Hay algo que me gusta especialmente de Focus y que, visto desde la ciberseguridad, resulta bastante más interesante de lo que parece a primera vista.
La película habla de estafadores, carteristas y engaños, pero buena parte de lo que vemos no consiste realmente en convencer a alguien de una mentira. Consiste en conseguir que esa persona preste atención exactamente a lo que el estafador quiere.
Y eso cambia bastante las cosas.
En Atrápame si puedes, Frank Abagnale conseguía que la gente creyera que era piloto, médico o abogado. La identidad era el engaño. En Focus, el truco está muchas veces en otro sitio: hacer que la víctima esté convencida de que está viendo lo importante cuando, en realidad, lo importante está ocurriendo en otro lugar.
Es una diferencia pequeña sobre el papel, pero enorme cuando empiezas a mirarla con ojos de seguridad.
La atención es un recurso limitado
Una de las primeras cosas que deja clara Focus es que nuestra atención no es infinita. Si alguien consigue ocuparla con algo suficientemente interesante, urgente o llamativo, automáticamente estamos prestando menos atención al resto.
Las primeras escenas de la película son prácticamente una demostración de esto. Nicky (Will Smith) observa a sus objetivos, analiza cómo reaccionan y, junto con su equipo, prepara situaciones en las que la víctima acaba mirando exactamente donde ellos quieren.
No hay magia.
Hay preparación.
Y esto es importante porque el truco que vemos en pantalla parece espontáneo únicamente para la víctima. Para el espectador, poco a poco, queda claro que detrás de esos segundos de aparente improvisación hay bastante trabajo previo.
Nicky estudia a las personas, observa sus hábitos, detecta qué les llama la atención y, sobre todo, intenta averiguar qué esperan que ocurra a continuación.
Ahí aparece uno de los conceptos que más fácilmente podemos trasladar a seguridad: el reconocimiento.
Antes de intentar engañar a alguien, necesitas saber algo sobre esa persona.
Qué le preocupa.
Qué espera.
Qué comportamiento considera normal.
Qué le resulta extraño.
Y, sobre todo, qué conseguiría que dejara de hacerse preguntas.
Es exactamente la misma lógica que veíamos en Atrápame si puedes, aunque aplicada de una manera diferente. Frank estudiaba cómo comportarse como un piloto. Nicky estudia cómo conseguir que los demás se comporten como él necesita.
El truco no es distraer: es dirigir
Aquí creo que está la parte más interesante de Focus.
Cuando hablamos de estos engaños solemos utilizar la palabra «distracción». Es correcta, pero se queda un poco corta.
El objetivo no es simplemente conseguir que la víctima mire hacia otro lado.
Es conseguir que mire voluntariamente hacia el lugar equivocado.
Y para eso no hace falta esconder necesariamente lo que está ocurriendo. A veces es mucho más eficaz ponerlo delante de la víctima, pero rodearlo de suficientes estímulos como para que no lo interprete correctamente.
Esto tiene una traducción bastante directa al mundo de la seguridad.
Imaginemos una organización que detecta una actividad sospechosa en uno de sus equipos. Si toda la atención del equipo de seguridad se concentra en ese indicador, cualquier otra actividad que ocurra en otro lugar puede pasar desapercibida.
En un Red Team, esta idea resulta especialmente interesante cuando hablamos de lo que ocurre después de conseguir acceso.
El acceso inicial es solo una parte de la historia. A partir de ahí, un atacante puede intentar comprender qué está viendo el defensor, qué alertas genera la actividad y qué acontecimientos podrían hacer que los investigadores concentrasen su atención en una determinada máquina, usuario o incidente.
La cuestión deja de ser únicamente:
«¿Puedo entrar?»
Y pasa a ser:
«¿Qué va a pensar el equipo de seguridad que está ocurriendo?»
Ese cambio de perspectiva es muy Focus.
El atacante también puede intentar controlar la historia que cuenta el incidente
Aquí es donde la película conecta especialmente bien con un ejercicio de Red Team.
Un buen defensor no debería limitarse a reaccionar ante una alerta aislada. Tiene que ser capaz de reconstruir una historia: qué ocurrió primero, qué actividad está relacionada con qué otra y dónde está realmente el origen del problema.
Desde el otro lado, un atacante tiene un incentivo evidente para dificultar esa reconstrucción.
Por eso, conceptualmente, la «misdirection» puede aparecer también en la fase posterior al acceso. No necesariamente significa hacer ruido deliberadamente ni provocar falsas alarmas; puede consistir simplemente en aprovechar el hecho de que los equipos humanos tienen una capacidad limitada para investigar múltiples señales simultáneamente.
La analogía con Focus funciona muy bien aquí.
En la película, alguien puede estar mirando directamente al escenario y aun así no darse cuenta de lo que está ocurriendo.
En seguridad puede suceder algo parecido: un SOC puede estar mirando sus dashboards, recibiendo alertas y analizando eventos… y aun así interpretar incorrectamente lo que está viendo.
Porque ver una señal no significa entenderla.
Nicky no empieza por el truco
Otra cosa que me parece especialmente interesante de la película es que Nicky no aparece de repente y empieza a engañar a alguien.
Primero observa.
Esto parece una obviedad, pero es probablemente una de las partes más importantes de cualquier operación de ingeniería social. La información sobre el objetivo permite construir una situación que resulte creíble.
Y aquí podemos volver a Mitnick.
Una de las ideas recurrentes en su trabajo era que la ingeniería social no consistía simplemente en mentir bien. Consistía en obtener información y utilizarla para construir una historia que encajara con lo que la víctima ya esperaba.
Eso aparece continuamente en Focus.
El estafador no intenta luchar contra las expectativas de la víctima. Las utiliza.
Si sabe qué espera encontrar una persona, puede construir una situación que confirme precisamente esa expectativa.
Y cuando la víctima encuentra lo que esperaba encontrar, deja de buscar.
Esto también explica por qué funciona tan bien la «preparación»
Hay algo casi contradictorio en los grandes engaños de la película: cuanto más espectacular parece el resultado, menos improvisación hay detrás.
Lo que vemos durante unos segundos puede haber requerido horas de observación.
Esto también ocurre en seguridad.
Cuando pensamos en un Red Team, muchas veces imaginamos la parte divertida: alguien consigue acceso, encuentra una vulnerabilidad y demuestra que puede llegar hasta un sistema crítico.
Pero buena parte del trabajo interesante está antes.
Conocer el entorno.
Entender cómo trabaja la organización.
Saber qué comportamientos son normales.
Identificar qué controles existen.
Y comprender, sobre todo, cómo reaccionaría la organización si algo extraño sucediera.
Eso permite plantear una pregunta mucho más interesante que «¿podemos entrar?»:
«Si entráramos, ¿seríais capaces de distinguir lo importante del ruido?»
Y aquí aparece la conexión con la defensa
Quizá esta sea la parte más útil de Focus para alguien que trabaja en ciberseguridad.
La película no solo nos enseña cómo engañar a una persona. También nos enseña por qué es tan difícil detectar un engaño cuando nuestra atención ya ha sido condicionada.
Para un defensor, la lección es prácticamente la contraria.
No basta con preguntar:
«¿Qué está haciendo esta máquina?»
Hay que preguntarse también:
«¿Por qué estoy mirando esta máquina?»
Y:
«¿Qué otras explicaciones existen para lo que estoy viendo?»
Es una diferencia importante.
Un atacante puede intentar influir sobre la percepción del defensor, pero un buen equipo de seguridad intenta precisamente romper esa influencia. Correlaciona fuentes diferentes, reconstruye la línea temporal y evita sacar conclusiones a partir de una única señal.
En otras palabras: intenta no mirar únicamente donde alguien quiere que mires.
La gran diferencia con Atrápame si puedes
Por eso creo que Focus funciona tan bien como segunda película para hablar de ingeniería social.
En Atrápame si puedes, Frank necesita convertirse en alguien en quien los demás confíen. El piloto, el médico, el abogado… la identidad es la herramienta.
En Focus, Nicky necesita algo diferente: controlar la situación suficiente para que la víctima tome decisiones sin darse cuenta de que alguien está condicionando esas decisiones.
Una película habla mucho de confianza.
La otra, de atención.
Y las dos terminan en el mismo sitio: la capacidad de manipular el comportamiento humano.
Quizá la frase que mejor resume Focus desde el punto de vista de la seguridad no sea «mira hacia otro lado».
Es algo más sutil:
No necesitas ocultar lo que estás haciendo si consigues que la otra persona crea que ya ha entendido lo que está pasando.
Y eso, tanto en una calle llena de carteristas como dentro de un SOC, puede ser un problema bastante serio.
