Sobre los correos de suplantación de RIPE NCC: el miedo, la autoridad y el verdadero papel de los registros

Un mensaje falso puede aprovechar el miedo que inspira una institución. Este ensayo pregunta por qué se percibe a quien lleva un registro como un poder sobre toda la red.

Recientemente, muchos miembros de RIPE NCC recibieron un correo con el asunto «Download Review» («Revisión de descarga»), en el que se exigía confirmar cierta información en un plazo de 48 horas. El correo no procedía de RIPE NCC. Era un intento de suplantación que explotaba el miedo; en concreto, el miedo a la autoridad que se atribuye a RIPE NCC.

Este incidente pone al descubierto un problema estructural más profundo.

RIPE NCC es una entidad privada constituida por sus miembros que mantiene una base de datos de registro. Sin embargo, muchos de ellos la tratan inconscientemente como un regulador con poder soberano, capaz de cerrar todo su negocio de la noche a la mañana. Ese miedo es precisamente lo que aprovecharon los estafadores. Y existe por una razón: bajo las políticas actuales de los RIR, los miembros no son verdaderamente propietarios de las direcciones IP de las que dependen sus empresas.

Si, en teoría, un registro puede rescindir un contrato de servicios y modificar las inscripciones, el riesgo se percibe como una amenaza a la propia supervivencia. Una empresa nacional de telecomunicaciones, un ISP que presta servicio a millones de personas, nunca debería depender estructuralmente de la discrecionalidad de una empresa privada sometida a una legislación extranjera. Esa no es una base sólida para una infraestructura crítica.

La verdadera solución es reformar las políticas. Debe reconocerse la propiedad de los recursos de numeración. Cuando los miembros sean verdaderamente propietarios de sus direcciones IP, un correo —auténtico o falso— no podrá amenazar la supervivencia de su negocio. El miedo desaparece en cuanto desaparece la dependencia. Los RIR son instituciones impulsadas por la comunidad y organizadas de abajo arriba. Si la comunidad quiere que se reconozca la propiedad, puede conseguirlo: participando, votando y cambiando las políticas.

Al mismo tiempo, los miembros deben comprender la realidad actual. RIPE NCC no es un gobierno. No es la policía de Internet. Es una entidad privada que mantiene una relación contractual con sus miembros. Si actuara de manera irrazonable —rescindiendo contratos y causando daños desproporcionados—, tendría responsabilidad jurídica. Los tribunales existen precisamente para impedir esos abusos, y la historia demuestra que los propios registros no están a salvo de medidas cautelares, congelaciones de activos o situaciones de insolvencia cuando se extralimitan.

En la práctica, los procesos reales de RIPE NCC siguen procedimientos establecidos y son razonables. Por ejemplo, las comprobaciones asistidas del registro existen para mantener la exactitud de los datos, pero se realizan de forma cooperativa, se programan cuando le conviene al miembro y tienen un carácter expresamente no hostil. Ningún procedimiento legítimo de RIPE exige actuar en un plazo de 48 horas bajo amenaza. Los mensajes de ese tipo deberían despertar sospechas de inmediato.

Este incidente nos recuerda que debemos recuperar la perspectiva. Los registros llevan los libros. Como lo expresó uno de los fundadores de RIPE: existen para que el libro sea exacto. Nada más. No dirigen las redes, no vigilan la conducta ni ejercen poder soberano.

La solución a largo plazo es la acción colectiva: participar en los procesos de elaboración de políticas, impulsar la propiedad real de las direcciones IP y eliminar el miedo estructural que hace eficaces estos ataques de suplantación. Una vez que la propiedad de las direcciones IP quede clara, desaparecerá toda esta clase de amenazas.

Hasta entonces, traten las comunicaciones de los registros como tratarían las de cualquier proveedor: con calma, conforme al contrato y sin miedo.