Medios y ponencias

En Cruce de Cables, junto a Rafa López, explico que las granjas de bots son lugares con cientos de miles de dispositivos, habitualmente móviles, que se contratan para inflar likes y comentarios y engañar al algoritmo de las redes sociales, o para generar visitas falsas a la publicidad de una empresa y hacerle gastar dinero sin que nadie la vea. Recuerdo que cuando Twitch se puso a quitarlos desapareció cerca de un tercio del tráfico de muchos streamers, y aviso de que en política estos contenidos viralizados te meten en una espiral de confirmación que va cambiando tu forma de ver el mundo. Cualquiera con unos pocos euros puede comprar interacciones en la web normal, incluso eligiendo el país, y servicios más a medida en la dark web o Telegram, aunque la guerra psicológica de verdad la hacen Estados con equipos propios.

Desinformación y riesgo digital →

Tras el gran apagón del lunes, en Cruce de Cables explico que técnicamente todo lo que está conectado es susceptible de ser hackeado y recuerdo el ataque que tiró el sistema eléctrico de Ucrania en 2022 y el de 2010 contra centrales nucleares de Irán, con cuidado con las atribuciones. Un chaval en su casa podría hacerlo con los conocimientos, pero detrás suelen estar Estados que buscan desestabilizar un país, y lo preocupante sería un ataque quirúrgico que provocase un fallo en cadena; los primeros indicios llegarían en 24 horas si hay registros. Aviso de que las pymes que trabajan con las grandes pueden servir de pasarela, de que la entrada de NIS2 obligará a muchos más sectores y de que un ataque real habría durado más, incluso como distracción mientras se persigue otro objetivo.

Infraestructuras críticas y riesgo →

A raíz de la detención del hombre que contrató por la Dark Web a un sicario para desfigurar con ácido a una mujer en Pontevedra, explico en COPE Pontevedra la diferencia entre Deep Web y Dark Web. La Deep Web es todo lo que no aparece en buscadores, como páginas tras contraseña o bases de datos, y es la mayor parte de internet; a la Dark Web se entra fácilmente con Tor Browser. Pero advierto que allí la mitad son criminales y la otra mitad policías cazándolos, y que muchas veces el anuncio del sicario es un cebo policial esperando a que caiga el incauto.

Hacking y cibercrimen →

Con Sandra Estok repaso cómo empecé con ocho o nueve años programando en BASIC, pasando por las BBS y FidoNet con módem y, a finales de los 90, por los chats donde conocí a gente apasionada por la seguridad. Para mí un hacker es quien busca un uso distinto al recomendado de las cosas, y es un título que te tienen que dar otros, no te lo puedes autoadjudicar; ya entonces avisábamos de fallos a empresas y organismos y publicábamos quién se había portado bien, lo que hoy llamamos bug bounty. Hablo también de mi labor como evaluador de proyectos europeos de innovación y en un grupo de expertos sobre IA en productos conectados, y aviso: la IA no te quitará el trabajo, te lo quitará una persona que sepa usarla.

Mi trayectoria como hacker →

En el podcast Cuidado con las macros ocultas, grabado en la Universitat Jaume I de Castellón, repaso cómo empecé en la seguridad informática, cuando ni siquiera existía esa figura profesional, y digo que se aprende mucho más de los fracasos, como la empresa que monté hacia el año 2000 y tuve que cerrar. Sostengo que la ciberseguridad es negocio en sí misma, que a las empresas suele desbloquearles la inversión un buen susto y que a las pymes no les sirve comprarle a un comercial desalmado una solución 360 con inteligencia artificial, sino tener un plan ajustado a sus necesidades; para ellas lancé cursodeciberseguridad.com. Me preocupa más la propaganda y la polarización que la seguridad de los sistemas, con el caso de Cambridge Analytica, y explico cómo funcionan los programas de bug bounty en los que he ayudado a Google, Facebook, Twitter o el Departamento de Defensa de Estados Unidos.

Trayectoria y bug bounty →

En el primer programa de Cruce de Cables, en RNE, cuento la carta de reconocimiento que nos envió la NASA por detectar un fallo de seguridad en su web dentro de su programa de bug bounty, y explico que en otros programas te pagan según la gravedad del fallo: en España hay gente que vive exclusivamente de esto y quien ya supera el millón de euros. Defiendo que es mejor pagar a alguien que colabora contigo que dejar que un malo te secuestre los datos o los venda en la dark web, y recomiendo el bug bounty a quien empieza como vía para demostrar experiencia. También aclaro que la palabra hacker nació en el club de trenes a escala del MIT y que los sistemas industriales, por buenas prácticas, deben estar separados del mundo IT.

Bug bounty y hacking ético →

En La Tarde de COPE comento el caso de Antonio Galindo, un pequeño empresario al que un hacker que entró en el correo cambió el número de cuenta de su proveedor en un hilo legítimo, y así perdió más de 100.000 euros en dos transferencias. Aviso de que cometemos errores absurdos como usuarios, por ejemplo usar la misma contraseña para todo, y de que este fraude es habitual, de todos los días. Mi consejo: activar el segundo factor de autenticación y verificar siempre por teléfono que el número de cuenta es correcto.

Fraude y riesgo en la empresa →

En La Tarde de COPE analizo el ciberataque al Hospital Clínic de Barcelona: estos grupos cifran los datos, antes se los llevan a su nube y, si no se paga, publican una parte para hacer daño reputacional. Pagar es darles fuelle, porque no son chavales en su casa, son mafias que ganan más que con el tráfico de droga. Se apunta a RansomHouse, aunque las atribuciones son difíciles, y recuerdo que hace dos meses el grupo Killmilk amenazó a los hospitales europeos por el apoyo de la OTAN a Ucrania. Me resulta extraño, porque atacar hospitales suele ir contra su propio código ético.

Ransomware y riesgo geopolítico →

En Mediodía COPE, tras el hackeo al Consejo General del Poder Judicial y el Punto Neutro Judicial, explico que el dato de 40.000 ataques diarios en España no significa que todos tengan éxito ni que seamos más débiles, sino que los vemos y los detectamos más. Recuerdo que evitar estos ataques es complejo y exige personas que manejen la tecnología y vigilen. Y explico por qué el 70 % de las víctimas son pymes: por presupuesto dejan la seguridad en último término y les falta concienciación, cuando en ello les va existir o no existir el día de mañana.

Riesgo de ciberseguridad en la empresa →

En Tech Tok comento el hallazgo de que los navegadores integrados en apps como Instagram, Facebook o TikTok pueden registrar lo que hacemos: Meta no es una hermanita de la caridad, vive de nuestros datos y de nuestro comportamiento, y lo aceptamos al firmar sus cláusulas. Explico que, aunque WhatsApp cifre las conversaciones de extremo a extremo, a ellos les interesan los metadatos: saben que tú y yo hablamos, cuándo y a qué horas, y esa información es mucho más poderosa. Mi recomendación: copiar el enlace y abrirlo en el navegador que usamos siempre.

Privacidad y datos personales →

En 'La Tarde' de COPE explico la otra cara de los códigos QR que se generalizaron con la pandemia: no son tan seguros, porque cualquiera puede generar uno en una web con la URL que quiera y pegarlo con una pegatina encima del original. Si eso pasa en la puerta de un banco, quien lo escanee puede acabar en una web falsa parecida a la oficial y entregar sus datos, aunque la autenticación de los bancos frena muchos ataques. Caemos como moscas, pero casi siempre basta con sentido común y con una aplicación decente que te diga a qué web te va a llevar.

Hacking y ciberestafas →

En plena crisis del COVID-19, Daniel Puente y yo impulsamos la iniciativa solidaria Responsables de Ciberseguridad contra el COVID-19, a la que se sumaron casi 200 profesionales para asesorar gratis a las empresas, sobre todo a las que no tienen un departamento especializado, a través de un grupo de LinkedIn. En Radio Nacional contamos qué dudas nos llegan, desde bulos sobre programas de videoconferencia hasta campañas de phishing que se aprovechan de la pandemia, como falsos cheques de 500 euros de la Cruz Roja. Y damos las claves para teletrabajar con seguridad: VPN, cuidado al abrir sistemas a internet, concienciar al usuario y, sobre todo, sentido común antes de pulsar un enlace.

Ciberseguridad para pymes →