William Barlow, exvicepresidente de inteligencia de amenazas de IBM, presentó acusaciones formales contra la compañía tecnológica alegando que encubrió múltiples brechas de seguridad perpetradas por actores estatales extranjeros durante más de una década, según una demanda presentada en 2020 pero desellada esta semana.

Barlow afirmó en su denuncia que la red central de IBM fue "rutinariamente hackeada por actores estatales extranjeros y otros", agregando que los datos fueron frecuentemente robados y que las agencias gubernamentales "nunca fueron notificadas", según reportó TechCrunch.

La brecha principal involucró al grupo APT 10, vinculado al gobierno chino, que según el entonces director del FBI Christopher Wray había atacado a un "Quién es Quién" de la economía global cuando sus miembros fueron acusados formalmente en 2018, según la demanda. Los hackers penetraron tanto la red de la compañía como los datos que mantenía en asociación con AT&T.

Según Barlow, en marzo de 2017, funcionarios de inteligencia de Australia, Canadá, Nueva Zelanda, Estados Unidos y Reino Unido —la alianza conocida como Cinco Ojos— advirtieron a IBM sobre la brecha, lo que provocó una investigación interna.

La investigación concluyó que APT 10 potencialmente violó la red de IBM más de 56.000 veces entre 2013 y 2016, según la denuncia. De manera crucial, la compañía determinó que no podía investigar más a fondo porque no había mantenido registros de quién accedió a su red y cuándo, una práctica básica de seguridad.

IBM supuestamente no alertó a ninguna autoridad ni al gobierno estadounidense, uno de sus principales clientes, según la demanda.

"Como la infraestructura de las Redes Centrales de IBM y AT&T es arcaica, los hackers han podido acceder al sistema en numerosas ocasiones y pueden moverse casi en cualquier lugar sin ser detectados", señala la denuncia, que explicó que la investigación interna de IBM concluyó que cuatro servidores fueron comprometidos en la campaña de hackeo de APT 10.

"Los atacantes han comprometido y/o accedido a casi 400 cuentas comprometidas y casi 200 sistemas y servidores totales en cada unidad de negocio de IBM, dieciocho países y múltiples productos de IBM", indicó un informe interno de IBM sobre la investigación de la brecha, según la denuncia.

Barlow también acusó a IBM de encubrir brechas en al menos dos subsidiarias adquiridas por la compañía. Según el exejecutivo, Trusteer, una startup de ciberseguridad adquirida por IBM en 2013, fue violada en 2018. Además, Truven, una startup de datos de salud que IBM adquirió en 2016, fue hackeada múltiples veces después de la adquisición, según la demanda.

En ambos casos, Barlow acusó a IBM de no investigar ni divulgar adecuadamente estas brechas.

Miki Carver, portavoz de IBM, declinó responder preguntas específicas sobre la demanda y las acusaciones subyacentes. En su lugar, Carver declaró a TechCrunch: "Esta denuncia fue presentada hace seis años, y el Departamento de Justicia de Estados Unidos declinó intervenir. IBM confía en que nuestras acciones siguieron la letra de la ley".

Jason Brown, abogado que representa a Barlow, dijo a TechCrunch que su firma está "esperando litigar agresivamente el asunto".

"No puedes vender ciberseguridad al gobierno federal mientras supuestamente tienes estos problemas de seguridad dentro de tu propia compañía", afirmó Brown.

El caso, aunque las supuestas brechas datan de hace más de una década, demuestra que los ciberataques, incluso aquellos que afectan a grandes compañías tecnológicas públicas como IBM, a veces nunca se divulgan, ni al público ni a las autoridades gubernamentales relevantes, según TechCrunch. IBM es un proveedor importante de ciberseguridad para el gobierno federal estadounidense, lo que hace que el supuesto encubrimiento sea especialmente significativo.

En los últimos años, varias leyes de notificación de brechas de datos han sido aprobadas para contrarrestar este problema, según el medio especializado. Bloomberg fue el primero en reportar sobre la demanda.

La revelación plantea interrogantes sobre la transparencia de las grandes corporaciones tecnológicas en materia de seguridad cibernética, particularmente aquellas que proveen servicios de protección digital a entidades gubernamentales. El caso también subraya las tensiones entre las obligaciones legales de divulgación y los incentivos comerciales para mantener en secreto las vulnerabilidades de seguridad.

El desarrollo del litigio podría establecer precedentes importantes sobre las responsabilidades de las empresas tecnológicas en la notificación de brechas de seguridad, especialmente cuando involucran a actores estatales extranjeros y afectan a infraestructura crítica o datos gubernamentales.