publicidad
Un barco de la Guardia Costera patrullando frente al Mar-a-Lago, la llamada 'Casa Blanca de invierno' de Donald Trump.

Cualquier hacker medianamente decente podría acceder a Mar-a-Lago

Cualquier hacker medianamente decente podría acceder a Mar-a-Lago

Probamos la seguridad en Internet en cuatro propiedades de Trump. No es buena.

Un barco de la Guardia Costera patrullando frente al Mar-a-Lago, la llam...
Un barco de la Guardia Costera patrullando frente al Mar-a-Lago, la llamada 'Casa Blanca de invierno' de Donald Trump.

Esta historia fue publicada por ProPublica en colaboración con Gizmodo.

Hace dos semanas, en una brillante mañana primaveral, nos fuimos de pesca a lo largo del canal intracostero de Florida. Pero no queríamos pescar peces.

Fondeamos un bote de motor de 17 pies en una laguna a unos 800 pies del jardín posterior del Club Mar-a-Lago en Palm Beach y dirigimos una antena inalámbrica de 2 pies, que se asemejaba a una pistola de papas, hacia el club. En un minuto, encontramos tres redes Wi-Fi con cifrado débil. Podríamos haberlas hackeado en menos de cinco minutos, pero nos abstuvimos.

Pocos días después, paseamos en coche por los terrenos del Trump National Golf Club en Bedminster, Nueva Jersey, con la misma antena, y la dirigimos hacia la casa club. Identificamos dos redes Wi-Fi abiertas a las que cualquiera podría acceder sin una contraseña. Resistimos la tentación.

También hemos visitado dos de los retiros administrados por la familia del presidente Donald Trump, el Trump International Hotel en Washington DC, y un club de golf en Sterling, Virginia. Nuestras inspecciones descubrieron redes Wi-Fi débiles y abiertas, impresoras inalámbricas sin contraseñas, servidores con software vulnerable y anticuado, y páginas de inicio de sesión sin cifrar con acceso a bases de datos backend que contienen información sensible.

Los riesgos planteados por la laxitud de la seguridad, según los expertos, van mucho más allá del simple snooping (intromisión) digital. Los atacantes sofisticados podrían aprovecharse de las vulnerabilidades de las redes Wi-Fi para apoderarse de dispositivos como computadoras o teléfonos inteligentes y usarlos para grabar conversaciones de cualquiera que se encuentre en los predios.

publicidad

"Esas redes tienen que estar llenas de intrusos extraños, no sólo ProPublica", afirmó Dave Aitel, director ejecutivo de Immunity, Inc., una compañía de seguridad digital, cuando le dijimos lo que habíamos encontrado.

Los fallos de seguridad no son inusuales en el sector de la hospitalidad, el cual — al igual que la mayoría de los sectores y agencias gubernamentales, está sometido a crecientes ataques de hackers. Pero son más preocupantes en los lugares que el presidente de Estados Unidos, jefes de estado y funcionarios públicos visitan regularmente.

Las autoridades estadounidenses no pueden permitirse tales vulnerabilidades. Como demostraron las campañas presidenciales estadounidense y francesa, los hackers explotan cada vez más las deficiencias en los sistemas de seguridad en Internet con el fin de influir en las elecciones y la política. La semana pasada, los ciberataques utilizando software robado de la Agencia de Seguridad Nacional (NSA) paralizaron las operaciones en al menos una docena de países, desde el Servicio Nacional de Salud del Reino Unido hasta el Ministerio del Interior de Rusia.

Desde las elecciones, Trump ha alojado al presidente chino Xi Jinping, al primer ministro japonés Shinzo Abe y al político británico Nigel Farage en sus propiedades. Los problemas de seguridad cibernética que descubrimos podrían haber permitido que esas discusiones diplomáticas — y otras conversaciones sensibles en los predios — fueran monitoreadas por hackers.

publicidad

La Organización Trump sigue "las mejores prácticas de seguridad cibernética", dijo la portavoz Amanda Miller. "Como prácticamente cualquier otra compañía en estos días, rutinariamente somos el objetivo de terroristas cibernéticos cuyo único objetivo es infligir daño a grandes empresas estadounidenses. Si bien no vamos a comentar sobre medidas de seguridad concretas, estamos seguros de las medidas que hemos adoptado para proteger nuestro negocio y salvaguardar nuestra información. Nuestros equipos trabajan diligentemente para implementar el mejor cortafuegos y plataformas antivulnerabilidad con monitoreo constante las 24 horas del día".

Antena utilizada para detectar redes en las propiedades de Trump.
Antena utilizada para detectar redes en las propiedades de Trump.

La Casa Blanca no respondió repetidas solicitudes de comentarios.

Las propiedades de Trump han sido hackeadas antes. El año pasado, la cadena hotelera Trump pagó 50,000 dólares para resolver los cargos presentados por el fiscal general de Nueva York de que no había consignado apropiadamente la pérdida de más de 70,000 números de tarjetas de crédito y 302 números de seguridad social. Los fiscales alegaron que los sistemas de tarjeta de crédito del hotel fueron "blanco de un ataque cibernético" debido a la débil seguridad. La compañía se comprometió a reforzar su seguridad; no está claro si las vulnerabilidades que encontramos violan ese acuerdo. Un portavoz del fiscal general de Nueva York declinó comentar.

publicidad

Asimismo, nuestra experiencia indica que es fácil obtener acceso físico a las propiedades de Trump, al menos cuando el presidente no se encuentra en ellas. Como Politico ha informado previamente, los hoteles y clubes de Trump están mal protegidos. Pasamos en coche frente a Mar-a-Lago y fondeamos un bote cerca de su jardín. Condujimos por los terrenos del campo de golf Bedminster y por el estacionamiento del campo de golf en Sterling, Virginia. Nadie nos cuestionó.

Tanto el presidente Obama como el presidente Bush a menudo vacacionaban en el retiro presidencial más tradicional, Camp David, administrado por el ejército. Las computadoras y las redes allí y en la Casa Blanca son administradas por la Agencia de Sistemas de Información de Defensa.

En 2016, el ejército gastó 64 millones de dólares en el mantenimiento de las redes en la Casa Blanca y en Camp David, y más de 2 millones de dólares en "soluciones de defensa, personal, técnicas y mejores prácticas para defender, detectar y mitigar las amenazas cibernéticas" que representa el potencial hackeo de esas redes.

Incluso después de gastar millones de dólares en seguridad, la Casa Blanca admitió en 2015 que fue hackeada por rusos. Tras el hackeo, la Casa Blanca sustituyó todos sus sistemas informáticos, según una persona familiarizada con el asunto. A todos los empleados que trabajan en la Casa Blanca se les dice que "hay personas que están vigilando activamente lo que están haciendo", dijo Mikey Dickerson, quien dirigió el Servicio Digital de Estados Unidos durante la administración Obama.

publicidad

En comparación, Mar-a-Lago destinó 442,931 dólares a la seguridad en el año 2016 — algo más del doble del costo de iniciación de 200,000 dólares para un nuevo miembro. La Organización Trump declinó decir cuánto Mar-a-Lago dedica específicamente a la seguridad digital.

El club, que según su último informe cuenta con casi 500 miembros que pagan cuotas anuales de 14,000 dólares cada uno, destinó 1,703,163 dólares para toda la administración el año pasado, según documentos presentados en una demanda interpuesta por Trump contra el Condado de Palm Beach, en un esfuerzo por evitar que los vuelos comerciales sobrevolaran Mar-a-Lago. La demanda fue retirada, pero la FAA ahora restringe los vuelos sobre el club cuando el presidente se encuentra allí.

No está claro si Trump se conecta a las redes inseguras mientras se encuentra en las propiedades de su familia. Cuando viaja, al presidente se le proporcionan equipos de comunicaciones portátiles seguros. Trump monitoreó el ataque militar a una base aérea de Siria el mes pasado desde una sala de situaciones en Mar-a-Lago con equipo de video seguro.

Sin embargo, Trump ha celebrado reuniones confidenciales en espacios públicos en sus propiedades. La más famosa, en febrero, cuando él y el primer ministro japonés discutieron una prueba de misiles de Corea del Norte en el patio de Mar-a-Lago. En el transcurso de esa semana en febrero, la cuenta de Twitter del presidente publicó 21 tuits desde un teléfono Android. Un análisis realizado por un sitio web enfocado en Android demostró que Trump había utilizado la misma marca de teléfono desde 2015. Este teléfono es un modelo antiguo que no está aprobado por la NSA para uso clasificado.

publicidad

Las fotos de Trump y Abe tomadas por los comensales en esa ocasión motivaron que cuatro senadores demócratas le solicitaran a la Oficina de Rendición de Cuentas del Gobierno (GAO) que investigara si las comunicaciones electrónicas eran seguras en Mar-a-Lago.

En marzo, la GAO acordó abrir una investigación. Chuck Young, un portavoz de la oficina, dijo en una entrevista que la investigación estaba "en las primeras etapas", y no ofreció un pronóstico de cuando el informe estaría terminado.

Por lo tanto, decidimos poner a prueba la seguridad cibernética de los sitios favoritos de Trump nosotros mismos.

Nuestra primera parada fue Mar-a-lago, un country club de Trump en Palm Beach, Florida, donde el presidente ha pasado la mayoría de los fines de semana desde que asumió el cargo. Al pasar por el club, recogimos la señal Wi-Fi de una combinación de impresora y escáner que ha estado accesible al menos desde febrero de 2016, de acuerdo a una base de datos Wi-Fi pública.

Una impresora abierta puede parecer inofensiva, pero los hackers pueden utilizarla para todo, desde capturar todos los documentos que se envían al dispositivo hasta intentar infiltrarse en toda la red.

Surya Mattu identifica las redes Wi-Fi de Mar-a-Lago.
Surya Mattu identifica las redes Wi-Fi de Mar-a-Lago.

Para impedir estos ataques, la Agencia de Sistemas de Información de Defensa, que asegura la Casa Blanca y otras redes militares, prohíbe la instalación de impresoras a las que cualquiera puede conectarse desde redes externas. También advierte contra el uso de impresoras que cuenten con más funciones que las de impresión, tales como funciones de fax. "Si un atacante obtiene acceso a la red de uno de estos dispositivos, puede explotar una amplia gama de vulnerabilidades", advierte el organismo en su guía de seguridad.

También pudimos detectar un enrutador mal configurado y sin cifrar, lo que potencialmente podría proporcionar una puerta de entrada para los hackers.

Para tener un mejor campo visual, alquilamos un barco y lo llevamos hasta tener contacto visual con el club. Allí, recogimos señales de redes inalámbricas del club, tres de las cuales estaban protegidas con una débil y anticuada forma de cifrado conocida como WEP. En 2005, un agente del FBI rompió públicamente este tipo de encriptación en minutos.

publicidad

En comparación, el ejército limita la intensidad de señal de las redes en lugares como Camp David, y la Casa Blanca, de modo que no sean accesibles desde un automóvil que pase por el exterior. También exige que las redes inalámbricas utilicen la forma de cifrado más potente disponible.

Desde nuestros escritorios en Nueva York, también fuimos capaces de determinar que el sitio web del club alberga una base de datos con una página de inicio de sesión insegura que no está protegida por cifrado estándar de Internet. Los formularios de inicio de sesión como éste se consideran un riesgo grave de seguridad, según la Agencia de Sistemas de Información de Defensa.

Sin cifrado, los espías podrían escuchar a escondidas en la red hasta que un empleado del club inicie sesión, y robar su nombre de usuario y contraseña. Luego pueden descargar una base de datos que parece incluir información confidencial sobre los miembros del club y sus familias, según videos publicados por el proveedor de software del club.

Esto es "malo, muy malo", dijo Jeremiah Grossman, jefe de estrategia de seguridad de la firma de seguridad cibernética SentinelOne, cuando le describimos los sistemas de Mar-a-Lago. "Asumiría que los datos ya han sido robados y los sistemas están en peligro".

Unos días más tarde, llevamos nuestros equipos a otro club de Trump en Bedminster, Nueva Jersey. Durante la transición, Trump había entrevistado en este lugar a candidatos para altos puestos de la administración, incluyendo a James Mattis, ahora secretario de defensa.

publicidad

Condujimos por un camino de acceso de tierra en medio del campo de golf y detectamos dos redes Wi-Fi abiertas, TrumpMembers y WelcomeToTrumpNationalGolfClub, que no requerían una contraseña para unirse.

Camino de tierra a través del campo de golf de Bedminster.
Camino de tierra a través del campo de golf de Bedminster.

Semejantes redes abiertas le permiten a cualquiera dentro del rango captar toda la actividad de Internet sin cifrar en ese lugar, lo cual podría, en sitios inseguros, incluir nombres de usuario, contraseñas y correos electrónicos.

Robert Graham, un experto en seguridad cibernética de Atlanta, Georgia, dijo que los hackers podrían utilizar la red Wi-Fi abierta para activar de forma remota micrófonos y cámaras de los dispositivos conectados a la red. "Lo que estás describiendo es la típica seguridad de hotel", dijo, pero "es muy preocupante" que un atacante pueda escuchar las delicadas conversaciones de seguridad nacional.

Dos días después de que visitamos el club Bedminster, Trump llegó para una estancia de fin de semana.

publicidad

Luego visitamos el Trump International Hotel en Washington DC, donde Trump cena frecuentemente con su yerno y asesor principal Jared Kushner, cuyas responsabilidades abarcan desde la diplomacia en el Medio Oriente hasta la modernización de la burocracia federal. Investigamos las redes desde un Starbucks en el sótano del hotel.

Desde allí, pudimos detectar dos redes Wi-Fi en el hotel protegidas con lo que se conoce como un portal cautivo. Estas pantallas de inicio de sesión se utilizan a menudo en aeropuertos y hoteles para garantizar que sólo los clientes de paga puedan acceder a la red.

Sin embargo, accedimos a ambas redes simplemente escribiendo "457" en el campo del número de habitación. Como proporcionamos un número de habitación, el sistema asumió que eramos huéspedes. Buscamos la dirección IP pública del hotel antes de cerrar sesión.

Desde nuestros escritorios en Nueva York, también pudimos saber que el hotel está utilizando un servidor que es accesible desde la Internet pública. Este servidor corre sobre un software que fue lanzado casi 13 años atrás.

Por último, visitamos el Trump National Golf Club en Sterling, Virginia, donde el presidente juega golf a veces. Desde el estacionamiento, reconocimos tres redes inalámbricas cifradas, un teléfono inalámbrico cifrado y dos impresoras con acceso Wi-Fi abierto.

publicidad

Los sitios web del club Trump están alojados en una compañía con sede en Ohio llamada Clubessential. Ofrece de todo, desde gestión interna y comunicaciones de miembros hasta reservas de la hora de jugar y reservas de habitación.

En una presentación de 2014, un director de ventas de la compañía advirtió que el sector de los clubes en general es "demasiado laxo" en la administración y protección de contraseñas. Ha habido un " aumento del número de ataques contra sitios web de clubes durante los últimos dos años“, según la presentación. Clubessential "realizó [una] auditoría de seguridad en el sector de los clubes" y "encontró miles de documentos confidenciales de los clubes expuestos en [la] Internet", tales como "listas de miembros y personal, y su información de contacto; actas de las reuniones de las juntas, estados financieros, etc.".

Aun así, la compañía de software de clubes ha creado un servidor backend accesible en Internet, y configuró su cifrado incorrectamente. Cualquier persona que llegue a la página de inicio de sesión es recibida con una advertencia de que el cifrado está roto. En su documentación, la compañía les aconseja a los administradores de clubes que ignoren estas advertencias y se conecten de todas formas. Esto significa que cualquiera que espíe la conexión desprotegida podría interceptar las contraseñas de los administradores y tener acceso a todo el sistema.

publicidad

La compañía también publica en línea, sin una contraseña, muchas de las opciones de configuración predeterminadas y los nombres de usuarios de su software — esencialmente ofreciendo una hoja de ruta para los intrusos.

Clubessential declinó hacer comentarios.

Aitel, el director ejecutivo de Immunity, dijo que los problemas en las propiedades Trump serían difíciles de corregir: "Una vez que se tiene un nivel bajo de seguridad, es difícil desarrollar un sistema de red segura. Básicamente, hay que volver a empezar".

¿Tiene acceso a información que debería ser pública? He aquí cómo enviar sugerencias y documentos a ProPublica de forma segura.

En fotos: Este es el lujoso club por el qué Trump sustituyó (por ahora) su mansión en Mar-a-Lago
publicidad
Contenido Patrocinado
En alianza con:
publicidad
publicidad