Medios y ponencias

En Cruce de Cables, junto a Rafa López, explico que las granjas de bots son lugares con cientos de miles de dispositivos, habitualmente móviles, que se contratan para inflar likes y comentarios y engañar al algoritmo de las redes sociales, o para generar visitas falsas a la publicidad de una empresa y hacerle gastar dinero sin que nadie la vea. Recuerdo que cuando Twitch se puso a quitarlos desapareció cerca de un tercio del tráfico de muchos streamers, y aviso de que en política estos contenidos viralizados te meten en una espiral de confirmación que va cambiando tu forma de ver el mundo. Cualquiera con unos pocos euros puede comprar interacciones en la web normal, incluso eligiendo el país, y servicios más a medida en la dark web o Telegram, aunque la guerra psicológica de verdad la hacen Estados con equipos propios.

Desinformación y riesgo digital →

Rafa, el Cibercapitán, y yo llevamos a las jornadas STIC del CCN-CERT, el centro que depende del CNI, una ponencia sobre hacktivismo y operaciones psicológicas en el ciberespacio. Enseñamos las conversaciones reales que mantuvimos con cuatro grupos prorrusos, entre ellos NoName057(16), al que vinculo con los ataques de este año a Vitrasa y a los concellos de Vigo y Lugo. Insisto en una idea que incomoda: no son cuatro chavales en su casa, es gente muy organizada y resiliente que vive para esto por convicción, y atacan a España por su apoyo a la OTAN.

Riesgo geopolítico y hacktivismo →

La inteligencia artificial ha llegado para quedarse y va a facilitar muchísimo trabajo, pero con la velocidad a la que ha entrado en nuestras vidas mucha gente no ha calibrado los riesgos. Soy defensor de usarla siendo conscientes de los peligros de su mal uso, empezando por vigilar a quién le entregamos nuestros datos. Y aviso de que los cibercriminales ya la emplean para automatizar ataques, afinar engaños en cualquier idioma y montar deepfakes que suplantan identidades.

IA y ciberseguridad para directivos →

Grupos que sobre el papel se detestan, hacktivistas prorrusos, yihadistas y afines a China o Irán, dejan de lado sus diferencias y se coordinan bajo una misma bandera para golpear a Occidente. En este reportaje, ligado a las jornadas del Centro Criptológico Nacional, explico por qué funciona esa alianza: cada uno cree estar haciendo lo correcto y a todos les une un objetivo común. Van desde las denegaciones de servicio hasta el robo y la venta de datos de empresas e industrias al mejor postor.

Riesgo geopolítico y ciberseguridad →

En esta entrevista repaso lo que me mueve después de más de dos décadas en esto: como suelo decir, algunas personas simplemente no queremos ver el mundo arder. Defiendo que la ciberseguridad es una parte inherente al negocio, que tarde o temprano todos seremos vulnerables a un ataque y que ya no existe separación entre la vida digital y la física. Y reivindico la cultura hacker, la comunidad y la privacidad, porque la privacidad es esencial para ser libres.

Quién soy →

En esta entrevista durante el Foro CTV en A Coruña defiendo una idea que repito sin cansarme: la seguridad no es un gasto, es parte del diseño de cualquier proyecto desde el minuto uno. Aviso también de que España ha dejado pasar el tren de la inteligencia artificial y de la ciberseguridad, y de que corre el riesgo de perder también el de la computación cuántica. Y recuerdo un dato que asusta, el de la empresa británica que perdió veinticuatro millones de euros por un fraude con voz e imagen sintéticas.

Ciberseguridad para consejos y comités de dirección →

En este reportaje de Espejo Público sobre el mercado negro de historiales clínicos, en apenas unos minutos accedí a un anuncio de venta de datos robados hace poco a un hospital de Dubái. Cuando me preguntan qué puede hacer el paciente para evitar ese robo, la respuesta es dura: lamentablemente, nada. El garante de esos datos es quien los posee, hospitales, clínicas y sistemas de salud, y los usuarios finales dependemos de lo que hagan ellos con nuestra información.

Protección de datos en sectores críticos →

La IA juega en los dos bandos: dispara la sofisticación de los ataques, pero también nos permite defendernos mejor. Lo enseño con un caso real, el vídeo falso en el que Marta Ortega ofrecía una supuesta oportunidad de inversión milagrosa, y explico que hoy basta con pasar el enlace por un detector para ver que casi con seguridad es falso. En defensa, un ordenador recibe miles de ataques al día y sin IA sería imposible revisarlos uno a uno; con ella sacamos patrones y separamos lo real del falso positivo.

IA y ciberseguridad para directivos →

En el especial de verano de The Wild Project entro en directo con Jordi Wild en la deep web y la dark web. Antes explico la diferencia entre surface, deep y dark web, cómo Tor encadena tres nodos cifrados, como quien enlaza tres autobuses y el último conductor no sabe de dónde vienes, y por qué conviene arrancar desde un USB con Tails, que trabaja en memoria y cifra lo que guardas. Enseño que en Tor también hay sitios perfectamente legales, como la BBC o ProPublica, que sirven a quien vive bajo censura, y critico los bloqueos masivos de IPs de Cloudflare que LaLiga impone en España durante los partidos.

Hacking y divulgación →

Formé parte de una comisión de veinte expertos que revisó y reforzó la Estrategia de Ciberseguridad de la ciudad de Málaga, junto a gente del Centro de Ciberseguridad de Madrid, la Agencia Estatal de Administración Digital y el Banco de España. Lo que más me gustó es que Málaga no se queda en lo técnico, también trabaja lo social y la concienciación. Ojalá más ciudades tomen este tipo de iniciativas y no se limiten a seguir las nacionales y autonómicas.

Estrategia de ciberseguridad →

A los 25 años del virus 'I love you', que en mayo de 2000 se propagó por correo electrónico a millones de ordenadores, recuerdo en laSexta que entonces la seguridad informática estaba en sus albores y en muchos países ni siquiera estaba regulada por leyes. Hoy el panorama es otro: el cibercrimen mueve ahora mismo más dinero que el tráfico de drogas y el de armas juntos.

Riesgo de ciberseguridad →

Tras el gran apagón del lunes, en Cruce de Cables explico que técnicamente todo lo que está conectado es susceptible de ser hackeado y recuerdo el ataque que tiró el sistema eléctrico de Ucrania en 2022 y el de 2010 contra centrales nucleares de Irán, con cuidado con las atribuciones. Un chaval en su casa podría hacerlo con los conocimientos, pero detrás suelen estar Estados que buscan desestabilizar un país, y lo preocupante sería un ataque quirúrgico que provocase un fallo en cadena; los primeros indicios llegarían en 24 horas si hay registros. Aviso de que las pymes que trabajan con las grandes pueden servir de pasarela, de que la entrada de NIS2 obligará a muchos más sectores y de que un ataque real habría durado más, incluso como distracción mientras se persigue otro objetivo.

Infraestructuras críticas y riesgo →

Sobre el gran apagón del 28 de abril mantuve la cautela: apuesto más por un fallo técnico que por un ciberataque, entre otras cosas porque las redes industriales no tienen acceso directo a internet. Descarto que grupos como Dark Storm o NoName, que se lo atribuyeron en redes, tuvieran esa capacidad, porque lo suyo son las denegaciones de servicio, no tumbar una red eléctrica. Y añado una idea: si un Gobierno quisiera desestabilizar a un país con un apagón, no lo haría un lunes, sino un fin de semana, cuando los técnicos descansan.

Supervisión del ciberriesgo →

Cuando media península se quedó a oscuras, muchos corrieron a hablar de ciberataque. En esta pieza pongo el freno: si de verdad hubiera sido un ataque, sabríamos de dónde vino, con las consecuencias diplomáticas que eso arrastra. Repaso los precedentes reales, como los apagones provocados en Ucrania con malware del tipo BlackEnergy o Industroyer, pero recuerdo que una avería técnica sigue siendo la explicación más habitual.

Supervisión del ciberriesgo desde el consejo →

En La Hora de La 1, el día después del apagón en España, explico que aún no había pasado tiempo suficiente para saber qué ocurrió y que había que seguir los canales técnicos. Cuento cómo se investiga una intrusión en un sistema industrial: los equipos de la empresa afectada, con ayuda de las Fuerzas y Cuerpos de Seguridad en los casos avanzados, contienen el ataque, limpian la red y la restablecen en colaboración público-privada. Advierto de que atribuir un ataque siempre es complejo y de que mucha gente se aprovecha del río revuelto, y recuerdo precedentes como el ataque de 2010 a instalaciones nucleares y el de 2016 a las eléctricas de Ucrania.

Infraestructuras críticas y ciberriesgo →

Explico para Newtral qué es el tabnabbing, esa técnica de phishing que cambia el contenido de una pestaña que has dejado abierta en segundo plano para suplantar una web y robarte las credenciales. Detrás hay un código JavaScript que reescribe la página cuando no la miras. En el móvil es más difícil que ocurra, por cómo gestionan la batería los navegadores, y la mejor defensa es tener el software actualizado y fijarse siempre en la web donde vas a meter tus datos.

Colaboro con la Oficina Europea de Inteligencia Artificial en la elaboración del primer código de buenas prácticas para la IA de propósito general, junto a un millar de expertos, empresas y Estados. Participo en línea desde Vigo en los grupos de riesgos y ciberseguridad, porque quiero que la tecnología que nazca sea segura y que nadie, tampoco los Gobiernos, pueda manipular sus resultados. No redacto el texto, pero aporto ideas y debate a la gente que está en los grupos de trabajo.

Regulación de la IA (AI Act) →

A raíz de la detención del hombre que contrató por la Dark Web a un sicario para desfigurar con ácido a una mujer en Pontevedra, explico en COPE Pontevedra la diferencia entre Deep Web y Dark Web. La Deep Web es todo lo que no aparece en buscadores, como páginas tras contraseña o bases de datos, y es la mayor parte de internet; a la Dark Web se entra fácilmente con Tor Browser. Pero advierto que allí la mitad son criminales y la otra mitad policías cazándolos, y que muchas veces el anuncio del sicario es un cebo policial esperando a que caiga el incauto.

Hacking y cibercrimen →

El grupo Hellcat, aparecido a finales de 2024, entró en el sistema interno de tickets de Telefónica usando credenciales de empleados comprometidas y se llevó unos 2,3 GB de datos. En este análisis aporto una lectura que conviene no perder de vista: un incidente así golpea sobre todo puertas adentro, a la operativa de la propia empresa, más que a sus clientes.

¿Se pueden recuperar los mensajes borrados de un móvil? En este artículo lo explico sin humo. Las operadoras guardan los metadatos de llamadas y SMS durante unos doce meses, pero no su contenido; lo demás es terreno del forense tecnológico, con herramientas como Cellebrite y las copias de seguridad en la nube. Y matizo algo clave: en un par de días se sabe qué se puede extraer de un teléfono, aunque muchas veces es cuestión de horas.

En la entrevista de O Economista, la revista del Colegio de Economistas de A Coruña, sostengo que empresas y usuarios acuden a los profesionales cuando es demasiado tarde y el daño ya está hecho, y aviso de que muchas empresas están bajo las obligaciones de la Directiva NIS2 sin saberlo, expuestas a ciberataques y a cuantiosas multas. Hablo del apagón informático de CrowdStrike como prueba de nuestra dependencia de la cadena de suministro y pregunto si Europa es soberana en tecnología. También cuento cómo la NASA nos envió una carta de agradecimiento a un amigo y a mí por encontrar un fallo en su web dentro de su programa público, y presento cursodeciberseguridad.com, la comunidad de formación que estoy creando para personal no técnico.

Ciberseguridad para directivos →

Tras la condena a Roja Directa a pagar 31,6 millones de euros a Mediapro por emitir partidos de LaLiga de la temporada 2014-2015, explico en ABC por qué la piratería del fútbol es tan rentable: es un negocio millonario a coste cero, porque mantener y alojar una web es insignificante cuando tienes millones de visitas el día de un clásico o una final. También señalo que Rusia es el destino preferido de los piratas, ya que no tiene acuerdos jurisdiccionales con España y cerrar allí una web es mucho más difícil.

Riesgo digital y geopolítica →

En este Encuentro Tecnológico de Quincemil suelto una cifra que suele descolocar: si el cibercrimen fuese un país, sería la octava potencia mundial por PIB, muy por encima del tráfico de drogas. Explico cómo el ransomware se ha convertido en un negocio de afiliados que recluta hasta a gente sin conocimientos técnicos, y por qué comprar herramientas caras sin personal que las maneje no sirve de nada. La idea que quiero que quede es sencilla: invertir en protección siempre sale más barato que recuperarse de un ataque.

Invertir antes del incidente →

Con Sandra Estok repaso cómo empecé con ocho o nueve años programando en BASIC, pasando por las BBS y FidoNet con módem y, a finales de los 90, por los chats donde conocí a gente apasionada por la seguridad. Para mí un hacker es quien busca un uso distinto al recomendado de las cosas, y es un título que te tienen que dar otros, no te lo puedes autoadjudicar; ya entonces avisábamos de fallos a empresas y organismos y publicábamos quién se había portado bien, lo que hoy llamamos bug bounty. Hablo también de mi labor como evaluador de proyectos europeos de innovación y en un grupo de expertos sobre IA en productos conectados, y aviso: la IA no te quitará el trabajo, te lo quitará una persona que sepa usarla.

Mi trayectoria como hacker →

Con Martín Vigo ayudé a montar DanaCON Solidario, un congreso online de ciberseguridad para recaudar donaciones para los afectados por la dana de Valencia. Reunimos a cuarenta y ocho ponentes de España y Latinoamérica en dos jornadas de doce horas, con las donaciones yendo directas a Cáritas, World Central Kitchen o el Banco de Alimentos. No era la primera: antes hicimos CoronaCON contra el covid, con la que recaudamos cuarenta mil euros. Somos un sector solidario.

Mi trayectoria →

En este debate con Marlon Molina repasamos el estado real de la ciberseguridad sin pelos en la lengua, más allá de lo puramente técnico. Hablamos de geopolítica, de soberanía digital y de por qué el cumplimiento normativo se ha vuelto una pieza crítica de la defensa. Un análisis pensado para quien tiene que tomar decisiones, no solo para quien está delante de la consola.

Soberanía digital y cumplimiento →

Comento el caso de un vigués investigado por una ciberestafa con unas trescientas víctimas en toda España, que abría cuentas online con datos ajenos para mover e invertir el dinero sin dejar rastro. Recuerdo que el cibercrimen mueve desde hace años más dinero que el tráfico de drogas, así que este tipo de estafas no las hace gente que se aburre. Mis recomendaciones de siempre: contraseñas adecuadas y un gestor, doble factor de autenticación y antivirus en todos los dispositivos, también en el móvil.

En el podcast Cuidado con las macros ocultas, grabado en la Universitat Jaume I de Castellón, repaso cómo empecé en la seguridad informática, cuando ni siquiera existía esa figura profesional, y digo que se aprende mucho más de los fracasos, como la empresa que monté hacia el año 2000 y tuve que cerrar. Sostengo que la ciberseguridad es negocio en sí misma, que a las empresas suele desbloquearles la inversión un buen susto y que a las pymes no les sirve comprarle a un comercial desalmado una solución 360 con inteligencia artificial, sino tener un plan ajustado a sus necesidades; para ellas lancé cursodeciberseguridad.com. Me preocupa más la propaganda y la polarización que la seguridad de los sistemas, con el caso de Cambridge Analytica, y explico cómo funcionan los programas de bug bounty en los que he ayudado a Google, Facebook, Twitter o el Departamento de Defensa de Estados Unidos.

Trayectoria y bug bounty →

Analizo para ABC cómo el Mossad pudo sabotear los buscas de Hizbolá para hacerlos estallar a la vez. Tuvo que ser una operación rapidísima: o los llevaban premodificados de fábrica o lo hicieron a la carrera, con un código de seguimiento, porque un envío parado mucho tiempo habría levantado sospechas. Lo comparo con nuestros avisos de emergencia por tormenta, un primer mensaje para que todos sacaran el busca del bolsillo y un segundo para la detonación. Estaba muy bien planificado.

En el primer programa de Cruce de Cables, en RNE, cuento la carta de reconocimiento que nos envió la NASA por detectar un fallo de seguridad en su web dentro de su programa de bug bounty, y explico que en otros programas te pagan según la gravedad del fallo: en España hay gente que vive exclusivamente de esto y quien ya supera el millón de euros. Defiendo que es mejor pagar a alguien que colabora contigo que dejar que un malo te secuestre los datos o los venda en la dark web, y recomiendo el bug bounty a quien empieza como vía para demostrar experiencia. También aclaro que la palabra hacker nació en el club de trenes a escala del MIT y que los sistemas industriales, por buenas prácticas, deben estar separados del mundo IT.

Bug bounty y hacking ético →

Esta pieza cuenta el pique sano que le propuse a mi colega Roberto Fernández, Darkandroider: ver quién encontraba antes un fallo en los sistemas de la NASA. En pocos días los dos dimos con uno casi a la vez; el mío estaba en la web de un centro de investigación de la NASA y permitía llegar a robar credenciales de sus usuarios para acceder a otras webs y sistemas. Ambos recibimos la carta de reconocimiento que la NASA envía a quienes reportan vulnerabilidades de forma responsable a través de su política de divulgación (VDP).

Hacking y bug bounty →

Todo empezó con un pique sano con mi colega Roberto Fernández, al que conozco del mundo del bug bounty: a ver quién encontraba antes un fallo en la web de la NASA. A las dos semanas los dos lo habíamos logrado, una vulnerabilidad que permitía robar credenciales de empleados de la NASA y acceder a sistemas e información privada, así que empate técnico, y la agencia nos lo reconoció con una carta. En mi pared, en lugar de diplomas, cuelgan los reconocimientos de Google, Facebook, Twitter o el Departamento de Defensa de Estados Unidos, y la camiseta del gobierno holandés, y animo a los jóvenes a entrar en el bug bounty para ganar experiencia y currículum.

Hacking ético y bug bounty →

Un colega y yo nos retamos a ver quién encontraba antes un fallo en la web de la NASA, y acabamos empatados: los dos lo logramos casi a la vez y la agencia nos mandó a cada uno una carta de agradecimiento desde su cuartel general en Washington. El que yo encontré podía llegar a permitir el robo de credenciales de los usuarios, y no fue nada fácil, porque en la NASA tienen las cosas muy bien aseguradas. Esa es la gracia de los programas de recompensas: abres la puerta a mil ojos velando por la seguridad de tu organización.

Mi trayectoria y reconocimientos →

Sobre el mismo incidente de CrowdStrike explico por qué fue tan difícil de arreglar: muchos equipos había que repararlos a mano, y si tienes cinco lo haces, pero imagínate quien tenga dos mil o tres mil. Además se saltaron una norma básica del sector, la de no subir nada a producción un viernes. Es otro recordatorio de que en Europa dependemos demasiado de fuera y de que deberíamos desarrollar cierta soberanía digital, con nuestros propios servicios.

El apagón informático mundial de julio de 2024 no fue de Microsoft, fue un error de CrowdStrike al actualizar su producto, y nos tumbó a casi todos los clientes, hasta la nube de Microsoft. Lo aprovecho para insistir en la dependencia tecnológica: vivimos supeditados a los antivirus y la nube de Estados Unidos, les dan a un botón y nos quedamos sin acceso aunque los datos estén en Europa. CrowdStrike es una empresa puntera, pero el fallo fue suyo, no de un cambio en Windows.

Soberanía digital y dependencia tecnológica →

Revisé la documentación técnica de la Cartera Digital con la que el Gobierno quería controlar el acceso de los menores a la pornografía, y desmonté que fuese anónima: en cuanto contactas con su servidor te identifican por la clave pública, y hay un campo de ID y la IP del dispositivo. Si el Gobierno quiere, podrá saber quién usa la aplicación. Además no sirve de mucho, porque solo afecta a las páginas españolas y hay formas de esquivarla; los controles parentales serían mejor solución.

Vinculo la oleada de ataques a Iberdrola, Telefónica, Santander o la DGT con la geopolítica: últimamente nos hemos llevado mal con algunos países, y Rusia e Israel están entre las mayores potencias de ciberseguridad. El caso Santander fue un ataque en la cadena de suministro, a través de un tercero. Insisto en que las organizaciones siguen viendo la ciberseguridad como un gasto cuando es una inversión, y en que detrás de esto no hay chavales con capucha, sino mafias que van a por dinero.

Ciberriesgo y geopolítica →

En este reportaje sobre el futuro de la ciberseguridad aporto la visión del hacking ético: los hackers somos los buenos, los ciberdelincuentes los malos. Auguro más cibercrimen por dinero y más estafas con IA y deepfakes, y cuento la demostración de RootedCon en la que mi voz sonaba como la de un CEO en tiempo real. Repito dos ideas que me obsesionan: desde 2017 el cibercrimen mueve más que el narcotráfico, y somos peligrosamente dependientes de tecnología extranjera, porque en un conflicto global con un botón nos quitan esos servicios.

El futuro del ciberriesgo →

Ante el repunte de ciberestafas en Galicia resumo la defensa en dos palabras: desconfiar y verificar, o dicho de otro modo, lo que no harías en la calle no lo hagas en internet. Aviso de que los malos también usan ya la IA para clonar voces e imágenes en vídeos falsos y publicidad fraudulenta, y de que nosotros trabajamos en aplicaciones que detecten esas falsificaciones, aunque ellos tienen todo el tiempo y el dinero del mundo. Contraseñas seguras, distintas para cada sitio, y doble factor de autenticación.

Google.org nos seleccionó a tres vigueses de OdiseIA para su fondo Digital Futures Project, y a mí me tocó liderar un grupo que explora cómo la IA afecta a la ciberseguridad de las empresas. El objetivo es crear una guía de buenas prácticas fácil de entender que ayude a protegerse mejor frente a los ataques. Lo hago por vocación, no por dinero, porque los malos van a tener ahora muchas más herramientas a su disposición.

Mi trayectoria →

En el III Foro Económico Español 'La Galicia que viene', conversando con Pablo Grandío, director de Quincemil, aconsejé a las empresas apostar por especialistas en ciberseguridad: siempre fue un problema, pero nunca había importado, y el riesgo ha crecido porque ahora todo está digitalizado. Expliqué que detrás de las ciberestafas hay mafias que estudian a sus víctimas antes de atacar, en la administración pública incluso a través de los pliegos, y que llegan a captar a trabajadores descontentos como cómplices. Di consejos concretos, como no registrarse en ningún sitio con la cuenta corporativa ni repetir contraseñas, y avisé del uso de deepfakes en reuniones de Teams para suplantar al jefe, incluida su voz.

Ciberseguridad para directivos →

En Café & Pizza repaso mi trayectoria: nací en París, llegué a España con 8 años y empecé programando aventuras conversacionales en BASIC, pasé por las BBS e Infovía, instalé mi primer Linux Slackware en 1995 y di mi primera charla en 2002. Cuento mi etapa en Madrid en una consultora 100% Linux, la crisis de 2008 que me llevó a hacerme profesor de autoescuela en Oporto y cómo acabé en gestión como responsable de seguridad, además de evaluar proyectos para la Comisión Europea y participar en un subgrupo de expertos en IA y ciberseguridad. Defiendo el bug bounty como la milla extra tras el pentest anual, aviso de que un CTF es más difícil que el mundo real y pido a Europa que deje de comprar firewalls a Estados Unidos e Israel para ganar soberanía tecnológica.

Mi trayectoria →

En la RootedCON 2024, Daniel Fernández, de Telefónica Tech, y yo demostramos en directo lo fácil que es clonar la voz de un directivo con IA. Conseguimos sin esfuerzo el teléfono de Juan Antonio Calles, CEO de Zerolynx, recopilamos su voz, que abunda porque los CEO van a muchos pódcast y charlas, y la usamos para intentar engañar a su propia empresa; aunque estaban avisados, alguno cayó. Al final, asistentes del público grabaron su voz y la oyeron reproducida al instante con la de Calles, con herramientas de libre acceso como Whisper.

Fraude con IA y deepfakes para directivos →

En esta entrevista cuento cómo empecé con catorce años cacharreando con Infovía y un chat llamado Axis, cuando era trivial colarse en el PC de cualquiera conectado por módem. Reivindico que un hacker no es un delincuente y que buena parte de la tecnología que usamos, internet incluida, existe gracias a los hackers, y eso no va a cambiar. Recuerdo también un dato que repito mucho: seis de cada diez pymes que sufren un ciberataque acaban cerrando la persiana.

Cómo entiendo la ciberseguridad →

Telegram se ha convertido en un bazar donde conviven drogas, fútbol pirata, pornografía y hasta la coordinación de ataques contra empresas y medios. En este reportaje lo resumo sin rodeos: no es exagerado decir que Telegram es la nueva deep web. Y aviso de dónde está el peligro real para el usuario de a pie, en los archivos que se descargan cargados de malware.

Con Daniel Fernández demostramos en RootedCon lo fácil que es clonar la voz de un directivo con IA para la estafa del CEO. Di la charla mientras una máquina cambiaba mi voz en tiempo real por la de un CEO reconocido, con un portátil gamer de unos mil cuatrocientos euros y software libre. Aviso de que la IA generativa multiplica el fraude, desde phishing en perfecto español hasta el timo de veinticuatro millones que sufrió una empresa británica, y de que, aunque regular está bien, los malos van a ir por delante.

Deepfakes y fraude del CEO →

Aquí defiendo que tener una buena postura de ciberseguridad no es un lujo, es lo que permite a una empresa crecer y seguir dando batalla en el mercado. Recuerdo un dato que debería quitar el sueño a cualquier directivo: seis de cada diez pymes que sufren un ciberataque acaban cerrando. Y aviso contra los que venden soluciones mágicas, porque la seguridad de verdad va de acompañar a la compañía, no de colocarle un producto genérico.

La ciberseguridad como ventaja competitiva →

En esta pieza de Informativos Telecinco sobre el embarque con reconocimiento facial que Vueling implanta en aeropuertos como Barcelona o Madrid, explico cómo funciona la biometría: los algoritmos buscan los rasgos que distinguen tu cara, de modo que tu cara pasa a ser como tu DNI, porque no hay otra igual. Y recuerdo que en España tenemos la suerte de contar con la Agencia Española de Protección de Datos, que vela por que no se haga un mal uso de los datos personales.

Privacidad y datos biométricos →

Comento el ciberataque al Concello de Cangas, que empezó con un correo falso a un funcionario y acabó siendo un ransomware, el LockBit 3.0, que dejó fuera de juego a media plantilla municipal y bloqueó las nóminas. Sospecho que detrás está la misma banda que poco antes robó datos a la operadora gallega R, y apunto a que puede haber más municipios pontevedreses afectados. LockBit es de los grupos más prolíficos del mundo.

En La Tarde de COPE comento el caso de Antonio Galindo, un pequeño empresario al que un hacker que entró en el correo cambió el número de cuenta de su proveedor en un hilo legítimo, y así perdió más de 100.000 euros en dos transferencias. Aviso de que cometemos errores absurdos como usuarios, por ejemplo usar la misma contraseña para todo, y de que este fraude es habitual, de todos los días. Mi consejo: activar el segundo factor de autenticación y verificar siempre por teléfono que el número de cuenta es correcto.

Fraude y riesgo en la empresa →

En esta entrevista con CSO, en el marco del Cybersecurity Forum de Foundry e IDC, repaso mis más de 20 años en ciberseguridad, desde que esto era cosa de cuatro frikis, y defiendo el término hacker frente a su uso como sinónimo de ciberdelincuente. Sostengo que la propaganda modifica el comportamiento de la ciudadanía y que es muy importante estar más cerca de la verdad que de un tuit. Pido más colaboración con Incibe y el CCN-CERT, tecnología propia europea y más recursos para las Fuerzas y Cuerpos de Seguridad, critico que Europa regula demasiado (Estados Unidos desarrolla, China implementa y nosotros regulamos) y explico mi trabajo como experto independiente de la Comisión Europea en el Consejo de Innovación y en el subgrupo de IA de productos conectados.

Riesgo geopolítico y ciberseguridad →

Que nos espíen los nuestros no es consuelo: muchas plataformas tienen algún tipo de puerta trasera para agencias del gobierno de Estados Unidos, y los europeos estamos en manos de terceros. Con TikTok el problema es China, donde se presupone que el gobierno accede a la información cuando quiere, y guardar los datos en la UE no lo arregla, porque China puede meter a un agente en cualquier sitio. Advierto además de nuestra dependencia de nubes que no son europeas: si en un conflicto global Estados Unidos las apaga, nuestros datos quedan en nada. Y un consejo: el móvil no es un juguete, todo lo que es gratis te convierte en el producto.

Soberanía digital y riesgo geopolítico →

En La Tarde de COPE analizo el ciberataque al Hospital Clínic de Barcelona: estos grupos cifran los datos, antes se los llevan a su nube y, si no se paga, publican una parte para hacer daño reputacional. Pagar es darles fuelle, porque no son chavales en su casa, son mafias que ganan más que con el tráfico de droga. Se apunta a RansomHouse, aunque las atribuciones son difíciles, y recuerdo que hace dos meses el grupo Killmilk amenazó a los hospitales europeos por el apoyo de la OTAN a Ucrania. Me resulta extraño, porque atacar hospitales suele ir contra su propio código ético.

Ransomware y riesgo geopolítico →

Participé como invitado en los encuentros de cultura digital Decembro Maker Talks, en el campus de Ourense, dentro del proyecto Emprende Makers de la Diputación. El programa reunió ciberseguridad, internet de las cosas, robótica, impresión 3D y videojuegos, con ponentes del sector y la entrega de los premios Talento Maker.

Con Jordi Wild repaso mis comienzos: programaba aventuras conversacionales en BASIC, me conecté a las BBS y a FidoNet con módem y, con Infovía, llegué al IRC, donde con 15 o 16 años entré como el más joven en Hispahack. Cuento cómo desde el grupo se cambió la portada de congreso.es tras el «manda huevos» de Trillo y cómo todo acabó en el caso Hispahack, con el que se empezaron a valorar los logs como prueba judicial y en el que nadie salió condenado. Y explico con ejemplos sencillos fallos como la inyección SQL o la subida de un PHP disfrazado de currículum, que siguen existiendo porque con las prisas la seguridad se deja para luego, y luego nunca llega.

Mi trayectoria como hacker →

En Mediodía COPE, tras el hackeo al Consejo General del Poder Judicial y el Punto Neutro Judicial, explico que el dato de 40.000 ataques diarios en España no significa que todos tengan éxito ni que seamos más débiles, sino que los vemos y los detectamos más. Recuerdo que evitar estos ataques es complejo y exige personas que manejen la tecnología y vigilen. Y explico por qué el 70 % de las víctimas son pymes: por presupuesto dejan la seguridad en último término y les falta concienciación, cuando en ello les va existir o no existir el día de mañana.

Riesgo de ciberseguridad en la empresa →

En A Revista de la TVG empiezo con una precisión: quienes atacan empresas no son hackers sino ciberdelincuentes, mafias que también trafican con armas o drogas, y el cibercrimen ya da más dinero que el tráfico de drogas. Cito la intrusión en el Consejo General del Poder Judicial y la de un sistema clínico de Cataluña, explico el fraude del falso jefe que pide una transferencia urgente y secreta, y cuento cómo a un empleado de Tesla le ofrecieron un millón de dólares por enchufar un USB en su red. Para protegerse, primero hay que mirar hacia dentro y tener un responsable de ciberseguridad, figura de la que en Galicia no creo que lleguemos a 10 o 15, y si no hay madurez para tenerlo dentro, apoyarse en las pymes gallegas de ciberseguridad.

Ciberseguridad para empresas →

Recibí el premio Pericia Tecnológica al comunicador del año en Ciberseguridad, que me entregó la asociación PETEC en la Escuela de Policía Nacional de Ávila. Es un reconocimiento a veinte años divulgando, formando y organizando eventos como la ViCON. Justo se cumplían dos décadas de mi primera charla sobre Linux y seguridad, así que fue un camino que sirvió para algo.

Mi trayectoria y reconocimientos →

En Tech Tok comento el hallazgo de que los navegadores integrados en apps como Instagram, Facebook o TikTok pueden registrar lo que hacemos: Meta no es una hermanita de la caridad, vive de nuestros datos y de nuestro comportamiento, y lo aceptamos al firmar sus cláusulas. Explico que, aunque WhatsApp cifre las conversaciones de extremo a extremo, a ellos les interesan los metadatos: saben que tú y yo hablamos, cuándo y a qué horas, y esa información es mucho más poderosa. Mi recomendación: copiar el enlace y abrirlo en el navegador que usamos siempre.

Privacidad y datos personales →

Participé en la clausura de la primera edición del curso de especialista en ciberseguridad industrial de la Universidade de Vigo, una formación única en Galicia que agotó sus plazas con profesionales en activo de la industria. Siemens definió como potente el futuro laboral de esa primera promoción.

Sobre cómo evolucionarán las amenazas creo que habrá una especialización por sectores para abarcar más clientes: el malware del futuro irá a por industrias, gobiernos y partidos, para sacar más rédito al esfuerzo. Apuesto también por un aumento de los ataques a la cadena de suministro, movidos por intereses económicos según lo que pida el mercado.

En Galicia por diante, de la Radio Galega, explico qué es Pegasus: un software de espionaje de una empresa israelí, NSO Group, que se vende a Estados y cuerpos policiales y que en sus versiones más novedosas entra en el móvil sin ninguna interacción del usuario, por ejemplo con que te llegue un vídeo por WhatsApp, y da acceso a micrófono, cámara, documentos y geolocalización. Funciona con exploits que solo ellos conocen, por eso mi consejo es tener siempre actualizado el sistema y las aplicaciones, y quien sospeche puede comprobarlo con el kit de Amnistía Internacional, que investigó el caso junto a Citizen Lab. Doy cifras como los 500.000 euros del alta en el servicio y otros 650.000 por diez intentos, recuerdo a Hacking Team, cuya lista de clientes publicada por WikiLeaks incluía al CNI, y repito que llevamos años en una especie de ciberguerra fría.

Riesgo geopolítico y ciberespionaje →

En 'La Tarde' de COPE explico la otra cara de los códigos QR que se generalizaron con la pandemia: no son tan seguros, porque cualquiera puede generar uno en una web con la URL que quiera y pegarlo con una pegatina encima del original. Si eso pasa en la puerta de un banco, quien lo escanee puede acabar en una web falsa parecida a la oficial y entregar sus datos, aunque la autenticación de los bancos frena muchos ataques. Caemos como moscas, pero casi siempre basta con sentido común y con una aplicación decente que te diga a qué web te va a llevar.

Hacking y ciberestafas →

En plena psicosis por los ciberataques rusos tras la invasión de Ucrania pido calma frente al alarmismo: muchas de esas medidas se aconsejan desde hace años. Aviso de que no todas las mafias están en Rusia, también las hay en España, y de que van desde el estafador de poca monta hasta la supermafia organizada. Lo resumo con una imagen: los ladrones no van a la casa con más alarmas, sino a la más desprotegida, y las mafias buscan pasta, así que atacan al sistema informático menos protegido.

Explico que desde hace tiempo vivimos una ciberguerra fría con Rusia y China a la cabeza, y que los ataques a medios de comunicación han crecido, porque si controlas la información tienes media guerra ganada. Aviso de que eléctricas y bancos sufrirán más ataques por ser servicios esenciales, y de que muchas bandas están apoyadas por gobiernos. Frente a eso, sentido común: antivirus, doble factor, VirusTotal y mantenerlo todo actualizado, porque el cien por cien de seguridad no existe, pero se pueden poner trabas.

Sobre la ciberguerra en Ucrania resto dramatismo: ciberataques siempre ha habido, no veo un repunte especial hacia la ciudadanía. En Galicia, con la Amtega, los funcionarios están bastante seguros y se hace mucho, como el nodo gallego de ciberseguridad, aunque faltan recursos. Aviso de que la OTAN debería tener cuidado, porque atribuir un ataque a un país es difícil, con mucha falsa bandera y oscuros intereses de por medio.

Comento la dimensión ciber de la invasión rusa de Ucrania, la primera guerra híbrida entre países. Confirmo que los rusos estaban lanzando denegaciones de servicio contra entidades ucranianas y que eso salpicaba también a su banca. Antes incluso de que llegaran los tanques ya se habían activado troyanos latentes en servidores ucranianos.

Explico cómo escapar del phishing y el smishing que suplantan a tu banco: detrás no hay dos fulanos aburridos en su casa, sino mafias bien organizadas que juegan al gato y al ratón. Mi regla es sencilla, si no esperas ningún envío, ese correo no es para ti; y ante cualquier aviso, ve siempre a la web oficial en vez de pinchar el enlace, fijándote en que el dominio no tiene nada que ver con la empresa real. Contraseñas distintas, software actualizado y, ante la duda, el 017 del Incibe.

En esta entrevista tras el Ciber.gal defiendo que un hacker siempre es bueno: es una mente curiosa que quiere entender cómo funcionan las cosas, y quien usa ese conocimiento para hacer daño es un ciberdelincuente, no un hacker. Aviso de que las empresas no están preparadas y de que siguen tratando la ciberseguridad como un gasto cuando es una inversión, porque esto no va solo de comprar tecnología cara, va de procesos y de personas. En Galicia no llegamos a una docena de personas dedicadas a esto.

Cómo entiendo la ciberseguridad →

En Bos Días de la TVG hablo de Ciber.gal, el encuentro de ciberseguridad del 10 y 11 de noviembre en la Cidade da Cultura de Santiago, pensado para empresas, administración pública y ciudadanía. Defiendo que la concienciación que ya se da en las empresas tiene que convertirse en ciberhigiene del día a día: no repetir contraseñas, porque cuando se filtran las de un servicio los malos las prueban contra todo, apoyarse en herramientas que generan contraseñas largas y activar el segundo factor de autenticación. Y, sobre todo, sentido común: muchas estafas son las de siempre, como la estampita, traídas al mundo digital con criptomonedas que prometen hacerte millonario; ante la duda, pregunta a tu informático de referencia.

Divulgación en ciberseguridad →

Sobre el malware del futuro insisto en la especialización por sectores para abarcar más clientes, con ataques dirigidos a industrias, gobiernos y partidos para sacar más rédito al esfuerzo. Preveo también más ataques a la cadena de suministro, orientados a favorecer intereses económicos según lo que pida el mercado.

En esta entrevista parto de una asimetría incómoda: los atacantes van por delante porque tienen dinero, gente muy preparada y se dedican solo a esto, mientras que quien defiende tiene que proteger todos los frentes a la vez y basta con que falle uno. Pongo ejemplos como el de Colonial, que ni siquiera tenía un responsable de ciberseguridad, y comparo el marco europeo, con la directiva NIS marcando mínimos obligatorios, frente a un modelo estadounidense que deja las infraestructuras críticas en manos privadas. Y reclamo más inversión en las fuerzas del Estado para pasar de reaccionar a anticiparse.

Ciberriesgo, NIS2 y cumplimiento en el consejo →

En Galicia por diante fin de semana, de la Radio Galega, a raíz del ciberataque de DarkSide al gran oleoducto de la costa este de Estados Unidos, por el que se pagó un rescate de casi cinco millones de dólares, explico que quienes están detrás no son hackers sino mafias que vienen de la trata o el narcotráfico, y cómo el secuestro de datos ha evolucionado: primero cifrar, después amenazar con publicar y ahora extorsionar a clientes y proveedores. Cuento que los ataques dirigidos tienen su propio departamento de investigación de mercado, van a por las empresas que más facturan, perfilan a sus empleados y, si no pueden entrar, saltan desde los proveedores, y recomiendo una clave exclusiva para el trabajo y el segundo factor de autenticación. Sostengo que llevamos unos cuantos años en una especie de ciberguerra fría en la que Rusia, China, Estados Unidos y Corea del Norte se atacan constantemente, y que a España la atacan para desestabilizar con fake news y ataques a ministerios.

Riesgo geopolítico y ransomware →

Lamento que las empresas no estén preparadas para un ciberataque, como se vio en el SEPE o en Castellón, y que se siga viendo como un problema solo técnico cuando perder los datos acaba en la cuenta de resultados. Describo el cibercrimen como una pata más del crimen organizado, que ya factura más que el narcotráfico y hasta tiene call centers para gestionar rescates. Y aviso de que el mundo virtual es más peligroso que el real precisamente porque bajamos la guardia; el hackeo del móvil de Jeff Bezos acabó en el divorcio más caro de la historia.

La ciberseguridad como inversión →

En esta entrevista me defino como alguien que lleva veinte años en la tecnología de forma totalmente vocacional. Cuento mis inicios en las BBS, la demoscene e Infovía, y mi colaboración con la Comisión Europea evaluando proyectos y en un grupo sobre los riesgos de los productos de consumo con IA. Del día a día de un CISO destaco el trato humano, acompañar a la gente hacia prácticas más seguras, y suelto una idea que sostengo: la identidad es el nuevo perímetro.

Quién soy →

El progreso es como un tsunami: puedes quedarte en la arena y dejar que te arrastre, o coger una tabla e intentar surfearlo. Con esa metáfora abro esta entrevista, en la que insisto en que un hacker no es un ciberdelincuente, porque la ética está en la persona y no en la tecnología. Critico además que las empresas busquen un informático para todo cuando lo que necesitan es un especialista, igual que con un brazo roto vas al traumatólogo y no al médico de cabecera.

Cómo entiendo la ciberseguridad →

En diciembre, la Generalitat de Cataluña se convirtió en la primera administración pública española en abrir un bug bounty, y fui uno de los quince investigadores invitados a buscarle las cosquillas a sus sistemas. Cuento cómo fue por dentro, con cinco fallos validados por el Catalonia-CERT, y reclamo lo que toca: que estas iniciativas se retribuyan como es debido y no se queden en una camiseta y un diploma.

Mi trayectoria y reconocimientos →

La Generalitat de Cataluña me pidió ayuda para montar el primer bug bounty de una administración pública en España: reclutar a un equipo de quince cazarrecompensas y dejar que buscaran fallos en su red. Encontramos cinco vulnerabilidades, que sus técnicos repararon bajo la supervisión del Catalonia-CERT. Les ayudé a encontrar a la gente y a definir cómo reportar los fallos a la agencia; un proyecto pionero en el país.

Mi trayectoria y reconocimientos →

Reportar fallos a las grandes tecnológicas empezó para mí como un hobby en las navidades de 2019, para no oxidarme en la parte técnica. En esta entrevista explico cómo funciona el bug bounty, desde el reconocimiento de dominios hasta dar con un servidor mal configurado que dejaba a la vista el código fuente de una empresa conocida. Y aclaro que, aunque hay quien saca más de cien mil euros al año, prefiero mantenerlo como algo paralelo para no acabar aborreciéndolo.

Mi trayectoria y reconocimientos →

Fui mentor de la National Cyber League de la Guardia Civil, un concurso en el que unos dos mil equipos de jóvenes defienden en un entorno simulado a una empresa atacada. Mi labor era acompañar a los equipos clasificados para la final. Hay mucho talento en Galicia: en la primera edición los concursantes gallegos se llevaron becas, prácticas y premios, no se fue ningún finalista sin algo.

Mi trayectoria →

En plena crisis del COVID-19, Daniel Puente y yo impulsamos la iniciativa solidaria Responsables de Ciberseguridad contra el COVID-19, a la que se sumaron casi 200 profesionales para asesorar gratis a las empresas, sobre todo a las que no tienen un departamento especializado, a través de un grupo de LinkedIn. En Radio Nacional contamos qué dudas nos llegan, desde bulos sobre programas de videoconferencia hasta campañas de phishing que se aprovechan de la pandemia, como falsos cheques de 500 euros de la Cruz Roja. Y damos las claves para teletrabajar con seguridad: VPN, cuidado al abrir sistemas a internet, concienciar al usuario y, sobre todo, sentido común antes de pulsar un enlace.

Ciberseguridad para pymes →

Sobre el fraude del CEO, ese correo falso que pide cambiar la cuenta donde se ingresan los pagos, la solución que doy es el sentido común: cuando algo tenga que ver con dinero, venga de quien venga, confírmalo por otra vía. Si te piden cambiar una cuenta, coge el teléfono que ya conoces de esa persona y pregúntale si fue ella. Por entonces habíamos formado el grupo de cazarrecompensas SpInquisitors y preparábamos un taller de bug bounty para RootedCON.

En este reportaje sobre los responsables de vigilar el ciberespacio defiendo que al ciudadano europeo hay que darle herramientas. La Directiva NIS ha empujado a los países a crear sus estrategias, pero queda mucho por aplicar de cara a la ciudadanía. Echo en falta un mecanismo para que cualquier europeo pueda avisar de fallos en la Administración, en la línea de la directiva de alertadores, y reclamo un CSIRT ciudadano y de acceso público.

Cumplimiento y directiva NIS →

Sobre a qué edad dar un móvil a un niño, soy partidario de que conozcan pronto la tecnología, porque no podemos negarla y deben estar al día; el móvil es una herramienta que se conecta a sitios, no la reencarnación del mal. Eso sí, no le des a un niño tu propio móvil con tus datos personales y del trabajo, porque a un niño es muy fácil engañarlo para que pinche donde no debe. No soy de prohibir, sino de informarse y darles herramientas, apoyándose por ejemplo en las guías para padres del Incibe.

Ser hacker, más que un oficio, es una forma de ser: curiosidad por saber cómo y por qué funcionan las cosas y hacer que hagan lo que no estaba previsto. La realidad se aleja mucho del estereotipo de Hollywood. Aviso de que hay muchos más incidentes y pagos de rescate de los que salen a la luz, reivindico el papel de las mujeres en el hacking y, sobre Snowden y Assange, aclaro que ellos son hacktivistas.

Quién soy →

Comento por qué cuesta tanto investigar las estafas por internet en Vigo: muchos delincuentes actúan desde países de la periferia poco colaboradores, y eso frena las investigaciones. Y aviso de que los malos van a ir al mundo de los videojuegos, una de las industrias que más factura, haciéndose pasar por otros o usando cuentas de PayPal de forma maliciosa.

ElevenPaths, la unidad de ciberseguridad de Telefónica, nos eligió a nueve expertos como embajadores para difundir la seguridad en internet. Aviso de una tendencia que ya es real: hoy es más fácil que te hagan daño en las redes que en la calle. En el móvil llevamos datos que no nos gustaría que salieran, así que cuidado con las apps y las wifis públicas, porque no sabes quién está al otro lado.

Mi trayectoria →

La Universidade de Vigo nos fichó a varios hackers para impartir cursos y el nuevo Máster interuniversitario en Ciberseguridad y para debatir cómo blindar las fábricas de la industria 4.0. Con Belén Pérez, con quien organizo el Hack & Beers de Vigo, di un curso sobre ciberseguridad en las fábricas inteligentes.

El Gobierno de Holanda me agradeció el aviso de una vulnerabilidad con una carta y, en tono de humor, una camiseta negra que decía «hackeé al Gobierno holandés y todo lo que conseguí fue esta pésima camiseta». No es el único reconocimiento: figuro en el HackerOne del Departamento de Defensa de Estados Unidos, en el Hall of Honors de Philips y en el Hall of Fame del CERT de la UE. Para mí el bug bounty es un hobby, una forma de no oxidarme técnicamente.

Mi trayectoria y reconocimientos →

En un reportaje sobre cómo las bandas usan apps de cifrado explico los entresijos: delegar tu privacidad en un tercero, sea Telegram, Signal o WhatsApp, implica confiar en que trate tus comunicaciones de forma segura. Recuerdo que con criptografía de clave pública, entre otras técnicas, cualquiera puede montarse su propio sistema de comunicación prácticamente inviolable. Como hacker, mantengo el escepticismo y no descarto puntos débiles que permitan filtraciones.

Con Belén Pérez organizamos una edición del Hack & Beers de Vigo dedicada a dar visibilidad a las mujeres, con cinco expertas gallegas dando las ponencias. Buscamos que se vea el talento que tenemos para exportar, en un ambiente distendido donde la gente aprenda y se relacione. Con la nueva normativa europea de protección de datos avisé de que las grandes empresas se enfrentan a multas que pueden afectar a su facturación, y que algunas, como Facebook, tendrán que ponerse las pilas.

Firmé el dictamen que alertó a la UE de fallos de ciberseguridad en ciento ochenta y nueve gasolineras españolas con dispositivos conectados: en casi todas, un intruso podría ejecutar cientos de comandos desde internet e incluso cambiar los precios de los surtidores. Los profesionales conocemos el problema desde 2015, tiene un coste ridículo de solucionar y el impacto de un ataque podría ser grave, pero casi nadie se ha preocupado. Hace falta concienciación.

Ciberseguridad industrial y OT →

Recuerdo mi encuentro con Kevin Mitnick, del que todavía conservo la foto: es una leyenda. Reivindico a la gente de los grupos con los que crecí, como Hispahack, Els Apòstols o La Vieja Guardia, y a los pioneros europeos del Chaos Computer Club, que siguen organizando algunos de los mejores eventos del continente. Quince años después de aquella foto, sigo montando cada trimestre el Hack & Beers en Vigo.

Quién soy →

Ante los alumnos de un máster de Teleco en Vigo defendí que el hacker no es un delincuente y recomendé dedicarse a la seguridad del Internet de las Cosas, porque ahora prima sacar el producto y la seguridad espera, y esta tecnología lo va a cambiar todo. Avisé de que ya hay televisores que espían con micrófono y cámara, y hasta juguetes con fallos que permitían hablarle a un niño a través de ellos. Estoy activo y preparado para colaborar: quiero devolver a la comunidad lo que ella me dio.

El segundo Hack & Beers de Galicia reunió en Vigo a una treintena de expertos en seguridad, con ponencias como la de Dave Ryan sobre pentesting. Creo que el público se llevó trucos interesantes al descubrir que hay herramientas en internet para mantener un nivel de seguridad aceptable sin pagar los precios de las grandes consultoras, automatizando las pruebas de intrusión para ahorrar.

Participé como ponente en el Librecon de Santiago, el mayor encuentro internacional de tecnologías libres, con trescientos cincuenta expertos y doscientas empresas, hablando de los retos de la industria 4.0 junto a nombres como Yaiza Rubio o Pilar Vila.

Una edición del Hack & Beers en Vigo reunió a entre treinta y cuarenta hackers éticos y expertos gallegos, con una conclusión clara: hace falta una campaña de sensibilización para que el ciudadano tome más medidas. Entre el público había empresarios, profesores, estudiantes e investigadores. Insisto en una idea práctica: si contratas a una empresa externa para el pentesting te cobran una fortuna, pero con las herramientas disponibles puedes hacértelo tú y ahorrar.

La UE me incorporó a la lista de expertos de la agencia Enisa para ayudar a idear estrategias legales, evaluar riesgos y frenar ciberataques como el WannaCry. Cuento cómo de adolescente descubría agujeros en webs de empresas y les avisaba, y cómo recorría Vigo en coche con un portátil comprobando lo vulnerables que eran las redes wifi. Buena parte del trabajo sería en remoto, evaluando y colaborando según el grupo que te toque.

Mi trayectoria y reconocimientos →

Preveo que seguirán las amenazas clásicas, ransomware y phishing, pero especializándose con IA y explotación del Big Data, y usadas también por grupos subvencionados por Estados para la ciberguerra. Aviso del software antiguo que sigue funcionando en sistemas críticos: se descubrirán fallos viejos que servirán para ataques masivos. Y de la industria 4.0, donde vamos camino de que infecten lo que producimos para propagar el malware a los clientes, con los dispositivos conectados como objetivo para una red zombi mundial.

En esta entrevista cuento que a los diecisiete destapaba agujeros en webs bancarias para avisarlas, y que acababa de aprobar un curso online del MIT sobre ciberseguridad. Explico el hacking ético: intentos de intrusión con mentalidad de atacante pero con permiso y a un precio justo. Sobre si existe el hacker bueno, respondo que un hacker es un apasionado, y la pasión no es buena ni mala, es una cuestión ética; la época del hacker romántico que superaba barreras solo por reto ya es historia.

Cómo entiendo la ciberseguridad →

Recuerdo cuando un amigo y yo recorrimos Vigo en coche con un portátil para mapear la ciberseguridad de la ciudad y descubrimos cuántos hogares no habían puesto contraseña a su wifi. Aviso de que, aunque casi todos tienen algún antivirus, muy pocos renuevan sus contraseñas, tienen cortafuegos o usan un usuario con privilegios limitados. Con la industria 4.0, lo visto hasta ahora puede quedarse en un juego de niños si de repente una fábrica queda paralizada por un secuestro.

Vengo de un congreso de criptografía con mil setecientos expertos organizado por el Centro Nacional de Criptografía, donde se habló de amenazas avanzadas persistentes y ciberespionaje: 2017 promete ser movidito. Para comprar por internet recomiendo métodos como PayPal y entrar siempre directamente a la tienda oficial. Porque más allá del dinero que te estafen, el problema es a quién le das tu nombre, dirección y tarjeta: podrían suplantar tu identidad o secuestrarte el equipo. Revisa siempre el dominio y el candado del pago cifrado.

Aviso de que empresas de Vigo están sufriendo el ransomware, que cifra los discos de la oficina y exige un rescate en bitcoins para devolver los archivos. En el último año he notado una puesta de moda de este tipo de ataque, y aunque ninguna empresa quiere reconocer si pagó, sé de algunas que tuvieron incidentes. Los criminales usan bitcoin precisamente para complicarlo todo y despistar el rastro.

Un perfil temprano de mis inicios como emprendedor, cuando con un socio montamos Fernandes Soluciones, especializados en seguridad de sistemas y en ayudar a las empresas a protegerse del espionaje y los ataques y, a la vez, a venderse mejor. Nos definían como hackers éticos, esos apasionados de curiosidad sana que prueban todas las cerraduras para ver si están bien cerradas.

Un perfil personal de mis comienzos: cuentan que mi primer contacto con un ordenador fue por la época de la primera comunión y que, mientras otros iban a ver al Celta, yo miraba a la pantalla. Ya entonces asesorábamos a las empresas en seguridad, aunque la mayoría solo se preocupaba cuando les pasaba algo grave.

Analizo el incidente de la web de la presidencia española de la UE, donde apareció la cara de Mr. Bean en lugar de la de Zapatero. Aclaro que nadie atacó los servidores ni fue un montaje: fue un fallo de cross-site scripting, un agujero que permite mostrar contenido de otra web a través del buscador, sin entrar en el servidor. El riesgo real de estas cosas no es el servidor, es que se engañe al usuario para que introduzca datos creyendo que está en la página oficial, como en el phishing.

Explico cómo se crean los ordenadores zombi, controlados por delincuentes con virus que llegan por webs, correos o descargas: pueden entrar hasta desde un pendrive y quedas a su merced sin saberlo, con tus datos y tu conexión en manos del dueño de la red. Recuerdo que en 2007 una legión de zombis atacó los trece servidores raíz del DNS, el corazón de internet; si hubieran caído todos, habría sido un caos hasta repararlo.

En un reportaje sobre los riesgos de compartir archivos por P2P insisto en que la seguridad depende del usuario y de lo que comparta. Confieso que ni siquiera uso el eMule, aunque sea una tecnología revolucionaria, y le veo futuro para la comunicación entre personas, la voz IP y la videoconferencia. La precaución mínima: revisar bien lo que gestionas, porque hay quien esconde contenidos ilegales o un virus bajo un título inocente.

Sobre los riesgos de las redes P2P sostengo que su seguridad depende por completo del usuario y de lo que comparta. Le auguro un buen futuro a esta tecnología, no solo para películas sino también para libros, voz IP y videoconferencia, pero recuerdo que toda tecnología depende del uso que le des. La precaución mínima es revisar lo que descargas antes de abrirlo, porque hay quien oculta bajo un título de Disney una película porno o un virus.

En este reportaje sobre los cibervillanos del futuro cuento, ya reconvertido en asesor, que colarse en el wifi del vecino para robarle la conexión está a la orden del día. Si cruzas Vigo una noche cualquiera puedes encontrar más de trescientas redes de empresas y particulares, casi todas vulnerables. Y lo peor es que la víctima solo notará que su conexión va más lenta, sin sospechar que alguien controla su equipo.

En las reacciones a la absolución del hacker QuickBasic, que asaltó las webs de Hacienda y del PP, dejé claro que para nosotros no era un hacker: usaba un programa al alcance de cualquier aficionado. Tuvo suerte de que lo soltaran, aunque el susto de pisar la cárcel no se lo quita nadie. Creo que lo hacía por notoriedad, para que vieran lo bueno que era y conseguir trabajo y fama, no por el afán de aprender que mueve a un hacker de verdad.

Analizo la filtración de parte del código fuente de Windows NT y 2000. En ese código, descargado por miles de internautas, se puede ver la programación del escritorio o del núcleo de red, y creo que provocará nuevos fallos de seguridad, aunque subrayo que no fue culpa de Microsoft. Tras estudiarlo a fondo, todo apunta a que la filtración salió de una empresa estadounidense, no de un gobierno ni de una universidad.

Formé parte del comité de honor del Tecnoatlántico, el primer foro de informática y nuevas tecnologías de Vigo, que reunió a un millar de aficionados durante cuatro días en Cotogrande, con foros profesionales, talleres y gurús de internet como Albert Gabàs, del Chaos Computer Club.

Uno de mis primeros pasos, con veinte años, en el grupo vigués Unluck Net Research, que hacía auditorías de seguridad a grandes webs y ponía en evidencia fallos que otros no veían. Lo nuestro era un reto intelectual: cuando encontrábamos un fallo lo reportábamos a la compañía para que lo arreglara, y solo si no hacían caso alertábamos a las auditorías. Nunca tocábamos datos de clientes; hacíamos I+D, no destrozos gratuitos.

Quién soy →

Una de mis primeras apariciones, con diecinueve años y estudiando COU, cuando dirigí la filial viguesa del grupo Babysoft dedicada a programación a medida, seguridad informática y alojamiento de servidores, junto a Daniel Fernández. Todo empezó con un contacto por internet que acabó en un viaje a Mallorca.