En realidad, 26 pujas es un número atractivo si se hubiera tratado de ofertas serias. Sin embargo, en su mayoría son insignificantes, en el rango de fracciones mínimas de bitcoin (BTC), ciberdivisa valorada a la fecha en US$ 571.
La mayor oferta hecha hasta el momento, y la única probablemente real, es de 1,5 BTC, equivalente a aproximadamente US$ 882. Éste importe es relativamente insignificante para un botín que ha generado considerable atención mediática en todo el mundo.
Las condiciones de la subasta limitan indudablemente las pujas, debido a que éstas deben ser abonadas inmediatamente, no hay devoluciones para quienes no se adjudiquen el material ofrecido, y tampoco se señala una fecha para el fin de la subasta.
Por otra parte, hay razones para suponer que el propósito de la filtración no ha sido lucrar con las herramientas, sino dar una señal, o una advertencia, a la contraparte, en el sentido que no tienen control de su propio material.
Según algunas fuentes, no se trataría de un hackeo propiamente tal contra sistemas pertenecientes o asociados a la NSA, sino más bien alguien que ha extraído el material en una memoria USB u otro soporte informático. Esta versión es sustentada por una fuente anónima consultada por la publicación Business Insider, quien supuestamente ha trabajado para la unidad Tailored Access Operations (TAO) de la NSA.
“Al conocer la estructura de la NSA resulta improbable que alguien pueda hackearla. Algo así es simplemente ridículo. Su sistema es demasiado perfecto, o impenetrable”, comentó la fuente, agregando que el material subastado consiste de un juego específico de herramientas, lo que lleva a suponer que alguien se apropió de ellas copiándolas en un disco, directamente desde la infraestructura operativa de la organización.
Al igual que esta fuente anónima, un sujeto identificado como Dave Aitel, ex investigador de seguridad en la NSA, indicó que la subasta probablemente causó conmoción en la NSA, aunque no necesariamente por las herramientas sustraídas – que probablemente son irrelevantes dada su antigüedad – sino por el hecho en sí que alguien haya podido extraer el material desde su infraestructura. Esta posibilidad les lleva a suponer, indudablemente, que otras herramientas pudieron ser sustraídas durante la misma operación.
“Al desconocerse la forma en que se produjo la sustracción del material, comenzó a cundir el pánico respecto de otro material que podría estar circulando, especialmente desde una perspectiva de contraespionaje. ¿Cuándo hay que preocuparse, en realidad? ¿Serán reveladas todas mis operaciones? Creo que estas cosas son preocupantes para ellos, debido a que quieren mantener en secreto su trabajo” comentó la fuente a Business Insider.
Al comienzo se desconocía si las herramientas filtradas eran auténticas o falsificadas. Sin embargo, Cisco y la empresa de seguridad informática Fortinet han advertido que las herramientas explotan vulnerabilidades reales, algunas de las cuales han sido desconocidas hasta ahora. En gran medida, se trata de procedimientos para eludir cortafuegos.
Considerando que las herramientas ofrecidas por “The Shadow Group” tienen una data superior a los tres años, es dable suponer que en la NSA ha conocido las vulnerabilidades, algunas de ellas de día cero, sin darlas a conocer a la opinión pública. Anteriormente, la NSA ha asegurado dar a conocer la mayoría de las vulnerabilidades que descubre. El hecho que no informe sobre todas las vulnerabilidades forma parte de su tarea de inteligencia. Es dable suponer que lo mismo ocurre con otros servicios de inteligencia, en todos los países. Sin embargo, lo anterior debe ser contrastado con el mandato delegado en la NSA, de proteger intereses estadounidenses contra ataques externos. “Siempre existe ese delicado equilibrio; ¿como pueden cumplir su trabajo de inteligencia, hackear a sus adversarios, y de todas formas proteger al resto de nosotros?”, comentó Jeremiah Grossman, director de seguridad en la empresa SentinelOne, a Wired. “Mientras más tiempo pase antes de dar a conocer una vulnerabilidad a la opinión pública, mayor es la posibilidad que al final, sean filtradas”, comentó Grossman, a cuyo juicio la NSA debería aprovechar las vulnerabilidades de día cero para cumplir su labor de inteligencia, pero que también debería aplicar un plazo para dar a conocer las vulnerabilidades con el fin de proteger a los ciudadanos.
En julio de 2014, la organización EFF (Electronic Frontier Foundation) demandó a la NSA por aprovechar secretamente la vulnerabilidad Heartbleed en lugar de advertir a la opinión pública.
