El pasado otoño, uno o varios atacantes dirigieron una serie de ataques a candidatos en al menos unas elecciones locales a la junta escolar en Colorado. Como candidato a las elecciones, llevé a cabo una investigación sobre los ataques dirigidos a mí y a mis compañeros.
En mi caso, me presentaba a las elecciones al consejo escolar del condado de Boulder, Colorado, donde vivo. Yo y otros nueve candidatos competíamos por cuatro puestos en el consejo escolar. Al menos tres candidatos de estas elecciones (incluido yo) fueron objeto de una campaña BEC. Los atacantes habían hecho sus deberes: el componente de ingeniería social de estos ataques utilizaba un gráfico social que los atacantes debían haber elaborado sobre nuestras relaciones entre nosotros y con otras personas relacionadas con el distrito escolar.
Las elecciones estadounidenses de los años pares implican más contiendas de alto perfil, normalmente con candidatos a cargos federales, y por ello suelen recibir la mayor atención de los atacantes.
Durante las grandes elecciones estadounidenses, organismos gubernamentales como la CISA (Agencia de Seguridad de la Información y las Infraestructuras de EE.UU.) y grupos de intercambio de inteligencia como el EI-ISAC (Centro de Análisis e Intercambio de Información sobre Elecciones e Infraestructuras) realizan un seguimiento rutinario de diversos tipos de ciberataques dirigidos contra funcionarios electorales, partidos políticos, campañas y candidatos u otras personas o grupos asociados.
La investigación reveló que incluso las llamadas elecciones parciales, aunque más pequeñas y de perfil bajo, atraen a los atacantes. El Departamento de Estado de EE.UU. y el CISA, junto con el Centro Nacional de Ciberseguridad del Reino Unido (NCSC), emitieron conjuntamente una advertencia el pasado diciembre de que atacantes afiliados al FSB ruso están dirigiendo ataques de phishing contra candidatos políticos.
Aunque no hay pruebas directas de que los atacantes que dirigen esta campaña tengan su base en Rusia, se han utilizado algunos servicios rusos para realizar partes de los ataques.
Desde Rusia, con ingeniería social
Los candidatos de Colorado (y de cualquier otro lugar) están obligados por ley a facilitar información de contacto cuando se inscriben para presentarse a las elecciones. El organismo que organiza las elecciones debe hacer pública esta información. En el caso de estas elecciones, los ciudadanos tuvieron que presentar un documento indicando formalmente su intención de presentarse a las elecciones, que el distrito escolar publicó en su sitio web, junto con una dirección de correo electrónico que el candidato o su director de campaña indicaron en el documento.
Lee el artículo completo en inglés.