Artículos y Publicaciones

Cuento el ciberataque del 11 de octubre contra cientos de supermercados franceses: encendieron a distancia el desescarche de las neveras aprovechando un fallo conocido desde 2023, sin rescate ni robo de datos. Repaso por qué España ya está en la lista, de NoName057(16) al ransomware que paró Damm, Hero o el Puerto de Vigo, y las 189 gasolineras con las válvulas de sus tanques expuestas que se denunciaron desde ASPERTIC en 2018. Un ataque no necesita apagar un país, le basta con ser quirúrgico para minar la confianza, y NIS2 también llega a los proveedores de las entidades esenciales aunque España siga sin transponerla.

Leer el artículo completo →

Guía de ciberseguridad aplicada a la IA para la alta dirección, del proyecto cAIre de OdiseIA con el apoyo de Google.org, que firmo como coautor. Aborda la seguridad de la IA desde el gobierno corporativo: el ciclo de vida seguro de los sistemas, las amenazas propias como el envenenamiento de datos o la inversión de modelos, las defensas (guardrails, firewalls para LLM y red teaming) y la alfabetización en IA. Para el consejo, ayuda a fijar el umbral de riesgo aceptable e incluye un checklist de activos críticos.

Septiembre es para muchos el comienzo del año, y la ciberseguridad sigue siendo una asignatura pendiente, más con la Ley de coordinación y gobernanza de la ciberseguridad a punto de publicarse. Propongo tres opciones para ponerse al día: mi Curso de Ciberseguridad para Directivos, sin tecnicismos y con un año de asesoría gratuita, el Máster presencial de Nebrija que dirige Enrique Cervantes y el Máster online de EIP que dirige Sergio Padilla.

Leer el artículo completo →

Tras hablar en mi canal de grupos prorrusos como NoName057(16), cuento otra cara del hacktivismo: alguien recibe un phishing que suplanta a Correos, encuentra en la web hackeada la webshell del propio estafador y renombra el index.php para que las víctimas ya no lleguen al formulario de robo de tarjetas, sin borrar nada. Aunque parezca una buena acción, atacar de vuelta no es legal, y hay formas legales de ayudar, del OSINT para buscar desaparecidos a denunciar pederastas.

Leer el artículo completo →

En mi columna de El Español arranco con un día cualquiera en el que llegas al trabajo y no tienes acceso a nada: ni correo, ni clientes, ni contabilidad. Recuerdo que NIS2 propone multas de 10 millones de euros o el 2% de la facturación, también para los directivos, y que grupos prorrusos como NoName057(16) llevan tiempo atacando a administraciones y empresas en Galicia, mientras Z Pentest Alliance interrumpe fábricas y plantas de agua. Una guerra a 4.000 kilómetros puede dejarnos sin empresa.

Leer el artículo completo →

Estudio del Observatorio de Deepfake del Grupo de Inteligencia Artificial de ISMS Forum que firmo como coautor junto a Daniel Fernández, Diana Molero y Miguel Ángel Pérez. Analizamos diez casos reales de vídeo, audio, imagen generada y faceswap en tiempo real, desde el intento de estafa a WPP o la suplantación de la Princesa Leonor hasta el fraude a un empleado de Arup, y repasamos las técnicas y herramientas de detección y el ciclo de vida de un deepfake.

Me pongo un poco grinch en mi columna de El Español: las ciberestafas seguirán siendo el segundo delito más denunciado, con falsas ofertas de trabajo por WhatsApp, criptomonedas en Instagram y SMS que suplantan a los bancos, e incluso falsas ONG tras la DANA. Mis propósitos para el año: sentido común, desconfiar de lo que suena raro, llamar al 017 de INCIBE ante la duda y pagar solo con plataformas seguras como las tarjetas virtuales prepago.

Leer el artículo completo →

El 91% de los responsables de ciberseguridad sufre estrés moderado o alto y casi un 20% recurre al alcohol o a fármacos para aguantarlo, según el informe Life Inside the Perimeter. En el Día Mundial de la Salud Mental hablo del distrés y de cómo la tecnología mal usada alimenta la ansiedad, los celos o la adicción, y recomiendo la conversación que tuve en mi canal con la psicóloga Bárbara Diez.

Leer el artículo completo →

Tras las elecciones de 2024, Maduro habló de un hackeo masivo al sistema de transmisión del CNE. Repaso la historia del voto electrónico venezolano, de Indra a Smartmatic, ExClé y la red de CANTV, y explico que lo que describe la Fiscalía es una denegación de servicio que ralentizó el envío de actas, algo que no hace desaparecer los votos de un candidato. Para mí es más fácil que haga trampas quien controla las máquinas, la red y los servidores.

Leer el artículo completo →

Respondo a las críticas al teletrabajo de Sam Altman, Elon Musk o José Elías con los estudios de Stanford, que ven una caída de productividad del 10% en el remoto total pero ninguna en el híbrido, y de la Universidad de Pittsburgh sobre la vuelta obligatoria a la oficina. Creo que estamos perdiendo la oportunidad de adaptarnos, y que dar libertad al trabajador aliviaría la España vaciada, los alquileres, la contaminación y la conciliación.

Leer el artículo completo →

Pegasus, de NSO Group, no es el único: antes estuvieron FinFisher y HackingTeam, y hoy Cy4gate, Nexa, Intellexa o Cytrox venden ciberarmas de espionaje, como mostraron los Predator Files. Explico el uso de vulnerabilidades de día cero, que Mandiant vio crecer un 50% en 2022, y recuerdo que el espionaje también llega por nuestros datos y la publicidad, de Cambridge Analytica al AdInt.

Leer el artículo completo →

Mientras Sora nos fascina, los delincuentes estafaron 24 millones de euros a una multinacional con un deepfake en videoconferencia. Repaso los anuncios falsos con Marta Ortega o Antonio Resines que obligaron a la CNMV a avisar, la sextorsión con desnudos falsos, como el caso de Almendralejo, y la propaganda, de la llamada falsa de Biden al vídeo de Zelenski rindiéndose. Contra todo ello, proyectos como IVERES, denuncia y pensamiento crítico.

Leer el artículo completo →

El uso de IA generativa en las empresas crece un 43%, pero un 15% de los usuarios pega información en ella y un 6% reconoce que era sensible. Samsung filtró datos de semiconductores a ChatGPT, y Apple y grandes bancos lo han restringido. Explico qué dice OpenAI sobre el uso de tus datos, por qué prefiero tener estos servicios en casa, y los fallos que recoge el OWASP Top 10 para LLMs.

Leer el artículo completo →

En la revista European Public Mosaic de la Escuela de Administración Pública de Cataluña reivindico la palabra hacker frente a su uso sensacionalista. Recorro sus orígenes, del Tech Model Railroad Club del MIT y el PDP-1 a ARPANET, Wozniak, el gusano de Morris o Mitnick, y los grupos españoles como !Hispahack o La Vieja Guardia. Defiendo que los hackers son la primera línea de defensa frente a un cibercrimen en crecimiento exponencial y que la colaboración público-privada es hoy más necesaria que nunca.

Mi trayectoria como hacker →

Artículo académico que firmo junto a María J. Santofimia, Félix J. Villanueva, Egor Litvinov, Ilia Viksnin y Juan C. López en Procedia Computer Science (vol. 192, KES 2021). Analizamos la ciberseguridad de los hogares inteligentes y servicios para el envejecimiento activo y saludable: sus usuarios pueden ser vulnerables por falta de alfabetización tecnológica o deterioro cognitivo, y se despliegan en la esfera más privada, el hogar. No existían estudios, estándares ni guías específicas para fabricantes, y el artículo propone los aspectos que requieren especial atención.