La UE impone sus primeras sanciones contra ciberdelincuentes

Por primera vez, la Unión europea ha impuesto sanciones por delitos cibernéticos. Se trata individuos rusos y chinos, una unidad especializada de la agencia de inteligencia militar GRU de Moscú, una empresa de exportación con sede en Corea del Norte y una empresa de tecnología de Tiajin en China.

Los Estados miembros han explicado que se tomarán medidas contra seis personas y tres entidades que están involucradas en varias acciones, entre ellas, el intento de piratear la Organización para la Prohibición de las Armas Químicas (OPAQ), un acto que tuvo lugar en abril de 2018 y que tanto Reino Unido como Holanda señalaron a Rusia como autor y los conocidos como WannaCry, NotPetya y Operación Cloud Hopper.

Las sanciones imponen la prohibición de viajar y la congelación de activos, así como la prohibición a las personas y entidades de la Unión Europea de poner fondos a disposición de las personas incluidas en la lista.

Este tipo de sanciones son una de las herramientas que tiene la Unión europea y que está empezando a utilizar como parte de su diplomacia cibernética para prevenir, disuadir y responder a las actividades maliciosas dirigidas contra la UE y sus Estados miembros.

Esta medida se ha adoptado para “prevenir, desalentar, disuadir y responder mejor a ese comportamiento malicioso en el ciberespacio”

Con esta primera decisión, Los 27 abren la veda a poder utilizar esta herramienta más frecuentemente. Estos ataques representan “una amenaza externa para la Unión Europea o sus estados miembros” y tienen “un efecto significativo contra terceros estados u organizaciones internacionales”, ha denunciado Josep Borrell, jefe de la política exterior de la Unión Europea, que ha explicado que esta medida se ha adoptado para “prevenir, desalentar, disuadir y responder mejor a ese comportamiento malicioso en el ciberespacio”.

"La Unión Europea y sus Estados miembros condenan este comportamiento malicioso en el ciberespacio, expresan su solidaridad con todos los países que son víctimas de actividades cibernéticas maliciosas y subrayan su continuo apoyo para aumentar la resistencia cibernética mundial", ha asegurado Borrell. "Cualquier intento de obstaculizar la capacidad de las infraestructuras críticas es inaceptable. Todos los delincuentes deben abstenerse inmediatamente de llevar a cabo tales acciones irresponsables y desestabilizadoras, que pueden poner en riesgo la vida de las personas", ha señalado Borrell en referencia a los ciberataque contra infraestructuras críticas en tiempos de pandemia.

"Ahora la UE muestra que puede tomar medidas efectivas contra estos y otros malhechores”

Por su parte, el ministro de Asuntos Exteriores de Países Bajos, Stef Blok, ha señalado que “con estas sanciones, la UE da un gran paso hacia un ciberespacio más seguro. El precio del mal comportamiento se está incrementando, porque los malos aún se salen con la suya con demasiada frecuencia”. “Ahora la UE muestra que puede tomar medidas efectivas contra estos y otros malhechores”, ha afirmado.

Quién y qué empresas son las sancionadas

La lista de las personas sancionadas por la UE son los siguientes:

• Gao Qiang (chino), involucrado en la Operación Cloud Hopper.
• Zhang Shilong (chino), participante de la Operación Cloud Hopper y conocido públicamente como APT10, bajo los alias Red Apollo, CVNX, Stone Panda, MenuPAss y Potassium.
• Alexey Minin (ruso), involucrado en el intento del ciberataque contra la OPAQ. Es uno de los miembros de la GRU ruso.
• Aleksei Morenets (ruso), participó en el intento del ciberataque contra la OPAQ y también es miembro de la GRU.
• Evgenii Serebriakov (ruso), otro de los integrantes de la GRU que trató de atacar la OPAQ.
• Oleg Sotnikov (ruso), un integrante de la GRU que también formó parte del grupo que intentó ciberatacar la OPAQ.

La lista de las empresas sancionadas son las siguientes:

• Huaying Haitai (China). Esta empresa prestó apoyo financiero, técnico o militar y facilitó la Operación Cloud Hopper y está vinculada con APT10 y fue empleadora de Gao Qiang y Zhang Shilong.
• Chosun Expo (Corea del Norte). Esta compañía dio apoyo financiero, técnico o material y facilitó una serie de ciberataques con un efecto “significaitivo” originados fuera de la Unión, pero que constituyen una amenaza externa para los Estados miembros. En la lista se incluyen los ataques de WannaCry, a la Autoridad de Supervisión Financiera de Polonia y a Sony Pictures, así como el robo cibernético del Banco de Bangladesh y el intento de robo al Banco Tien Phong de Vietnam. La compañía está vinculada con el Grupo Lazarus a través de las cuentas utilizadas para los ciberataques.
• GTsST de la GRU. El Centro Principal de Tecnologías Especiales (GTsST) de la Dirección Principal del Estado Mayor de las Fuerzas Armadas de la Federación de Rusia (GU/GRU) está acusado de ser responsable de los ciberataques conocidos como NotPetya o EternalPetya y los ciberataques contra la red eléctrica ucraniana en el inverno de 2015-2016.