JCA - Esa era la idea en aquel momento. Pero hay ciertos sistemas con los cuales uno no puede trabajar.

EC - Te golpeaste contra la realidad.

JCA - Exactamente.

EC - ¿Cuál fue la reacción cuando te identificaron?

JCA - Fue un proceso bastante complicado. Aquí, en Argentina, fui tapa de revistas durante varios días. Jamás di una nota desde ese momento hasta pasados tres años aproximadamente del caso; es decir, desde hace un año y medio.

EC - O sea que no hiciste declaraciones desde 1995 hasta 1998.

JCA - Exactamente. Recién a principios del 99 se tomó una estrategia comercial por la cual empezamos a trabajar primero en un perfil de notas técnicas para luego ver el tema de prensa. Particularmente no estoy muy interesado en que la prensa hable sobre mí, sino más bien sobre los conocimientos que tengo, que es lo que puede beneficiar a la gente, a los empresarios.

EC - Cuando finalmente te identificaron y eso fue público, terminaste siendo tapas de diarios y revistas. ¿Cuál fue la sensación, de que por un lado quienes tú habías espiado dieran contigo y, por otro, que te transformaras en un personaje público de un día para el otro?

JCA - Fue una sensación "shockeante", tuve muchísimo apoyo de mi familia. Imagínense que en mi familia jamás había pasado ningún hecho y de repente se encontró con 30 periodistas todos los días. Era un tema bastante complicado.

EC - ¿Tu familia sabía lo que estabas haciendo?

JCA - Sí. Mi familia sabía, cuando pasó el hecho le conté cómo había sido todo. Pero como nunca hubo intención de destrucción o de robo de información se llegó a un buen acuerdo con la Justicia, lo que me permitió volver a mi trabajo y seguir trabajando en todo el tema de seguridad informática.

EC - ¿Cuánto tiempo llevó el proceso judicial?

JCA - Aproximadamente dos años.

EC - ¿En qué situación estuviste durante ese tiempo?

JCA - Una vez que terminó toda la primera ola del problema y los periodistas entendieron que yo no daba notas, dejaron de intentar de conseguirlas. A partir de ahí seguí estudiando normalmente en la universidad, seguí trabajando y fundé una empresa de seguridad informática para trabajar en el tema.

EC - ¿En algún momento corriste el riesgo de terminar preso? ¿Qué consecuencias podían darse contigo?

JCA - No, todo dependía del nivel de colaboración, de acuerdos y arreglos. En su momento hubo muchos riesgos con Estados Unidos porque se había tocado ciertas cosas del Ministerio de Defensa, lo que es muy complicado, muy crítico para ellos. Pero una vez que tuve las entrevistas con ellos y entendieron cuál había sido el motivo llegamos a un acuerdo que favorecía a las dos partes y logramos terminar todo muy buen.

EC - ¿Dónde se tramitó todo ese proceso?

JCA - En Estados Unidos, en Washington.

EC - ¿Cómo fuiste a dar tú a Estados Unidos?

JCA - Fuimos.

EC - ¿Voluntariamente?

JCA - Sí, viajamos para allá, donde se terminó el tema, se firmó todo, luego volví y sigo trabajando sin ningún inconveniente aquí, en Argentina, en Latinoamérica.

EC - Tú dijiste que el acuerdo al que llegaron favorecía a las dos partes.

JCA - Exactamente.

EC - ¿Cómo puede ser un acuerdo que favorece a las dos partes?

JCA - La idea era ver qué necesitaban ellos, por lo que tuve que dar muchísima información de todas las actividades que yo realizaba, qué cosas hacía, qué era lo que estaba en mi cabeza.

EC - Si entiendo bien, tú contaste cómo trabaja un "hacker".

JCA - No cómo trabaja un "hacker", sino cómo trabajaba yo específicamente. Eso era lo que a ellos les interesaba.

EC - ¿Para mejorar la seguridad de sus sistemas?

JCA - Totalmente. Querían que les dijera cuáles eran las fallas y cómo solucionarlas. En realidad no era una falla, eran muchísimas; entonces eran muchísimas soluciones y muchísimo trabajo. Se elaboró varios documentos y logramos llegar a un muy buen acuerdo.

EC - Pero por otra parte tú tenías información valiosa de los archivos de esos servidores. ¿Alcanzó simplemente con tu palabra en cuanto a que no ibas a revelar esa información?

JCA - Podríamos decir que sí.

EC - Tú conoces a Kevin Nitnick, uno de los "hackers" más famosos del mundo.

JCA - No personalmente.

EC - Lo pusieron preso porque rompía todos los códigos, todas las barreras de seguridad. Luego lo dejaron libre con la condición de que no podía acercarse a una computadora. ¿Qué opinas de ese caso y esa solución?

JCA - Ese caso sucedió en Estados Unidos hace como cuatro años. Fue muy famoso, fue un "hacker" que en su momento hizo muchas actividades fraudulentas, realizó compras con tarjetas de crédito que no eran de él, por eso terminó preso, en la cárcel. Este año se produjo su salida de prisión con libertad bajo palabra de que durante un período de tres años no puede acercarse a una computadora. Esa es una de las formas de penar a los "hackers" en Estados Unidos cuando los encuentran. Les dicen que pueden salir pero no tocar una computadora.

EC - ¿Cómo se controla que no toquen una computadora?

JCA - Ese es otro tema. Lo que pasa es que, si lo llegan a descubrir haciéndolo, automáticamente vuelve a la cárcel.

EC - ¿Cuándo decides fundar la empresa y por qué?

JCA - Luego de mi caso. No sólo por mi caso; ya venía con la idea de fundar una empresa de seguridad informática, que es la actividad que me gusta. En 1996 decidimos fundar la empresa junto con un socio.

EC - ¿Qué servicios ofrece la empresa? ¿De qué estamos hablando cuando hablamos de seguridad informática?

JCA - La idea con que se creó la empresa era tratar de proteger a la seguridad de empresas privadas, gubernamentales, sistemas informáticos en general, para que ningún intruso pudiera ingresar a los sistemas. Ese es el objetivo básico: tratar de proteger a las empresas y a sus sistemas informáticos.

EC - ¿La empresa de ustedes fue la primera en el rubro en Argentina?

JCA - Exactamente. Fue la primera en Argentina y en América Latina. Existen otras empresas que realizan lo que denominamos la venta de productos, programas antivirus o de seguridad, pero que no se dedican exclusivamente a seguridad informática.

EC - ¿Qué tipo de servicios proveen? Ustedes hablan de cuatro áreas.

JCA - Exactamente. El área principal, la que reclaman todos los clientes, es la que tiene que ver con soluciones de seguridad informática. Bancos o empresas financieras son nuestros principales clientes. Si un cliente tiene un problema de seguridad o tiene un nuevo sistema, por ejemplo de pago "on line", o en el caso de un portal de Internet, que quiere protegerse para que no ingrese ningún intruso, se le da todo un servicio de solución de seguridad para tratar de que todo el sistema quede seguro.

EC - ¿Cuáles son las otras líneas de trabajo?

JCA - La segunda área es lo que denominamos productos de seguridad, que es un conjunto de servicios que brindamos a las empresas. Uno es el Cybsec Monitor, un compacto que tiene toda la información sobre las vulnerabilidades de seguridad que salen todos los días. Para tener una idea, salen entre dos y tres errores de seguridad.

EC - ¿Dónde salen esos errores?

JCA - Salen de foros públicos de las grandes empresas -Microsoft, Sun-, que al detectar errores de seguridad los publican y sacan la solución.

EC - Son errores que cometen las empresas en el diseño de sus programas.

JCA - Exactamente. Son errores de sus programas y sistemas.

EC - Ustedes han elaborado una especie de catálogo actualizado cada 24 horas de cuáles son esos errores.

JCA - Exactamente. Pero no sólo del lado de las empresas; también estamos en contacto con muchos foros de investigación en seguridad informática que no son tan públicos pero a los que tenemos acceso, donde se discute todos los nuevos errores de seguridad que todavía ni siquiera llegan a las empresas. Por ejemplo, un intruso trabajando descubre un error de seguridad en el Windows 2000 que le permite ingresar. Antes de que Microsoft -que fue la empresa que realizó ese programa- se entere, otro grupo de intrusos se entera y empieza a utilizarlo para ingresar a los sistemas. Nosotros nos enteramos de todos esos errores de seguridad incluso mucho antes que las grandes empresas, para poder informar a nuestros clientes para que automáticamente se protejan.

EC - ¿Cuál es la tercera línea de trabajo?

JCA - Es todo lo que denominamos capacitación y "training". Hemos encontrado que los administradores no están capacitados en todo lo que es seguridad informática. Entonces, una rama que está creciendo muchísimo es toda la parte de capacitación en todos los aspectos, llámese seguridad en Internet, en correo electrónico, en diferentes ambientes y sistemas.

La última línea es lo que llamamos el "recovery" de seguridad, que es lo que últimamente ha tenido más éxito. Se trata de toda la operativa que se realiza cuando a una empresa le ingresa un intruso.

EC - ¿Qué puede hacer?

JCA - Imaginemos una empresa cuyo administrador descubre que hay un intruso, que no sabe qué está haciendo, que puede estar metido en todos sus sistemas. Nosotros brindamos todo un servicio integral para la detección de intrusiones, rastreo de intrusos, generación de pruebas y evidencia. Es toda una nueva área que podríamos denominar de investigación de los futuros ilícitos que es posible cometer con la utilización de computadoras.

EC - ¿Tú te refieres al asesoramiento a la empresa para localizar a quien entró y llevar adelante las acciones legales correspondientes?

JCA - Exactamente, asesorar y trabajar "on line" junto con ellos. Nos llaman automáticamente, por ahí tenemos que estar trabajando un sábado o un domingo, las intrusiones aparecen en cualquier momento. Tenemos que trabajar de forma rápida y eficiente para tratar de proteger los sistemas del cliente.

EC - Proteger el sistema, ¿también se trata de identificar al que entró?

JCA - Sí, identificarlo, rastrearlo.

EC - ¿Han logrado efectivamente localizar, identificar "hackers" de este tipo?

JCA - Sí, totalmente. En Argentina, y también trabajando con organismos en el exterior, hemos identificado intrusos de acá al exterior.

EC - ¿Y qué ha pasado? ¿Cómo es el marco legal en Argentina para operar con este tipo de "delincuentes"?

JCA - En Argentina todavía no tenemos una ley que penalice puntualmente a los intrusos. Hay cuatro proyectos de ley que se están tratando en la Cámara de Diputados; calculamos que la ley que pene los delitos informáticos estará pronta en el correr de este año. Hoy en día no existe nada. Lo que se hace es generar pruebas y evidencias, tratando de acomodarlas a las figuras legales existentes, llámese estafa, intento de sabotaje o destrucción de información. Esa es la idea.

EC - ¿Cuántas personas trabajan contigo en esta firma?

JCA - Aproximadamente 15 personas.

EC - ¿En qué rango de edades se mueven?

JCA - Desde los 19 hasta los 40 y pico o 50 años.

EC - Por lo que tú decías, no existe una cultura de la seguridad informática.

JCA - Exactamente. Las empresas todavía no ven a la seguridad informática como algo real, sino que perciben que hay que poner un poco de seguridad. Siempre cito el ejemplo de un banco que va a poner una nueva sucursal; lo primero que hace es destinar un sector especial para colocar la caja fuerte y protegerlo muy bien, colocando guardias de seguridad, etcétera, todo un proceso que ya está estandarizado. Hoy en día, con Internet uno está abriendo una sucursal virtual, conectada directamente a sus sistemas informáticos reales. Son muy pocas las empresas que están pensando y analizando cuáles son las medidas de seguridad que es necesario colocar, estos guardias informáticos virtuales.

EC - Se discute permanentemente el tema de los riesgos que implica el creciente y floreciente comercio electrónico. ¿Cuál es tu opinión? ¿Qué tan seguro es actualmente?

JCA - El comercio electrónico es seguro y posible si está bien planteado y desarrollado. El problema grave se da porque, muchas veces, cuando se diseña un sistema de comercio electrónico, la seguridad recién se agrega al final. En realidad debe ser al revés, la seguridad es uno de los componentes más importantes en el comercio electrónico. Nosotros hemos visto que las empresas que parten con un diseño seguro son las que tienen menos problemas de seguridad.

EC - ¿Qué consejo le darías al ciudadano común y corriente que realiza compras a través de Internet?

JCA - Comprar en Internet es seguro. Cuando uno se conecta a un sitio, a un portal que vende discos compactos o cualquier tipo de productos, hay que controlar siempre que la transacción que uno esté realizando se encuentre en lo que se denomina un canal seguro. Cuando uno se conecta a un sitio para hacer una compra, pasa a un sector que podríamos denominar seguro, sobre el cual se realiza la transacción. La transacción viaja toda encriptada, protegida en la red, de modo que nadie la pueda interceptar. Esa es la medida que el usuario común tiene que exigir a las empresas.

EC - Lo que está de por medio es la posibilidad de que capturen los datos de la tarjeta de crédito y hagan cualquier desastre con ellos.

JCA - Exactamente. Por eso, siempre que un cliente compre algo, en cualquier lugar, es aconsejable analizar si existe esa área segura. Hoy son muy pocos los sitios que no la tienen, porque el mercado ha llevado a que todo el mundo tenga que tener su área segura.

EC - Tú has dicho que el terrorismo electrónico es una posibilidad totalmente cierta y cercana.

JCA - Es así.

EC - ¿Cómo definirías al terrorismo electrónico?

JCA - El principal afectado por todo lo que sea terrorismo electrónico es Estados Unidos. Desde hace dos años ese país viene realizando congresos internacionales sobre terrorismo electrónico. Este terrorismo es el que asusta en el nuevo mundo, ya que hoy en día un grupo de terroristas que quiera provocar un atentado puede causar más daño haciéndolo vía informática. Ese es el grave problema y el miedo de Estados Unidos.

EC - ¿Un ejemplo de acto de terrorismo informático?

JCA - Si un grupo de terroristas quiere provocar un atentado en un país se puede conectar en forma remota, ingresar a sus sistemas de agua, de energía eléctrica, de telefonía y cortar todo, porque hoy en día está todo manejado por computadora. Imaginemos el riesgo que sería si nadie pudiera usar el teléfono, los semáforos no funcionaran, no hubiera luz, o si la mitad de la ciudad se quedara sin luz mientras la otra se fundiera porque le transfirieron toda la carga de la otra mitad. Recién ahora se está empezando a tomar medidas.

EC - ¿Cómo vino la decisión de trasladar la operativa de la empresa Cybsec a Uruguay?

JCA - Nosotros comenzamos a funcionar hace cuatro años en Argentina y nuestro objetivo es avanzar para trabajar en América Latina. Queremos empezar a expandirnos, ya no sólo viajando sino teniendo oficinas comerciales en otros países.

EC - ¿Esta sería la primera oficina fuera de Argentina?

JCA - Sí. El mercado uruguayo es muy importante para nosotros, en Uruguay hay muchísimas empresas de primer nivel y sobre todo por la cercanía que tenemos es muy sencillo poder realizar viajes y trabajar. Ya tenemos muchísimos pedidos de trabajo en Uruguay. Nuestro objetivo es estar definitivamente instalados allí en muy pocos meses.

EC - El oyente puede preguntarse, habiendo sido tú un "hacker", ¿cómo puede una empresa confiar en ti? ¿No es como poner a un ladrón a cuidar un banco?

JCA - Ese fue uno de los principales problemas que tuvimos al armar la empresa en Argentina. Lo importante es la confianza. Nosotros hemos trabajado muy duro durante estos últimos cuatro años y tenemos un listado de los principales bancos a nivel nacional y mundial que son clientes nuestros y nos confían sus sistemas informáticos. Es un tema que pasa básicamente por la confianza.