La codificación de la intranet de un fabricante británico de submarinos se subcontrata a Bielorrusia y Rusia

Rolls Royce Submarines, que fabrica submarinos nucleares para el ejército británico, subcontrató el desarrollo de su intranet a un proveedor externo, quien luego empleó conscientemente desarrolladores con sede en Bielorrusia y Siberia, Rusia, sin autorización de seguridad, en contravención de las normas del Ministerio de Defensa (MoD) del Reino Unido.

La intranet de Rolls-Royce Submarines es un portal interno que contiene los datos personales de todos sus empleados y la estructura organizativa de quienes trabajan en la flota de submarinos británica.

Según informó The Telegraph, el Ministerio de Defensa consideró el incidente como una grave amenaza para la defensa británica, incluida la posible filtración de la ubicación de los submarinos británicos, y lanzó una investigación que concluyó en febrero de 2023.

Un portavoz del Ministerio de Defensa dijo que “en ningún momento se vio comprometida la integridad del sistema” tras la investigación.

Rolls Royce Submarines, cuya investigación interna concluyó en 2021, también afirmó que examinó toda la codificación antes de introducirla en su red y que no se produjeron violaciones de datos.

“Podemos afirmar categóricamente que en ningún momento ha existido riesgo de que personas sin autorización de seguridad accedan o estén disponibles para acceder a datos confidenciales o de otro tipo. No es posible que personas sin autorización de seguridad accedan a datos confidenciales a través de la intranet de nuestra empresa.

“Se utiliza para proporcionar actualizaciones comerciales, apoyo de bienestar y un canal de colaboración entre nuestros colegas”, dijo un portavoz de Rolls-Royce, y agregó que la compañía dejó de trabajar con WM Reply, la consultoría digital que contrató para el desarrollo de su intranet.

La investigación del Ministerio de Defensa estableció que WM Reply empleó conscientemente a personas con base en Bielorrusia y Rusia sin autorización de seguridad en al menos una ocasión anterior e intentó ocultar sus identidades para evitar perder el contrato valuado en medio millón de libras (638.492 dólares).

La transcripción de una videollamada entre empleados de WM Reply en noviembre de 2020, antes de que comenzara el proyecto, se puso a disposición de la investigación del Ministerio de Defensa, durante la cual algunos empleados propusieron que un ingeniero con sede en el Reino Unido compilara el código escrito por los desarrolladores rusos y bielorrusos para ocultar el origen, mientras que otros propusieron utilizar los nombres de «personas muertas en el Reino Unido» para ocultar los nombres que sonaban a bielorruso.

“Estamos pensando en una forma legítima de hacerlo porque… estábamos pensando en crear cuentas falsas, de modo que no se pudiera rastrear hasta (la empresa en Minsk) que creó el código. Pero luego las cuentas falsas son para personas falsas, tal vez personas muertas en el Reino Unido, lo cual no es realmente agradable”, decía un mensaje.

Después de la reunión, el personal superior de WM Reply dijo que obtuvo permiso de Rolls Royce Submarines para emplear trabajadores en alta mar para el proyecto, aunque la investigación del Ministerio de Defensa estableció posteriormente que WM Reply no declaró explícitamente a Rolls-Royce que los desarrolladores tenían su base en Bielorrusia y Siberia, lo que justifica una precaución de seguridad adicional.

Rolls Royce fue informado de las preocupaciones en la primavera de 2021 e inició una investigación; el Ministerio de Defensa inició una investigación posterior a partir del verano de 2022.

WM Reply sostuvo que existían medidas de seguridad y que sus acciones no ponían en peligro la seguridad nacional.

“WM Reply revisa periódicamente sus procesos y procedimientos de entrega, respeta las necesidades y procesos de sus clientes y disfruta de relaciones transparentes y duraderas con dichos clientes”, dijo un portavoz de WM Reply.

La Dra. Marion Messmer, investigadora principal de Chatham House, un grupo de expertos, dijo a The Telegraph que las empresas tienden a externalizar el desarrollo de software a terceros países como Bielorrusia, Rusia, Polonia y Ucrania “como medida de reducción de costos”, lo que normalmente es “completamente inofensivo”, pero podría “(convertirse en) una enorme preocupación de seguridad” si van a trabajar en infraestructura nacional crítica.

Ben Wallace, ex secretario de Defensa del Reino Unido, advirtió que el incidente puso de relieve la vulnerabilidad de las cadenas de suministro en el sector de defensa de Gran Bretaña.

“Una y otra vez, países como China y Rusia han puesto en la mira las cadenas de suministro de nuestros contratistas de defensa. Este no es un fenómeno nuevo”, afirmó Wallace.