Es la mañana siguiente a la caída de Internet y, aunque te gustaría pensar que estarías encantado, lo más probable es que te estés preguntando qué hacer. Podrías comprar comida con un talonario de cheques, si es que tenés uno. Llamar al trabajo con el teléfono fijo, si el tuyo sigue conectado. Después de eso, podrías conducir hasta un comercio, siempre y cuando aún sepas cómo orientarte sin 5G.

Una falla en un centro de datos en el estado estadounidense de Virginia la pasada semana nos recordó que lo improbable no es imposible. Puede que Internet se haya convertido en un eje irremplazable de la vida moderna, pero también es una red de programas obsoletos y una infraestructura física que chirrían, lo que lleva a algunos a preguntarse qué haría falta para tumbarlo todo.

La respuesta podría ser tan simple como una buena dosis de mala suerte, unos pocos ataques dirigidos, o ambas cosas. Un fenómeno meteorológico extremo deja fuera de servicio varios centros de datos clave. Una línea de código escrita por la inteligencia artificial en las profundidades de un gran proveedor —como Amazon, Google o Microsoft— se activa inesperadamente y provoca un error de software en cascada. Un grupo armado o una agencia de inteligencia corta un par de cables submarinos.

Esto sería malo. Pero el verdadero evento apocalíptico, del tipo que los pocos expertos en Internet del mundo aún temen en sus chats privados, es ligeramente diferente: un error repentino y en cadena en los protocolos obsoletos y anticuados que sustentan todo Internet. Pensá en los cables que dirigen el flujo de la conexión o en las listas de direcciones que permiten que una máquina localice a otra.

Lo llamaremos “la gran caída” y, si ocurriera, como mínimo, necesitarías un talonario de cheques. “La gran caída” podría empezar cuando un tornado de verano atravesara la ciudad de Council Bluffs, Iowa, arrasando un conjunto de edificios bajos que son centros de datos y parte integral de la oferta de Google. Esta área, llamada us-central1, es un clúster de centros de datos de Google, crítico para sus servicios de alojamiento en la nube, así como para YouTube y Gmail. Un apagón aquí en 2019 tumbó estos servicios en Estados Unidos y Europa.

Las cenas se queman mientras los videos de cocina de YouTube quedan entrecortados. Trabajadores de todo el mundo actualizan frenéticamente sus correos electrónicos, de repente inaccesibles, y luego se resignan a interactuar en persona. Altos funcionarios de EEUU notan que algunos servicios gubernamentales se ralentizaron, antes de volver a planificar una nueva ofensiva por Signal.

Todo esto es un inconveniente, pero ni de lejos el fin de Internet. “Técnicamente, si tenemos dos dispositivos en red y un router entre ellos, Internet está funcionando”, dice Michał rysiek Woźniak, que trabaja en el DNS [siglas en inglés del Sistema de Nombres de Dominio], el sistema implicado en la falla de esta semana. Pero “sin duda hay una gran concentración en Internet”, afirma Steven Murdoch, profesor de informática en el University College de Londres. “Es lo mismo que ocurre con la economía. Es más barato gestionar todo en el mismo lugar”.

Pero, ¿qué pasaría si una ola de calor en el este de EEUU afectara a US East-1, parte de un complejo de Virginia que alberga el “datacenter alley” (el callejón de los centros de datos), un centro clave para Amazon Web Services (AWS), el foco de la interrupción de esta semana? Mientras tanto, un ciberataque afecta a un importante clúster europeo, por ejemplo, en Fráncfort o Londres. A raíz de ello, las redes redirigen el tráfico a centros secundarios, centros de datos menos utilizados, que, al igual que las vías de servicio en un atasco de tráfico, se vuelven rápidamente inutilizables.

O, si nos desviamos de las películas de desastres hacia los peligros de la automatización, el aumento del tráfico podría activar un bug (un error) en la infraestructura interna de AWS, reescrita por inteligencia artificial hace meses; quizás uno que pasó desapercibido después de que cientos de empleados de AWS fueran despedidos este verano como parte del mayor impulso de la compañía hacia la automatización. Abrumada por peticiones desconocidas, AWS empieza a tambalearse.

Signal se cae. También Slack, Netflix y el banco Lloyd's. Los robots aspiradores Roomba enmudecen. Los colchones inteligentes se vuelven locos y las cerraduras inteligentes fallan.

Con Amazon y Google fuera de juego, Internet se volvería irreconocible. AWS, Microsoft y Google juntos representan más del 60% del mercado mundial de servicios en la nube, y es casi imposible dar cifras aproximadas de cuántos servicios dependen de ellos.

“Pero Internet, en su nivel más rudimentario, seguiría funcionando”, dice Doug Madory, un experto en infraestructura de Internet que estudia este tipo de interrupciones. “Simplemente no podrías hacer nada de lo que estás acostumbrado a hacer en Internet porque todo eso se gestiona desde estos metacentros”.

Quizás pienses que la mayor amenaza es un ataque a un cable submarino. Esto entusiasma a los think tanks de Washington, pero por lo demás apenas se haría nada. Los cables submarinos se rompen con regularidad, dice Madory; de hecho, la ONU estima que hay de 150 a 200 averías al año. “Realmente tendrías que cargarte un montón de ellos para afectar a las comunicaciones. Creo que la industria de los cables submarinos te diría: 'Hombre, hacemos esto todo el tiempo'”.

Entonces, un grupo de hackers anónimo lanza un ataque contra un proveedor de servicios DNS, uno de los listines telefónicos de Internet. Verisign, por ejemplo, gestiona todos los sitios online que terminan en '.com' o '.net'. Ultranet, los '.biz' y '.us'. Madory dice que es extremadamente improbable que uno de ellos pueda ser tumbado. “Si algo le pasara a Verisign, '.com' desaparecería. Tienen un incentivo financiero enorme para asegurarse de que eso nunca ocurra”.

Pero se necesitaría un error de esa magnitud, uno que afectara a infraestructuras más fundamentales que Amazon y Google, para devastar el ecosistema digital. Si ocurriera, sería algo sin precedentes. Sin los '.com', los bancos, los hospitales, los servicios financieros y la mayoría de las plataformas de comunicación quedarían fuera de servicio. Algunas infraestructuras gubernamentales de Internet seguirían funcionando, como el sistema de mensajería segura Siprnet de Estados Unidos.

Los últimos en caer

Al menos para una comunidad de expertos, seguiría existiendo Internet. Al fin y al cabo, existen blogs autohospedados y plataformas sociales descentralizadas como Mastodon, así como dominios especializados como '.io', para el Océano Índico Británico, y '.is', para Islandia.

Esa vulnerabilidad afectaba a un sistema que opera un nivel por encima del DNS: el protocolo BGP (Border Gateway Protocol), encargado de dirigir todo el tráfico de Internet. Madory considera que algo así es extremadamente improbable: sería una situación de emergencia total, y el protocolo es “muy resistente; si no lo fuera, ya habría fallado hace tiempo”.

Eso sí, si Internet se cerrara por completo, no está claro si se podría volver a poner en marcha, afirma Murdoch. “Nadie apagó Internet después de haberlo encendido. Nadie sabe con certeza cómo se podría volver a encender”. En el Reino Unido existe un plan de contingencia no virtual, o al menos existía. Si Internet se apagara, las personas que saben cómo funciona se reunirían en un pub a las afueras de Londres y decidirían qué hacer, afirma Murdoch: “No sé si esto sigue siendo así. Fue hace bastantes años y nunca me dijeron qué pub era”.

Les Chambres Rouges. Las habitaciones rojas. Cuando supe que el título de esta película de terror canadiense de 2024, dirigida por Pascal Plante, se refería a ese tenebroso mito de la dark web, la conseguí para verla de inmediato. Quedé fascinada, pero antes de seguir con los halagos, un poco de contexto para usuarios que saben poco y quieren alfabetizarse más, como yo.  

La “internet clara”, o de superficie, es la que todos usamos. Google, Instagram, Wikipedia Facebook y todo lo que está indexado, lo que aparece en buscadores, desde una revista a una red social o una tienda. Esta superficie constituye aproximadamente un 4% de la red. Si: apenas 4 %. La deep web, la “profunda”, constituye todo lo que un buscador no indexa, de lo que hay que obtener la dirección exacta, lo que es de pago, o que requiere credenciales para ingresar. Es donde se guardan las contraseñas, por ejemplo: una persona no puede entrar en el mail de la otra, o en su cuenta de X, sin usuario y contraseña. Muchas veces se cree que la deep web oculta secretos espantosos pero no es verdad: ahí hay desde sitios del gobierno a los que no tienen acceso los ciudadanos comunes pero también están las cuentas privadas de only.fans. Es la web mayor: el 90% de internet es inaccesible sin llaves de entrada.  

La dark web, la “oscura”, es otra cosa. Es una parte de la deep web que está escondida intencionalmente. Hace falta un browser especial para navegarla, como Tor –hay otros–, que quiere decir “the onion router”, el router cebolla, que sirve para transitar con anonimato y con capas de direcciones IP (Tor no es solo para la dark web: se usa para estar en la red de forma privada). Tor no es un buscador: es un navegador que protege del rastreo. Para la dark web hay que tener la dirección exacta para llegar al sitio deseado. Durante muchos años funcionó ahí la Silk Road (“Ruta de la Seda”) un mercado negro en línea –como Amazon, pero ilegal–. Su fundador es Ross Ulbricht, seudónimo Dread Pirate Roberts, que fue identificado y, en junio de 2015, sentenciado a cadena perpetua por blanqueo de dinero, hackeos varios y tráfico de narcóticos, porque en su mercado libre profundo se vendían drogas. Este espacio tiene muchas historias y sus propias leyendas. 

Uno de los mitos de la dark web es el de las “habitaciones rojas”. Sería un servicio de streaming en vivo que se paga con bitcoins. No hay garantías: se paga primero. Por supuesto, la mayoría son estafas pero, con datos certeros y sin ingenuidad, se podría llegar a una habitación roja real. Ahí ocurren asesinatos y torturas, de personas y de animales. Son streams largos y ultraviolentos, de baja calidad, explícitos. Luego desaparecen, porque el vivo no se graba pero, dice la leyenda, el ejecutor –el asesino, o su empleador–, sí lo registra y luego distribuye ese material como películas snuff. Entre las víctimas estarían personas en situación de calle, mujeres en redes de trata y niños desaparecidos. Potencialmente cualquier persona desaparecida podría terminar en un cuarto rojo para ser descuartizado, en vivo, por dinero. 

Por ahora, no hay ninguna denuncia seria sobre una habitación roja, ni se encontró a nadie sospechado de tener, producir o ver un stream de este tipo. Es una construcción imaginaria, una leyenda urbana de la web. Y es una gran idea para la ficción de horror. En la película Les Chambres Rouges está ejecutada con elegancia: es de las mejores cintas del género horror web, al menos en cine occidental. La protagonista se llama Kelly Ann (interpretada por la magnífica Juliette Gariépy), es una hermosa modelo y jugadora de poker online que vive en Montreal. Está obsesionada con Ludovic Chevalier, el serial killer detenido y en pleno juicio oral por tres crímenes de adolescentes, a quienes ejecutó en vivo en una habitación roja de internet, y luego vendió las grabaciones. Las adolescentes muertas tenían 13, 14 y 16 años. La fiscal enumera las torturas: mutilación genital, exhibición de intestinos, miembros cortados. Dos de los videos fueron recuperados: el de Camille, la niña de 13, aún no. A la media hora de película, ya escuchamos muchas descripciones del horror, pero aún no se ve nada. No hay sangre, no hay sustos, no hay gore. Da muchísimo asco y miedo, pero Les Chambres Rouges es una película de juicio y un thriller sin imágenes de violencia. La banda de sonido es perfecta, con creadores que postean su música digital, noise e industrial, en YouTube.

Más miedo que el mito y las ejecuciones da Kelly Ann, la mujer joven obsesionada con encontrar ese video que falta. En su espectacular departamento oscuro vive frente a dos pantallas con una IA entrenada para todas sus necesidades. Cuando sale, lo hace para posar frente a fotógrafos o para sentarse en el juicio de Chevalier, entre las víctimas: acude cada día a la sala. Experta navegadora de la dark web, juega poker para poder pagar por la película de Camille. Es notable que se elija a una persona tan poco empática, egoísta y perversa como Kelly Ann como protagonista de una película. Sus intenciones siempre son malas, aunque eventualmente resuelva el caso con su espantosa eficiencia. Gracias a ella, y a su mirada de cyborg contaminada con imágenes de muerte, es posible pensar: ¿y si es cierto que algún porcentaje de los desaparecidos del mundo entero están esperando a ser asesinados para la satisfacción de perversos? ¿Hasta dónde puede llegar la curiosidad para comprobar si existen de verdad estas habitaciones? ¿Quién está más trastornado, el asesino o el cliente? Les Chambres Rouges es una película sobre la obsesión y sobre la ciberparanoia. No es una película realista, pero todo el tiempo parece decir “esto no ocurre, pero podría ocurrir”. Podría ocurrir ya mismo. Y quizá mucha gente tenga ganas de verlo. 

ME/DTC

Recuerdo muy bien la primera sensación de ser espiada por la pantalla. Era 2004, todavía no había Facebook para el gran público ni X/Twitter. Chateaba por el ya difunto chat de Gmail con mi novio y empezamos a notar que aparecían, en publicidades al costado del chat, ofertas relacionadas con cosas de las que hablábamos, como sugerencias de viajes a Santiago justo cuando él partía desde Mendoza hacia Chile. “Nos lee”, dijimos, asombrados. Recuerdo que nos dio un poco de miedo. También recuerdo que lo olvidamos pronto. 

Desde hace bastante, sin embargo, toda charla casual de café se refiere a que el celular ya no lee, sino que escucha. O incluso, lee la mente. Todos saben a qué me refiero, pero voy a usar ejemplos recientes, para minimizar el ruido de las anécdotas y de la memoria. En un festejo de fin de año tardío, mi amigo Alejandro dijo que el GPS reprendió a su pareja cuando ella lo puteó por guiarla mal. A todos los presentes nos pareció una cosa por completo posible, y hablamos de Siri, Alexa y la película Her como visionaria. Más tarde pensé: pero esto de que la pantalla escuche, sea clarividente y reaccione a insultos no puede resultar tan cotidiano. Le mandé un mensaje a otro amigo, Martín de Palermo, pidiéndole un ejemplo reciente, lo menos florido posible. Martín me envió este audio: “En mi vida tuve un gato. Jamás me apareció nada con un gato, jamás. Por pedido de nuestra hija tenemos una gata, y desde entonces no paro de recibir todo el tiempo reels relacionados con los gatos. Cómo alimentarlos, cómo evitar que no muerdan, qué les gusta. Jamás hice una búsqueda relacionada con los gatos. Ayer estábamos con unos amigos y el papá, que tiene 90 años, hablando de si él podía seguir conduciendo. Hablamos, nada más. A la mañana siguiente, le apareció en un reel con una noticia curiosa sobre una mujer conductora en Pennsylvania de 103 años. Decime que no nos escuchan”.

Si se va a buscar en YouTube, está plagado de gente que hace pruebas con su celular pero yo, en principio, no le creo a nada de lo que aparece en las redes y todo es muy amateur. Mejor es empezar por lo legal, aunque sea porque es alucinante que no nos importen nada las leyes. Hay usuarios que sí reclaman sobre la invasión de privacidad, exigen reparaciones. Los casos se pueden leer online en Google Assistant Help, y son muchísimos. Google dice en su política de privacidad que los datos de audio sólo los usa si se autoriza al asistente de voz. La privacidad de Meta –Facebook, Instagram, Whatsapp– es más clara. Dice: “A veces, los anuncios pueden ser tan específicos que parece que alguien escucha tus conversaciones a través del micrófono, pero no es así. Solo usamos el micrófono con tu permiso y cuando estás usando una función que lo utiliza”. 

Y sin embargo, se mueve. Si la escucha fuese cierta, ¿esto no es un escándalo gigante? ¿Confiamos en la política de privacidad de estas empresas? Claro que no. Sin embargo, en 2018 y ante el Senado de Estados Unidos, Mark Zuckerberg, cuando le preguntaron directamente si usaban audio de los usuarios, dijo NO y agregó: “Usted está hablando de la teoría conspirativa de que escuchamos lo que se habla por los micrófonos y lo usamos para publicidad. No hacemos eso”. Fue una declaración bajo juramento: mentirle al Congreso, que no es un maxikiosco, sería un delito gravísimo. ¿Zuckerberg está por encima de la ley? ¿O acaso logró que en realidad no nos importe? “Quién me va a robar, a quién le importa lo que hago, no tengo secretos”. Esa es la reacción más común cuando se le sugiere a alguien que, a lo mejor, no debería usar 1234 para desbloquear un teléfono en el que tiene apps de bancos. ¡Quién soy yo para que me espíen!, gritan, y después lloran cuando son robados o hackeados (yo lo hago eh, no tiro postas, tuve todos los problemas de seguridad posibles y los atravesé con llanto, amargura, culpa y odio a mí misma). Si no confiamos en Zuckerberg, un señor que se parece a H.P. Lovecraft, ¿por qué le entregamos nuestra vida? Para resolver este asunto hay investigaciones en universidades, que tienen encima mucho dinero y buena metodología. La web Gizmodo da cuenta de uno de ellos, y del paper de Northwestern University, en Illinois, sobre exfiltraciones de celulares, es decir, datos que salen del aparato pero que nunca hubo intención de compartir. Exploran más de 17.000 apps, casi todas con acceso a fotos y voz y mapas. Hay muchas otras formas de dar señales al algoritmo que no son la voz, como cada like, la red de contactos, el gps, el IP, me entero, y me explico lo del gato de mi amigo. Quizá él no buscó, pero si su hija, y todos comparten wifi. No hay que olvidar además las cookies, que se guardan en teoría para que nuestra vida sea más fácil. El método es muy complejo e imposible de explicar para mi, pero se entiende. Aquí está, en inglés, en PDF. Hay que aclarar que es relativamente viejo: data de 2018. (Lo explica mejor el podcast colombiano Cosas de internet,  discontinuado en 2023) Spoiler: no encontraron ni una exfiltración. Ni una. Es decir: el método científico afirma que no te escuchan.  

El susurro en mi cabeza dice: a lo mejor estos académicos están comprados y lo hicieron justamente para que parezca contundente. Y esto que todos sabemos, que todos vivimos, como en La carta robada de Poe, necesita de este paper tan serio para tener legitimidad. Ahora mismo, mientras le pongo final a esta nota, entré a un diario online y uno de las primeras publicidades que vi fue de Elwic Protect, expertos en operaciones seguras. “¿Billetes falsos? Tenemos la solución”. ¿Cómo saben que estoy preocupada, de puro ansiosa, por unos dólares que debo usar para pagar un servicio muy caro? No se lo dije a nadie porque me da miedo el mero pensamiento. Me van a decir: estás en Argentina, es el tipo de publicidad más normal en la patria. Cierto.

Sigo scrolleando. Me salen dos más de seguros y seguridad. Es normal. No soy tan importante. Lo que me da un poco de miedo es que me fuerzo a sentir paranoia, y no pasa. No sólo soy presa fácil. Soy un regalo barato. La sola idea de salirme de la red me parece ridícula. Estoy domada. Sé que mi comportamiento es predecible. Si quieren algo de mi, lo van a obtener.   

DTC

El sitio oficial Mi Argentina, una de las plataformas digitales más importantes del gobierno argentino, sufrió este miércoles un ataque cibernético. Horas más tarde, desde la Secretaría de Innovación, Ciencia y Tecnología confirmaron el hackeo y apuntaron a gobiernos anteriores por “el estado deplorable en que dejaron a nuestros sistemas de gestión electrónica, plataformas y aplicaciones”.

De acuerdo a la publicación que hizo el organismo que depende de la Jefatura de Gabinete de Ministros en redes sociales, “este 25 de diciembre a las 21:30 horas detectamos que el sitio web http://argentina.gob.ar fue atacado por ciberdelincuentes. El hackeo da cuenta del estado deplorable que dejaron los anteriores gobiernos a nuestros sistemas de gestión electrónica, plataformas y aplicaciones”, argumentaron.

Y agregaron: “Es un firme recordatorio de la necesidad urgente de inversión para fortalecer la infraestructura y la seguridad informática. Dicha inversión no pudo ser concretada por este Gobierno, contemplada en el DNU 656/2024, por culpa de un grupo de diputados y senadores del Congreso de la Nación que optaron por jugar a la alta política en vez de garantizar los fondos destinados a la lucha contra estos delitos”, apuntaron desde Innovación, Ciencia y Tecnología, al tiempo que reiteraron “la necesidad de invertir en Ciberseguridad”.

El ataque: cronología del incidente

El programador Maximiliano Firtman (@maxifirtman) explicó que los atacantes realizaron un defacement (cambio del contenido visual del sitio web), dejando mensajes con firmas políticas y un video del rapero “Homer el Mero Mero” con su canción “22” en algunas secciones.

Además, dejaron el mensaje “really? hacked again!?” (¿De verdad? ¿hackeado de nuevo?) y en el pie de página del portal se podía leer “fuck Milei”.

Según Firtman, “por lo que se ve a simple vista, parece que solo accedieron a cambiar encabezados y pies de página de las secciones estáticas, pero hasta que haya un anuncio oficial, yo sugiero esperar para usar el sitio web, principalmente en el ingreso de información o credenciales.”

El especialista también destacó que este tipo de ataques “sobrepasa el concepto de hacking  y es un delito; es mejor llamar a quien firma este acceso no autorizado como ciberdelincuente y no como ”hacker“.

¿Quiénes están detrás del ataque?

El grupo o individuo responsable del hackeo utilizó el seudónimo “h4xx0r1337” y dejó su firma en varios puntos del sitio. Además, mencionaron la cuenta @gov.eth, lo que sugiere una posible vinculación con otros ataques cibernéticos recientes.

Si bien la autoría no ha sido confirmada oficialmente, estos pseudónimos son conocidos en la comunidad hacker internacional por realizar infiltraciones en sitios gubernamentales y corporativos.

Impacto y riesgos potenciales

La plataforma Mi Argentina es clave para la gestión de trámites y servicios esenciales, incluyendo:

La vulneración de este sistema no solo compromete la confidencialidad de los datos personales, sino que también genera incertidumbre sobre la capacidad del Estado para proteger la información digital de sus ciudadanos.

Expertos advierten sobre las fallas

El periodista Julio Ernesto López (@julitolopez) también se refirió al tema a través de sus redes sociales, señalando: “Mientras parte de Argentina.gob.ar está caída por el hackeo, otra parte todavía online deja rastros de lo que pasó.”“Masivo deface en Argentina.gob.ar. En definitiva, se metieron el ciberpatrullaje y la flamante unidad de ciberdefensa en el culo.”

Más tarde, en TN, López explicó que lo que ocurrió “es que el sitio argentina.gob.ar, que es donde residen todas estas páginas de la tarjeta Sube, de pasaporte, de otros servicios más que tiene el gobierno, fue ayer intervenida o hackeada por un grupo de hackers. Estos grupos de hackers dejaron mensajes ofensivos directamente al gobierno y también hicieron, digamos, casi te diría un hackeo que parecía una estudiantina. Habían dejado sus nombres firmando para ser exhibidos y obviamente llevarse el rédito”, detalló.

Según el experto, “el sitio web del gobierno es una cosa y lo que está pasando por detrás con las aplicaciones es otra. Todavía no tenemos ningún indicio que se hayan comprometido aún más los datos, porque recordemos que hay una seguidilla de hackeos en Argentina. Esto no representaría por ahora algún tipo de problema colateral”, remarcó.

Por su parte, Javier Smaldone, programador y especialista en ciberseguridad, advirtió en reiteradas ocasiones sobre las deficiencias en los sistemas de seguridad informática de las plataformas estatales.

Para Smaldone, tras la explicación en X de la Secretaría de Innovación, Ciencia y Tecnología, el gobierno de Javier Milei tuvo un año “para actualizar y asegurar los sistemas. También tuvieron 30 millones de dólares. Hoy los hackearon unos pibes (los sistemas del Estado argentino son reventados cada tanto por pibitos con algo de tiempo libre). Imaginen lo que hacen con nuestros sistemas los servicios de espionaje de otros países”.

Lo que se sabe hasta ahora:

¿Qué deben hacer los usuarios?

En medio de esta situación, los expertos recomiendan:

La situación sigue siendo dinámica y preocupante, mientras el gobierno aún no ha brindado explicaciones claras sobre el alcance del ataque ni las medidas adoptadas para mitigar sus consecuencias.

Con información de agencias.

IG

Cada vez que quiere sextear, Sofi le manda fotitos por Instagram a su novia sólo en modo efímero. Desliza su dedo índice hacia arriba en el chat y su pantalla se pone oscura. Cuando su chica abra y vea su imagen reflejada en el espejo del baño en ropa interior, se borrará inmediatamente. Tampoco podrá hacer una captura para tener en su celular. Ana tiene 20 años y está en pareja con Andrés hace 5. Sextear es parte del vínculo. Su pareja tiene una carpeta oculta en su celular con un repertorio de poses de ella desnuda. También tiene filmaciones teniendo sexo. Si se separan, lo tienen conversado: ella le va a pedir la memoria de su celular. Macarena usa los mensajes temporales de Whatsapp para mandar fotitos al muchacho que le gusta. Sabe que se volverán evanescentes cuando los abra pero igual, en todas las fotos ella aparece decapitada. Nunca deja registro de su cara. 

Mientras en el mundo presencial hay cada vez menos sexo, en los territorios digitales las opciones se diversifican e intensifican: en la virtualidad hay encuentros que se expresan en el sexteo: sexo donde cuerpo y cabeza están a disposición de lo erótico pero mantienen distintancia con la otredad. Hace tres años el biólogo evolutivo Rob Brooks acuñó un término útil para caracterizar esta época donde lo visual y lo digital lo monopolizan todo: intimidad artificial. “Consiste en tecnologías en las que se ven involucradas nuestras necesidades humanas de conexión, intimidad y afecto sexual”, escribe en ‘Intimidad artificial: amigos virtuales, romances digitales y casamenteros algorítmico’. 

Las fotos y los vídeos porno caseros siempre existieron. Sólo que nunca hubo en la historia de la humanidad una concentración de imágenes como la que existe hoy. Ni tampoco los contornos de lo íntimo fueron tan difusos. Lo privado se integra con lo público con más fluidez. Y ya no se trata únicamente de imágenes audiovisuales. Es una época de sexo registrado y vigilado más allá de los fueguitos o los mensajes sexuales y sensuales que puedan quedar en las conversaciones de mensajería directa. Desde hace una década existen aplicaciones para “trackear” la actividad sexual como Sex tracker. También se crearon apps para dejar registro del consentimiento explícito antes de una relación sexual. Incluso hace algunos años la empresa/app de taxis Uber publicó un extenso análisis llamado “Rides of Glory” donde exponía viajes de usuarios de ida y vuelta por la noche que atribuían a noches de sexo casual.

“El siglo XXI será tal vez la época del encuentro registrado, del consenso documentado, del polvo algorítmico. El mundo donde vivimos hoy funciona como una suerte de dispositivo registrador, e internet es tanto el medio como el corazón oculto de este mundo totalmente vigilado. Resulta cada vez más obvio que cualquier cosa que alguien escriba, envíe o busque en línea puede usarse más tarde en su contra. Los encuentros sexuales siguen siendo íntimos a nivel del cuerpo, pero no cabe duda que de que es posible filmarlos, registrar su existencia en una aplicación y cosas similares ¿El mundo resultante será más seguro o más peligroso?”, se pregunta la filósofa inglesa Nina Power en su último libro, ‘¿Qué quieren los hombres?’, editado en Argentina este año por la editorial Interferencias. Y sigue con el interrogatorio reflexivo: “¿Quién graba a los grabadores? ¿Quiénes son los nuevos custodios de la modernidad totalmente basada en el uso de herramientas?”. 

Las historias sobre intercambio o registro de imágenes que se vuelven noticia y llaman la atención de la opinión pública, en general, no tienen finales felices. Hace poco circuló en X el caso de una adolescente en el conurbano bonaerense que decidió quitarse la vida después de que su ex novio filtrara un vídeo íntimo. Incluso la crisis política protagonizada por el expresidente Alberto Fernández también involucró registros íntimos que, si bien no eran explícitamente sexuales, eran del ámbito de la privacidad del mandatario y tuvieron una cobertura mediática del orden del escándalo.

La atmósfera feminista de los últimos años generó una mayor conciencia sobre los riesgos, evidenció procedimientos machistas que estaban naturalizados y cada vez que aparece este tema en conversación es probable que un reclamo emergente sea una legislación punitiva. Sin embargo entre la tecnofilia y tecnofobia hay una amplia avenida del centro donde no todo termina en una tragedia y aparecen prácticas de cuidado, de autoconocimiento y autoerotismo que recuperan lo lúdico de la actividad sexual e incluso disputan los sentidos de lo pornográfico.   

Valentina Arias es autora del libro ‘Mandar fotitos. Mujeres jóvenes, imagen y sexualidad en la era digital’ (EDUVIM). Entrevistó a 25 mujeres jóvenes de entre 18 y 25 años para indagar sobre lo que ella llama el “elogio y lamento del sexting”. En su investigación se encontró con un costado optimista: “La posibilidad –en principio ilimitada– no solo de imaginar, sino también de crear y compartir imágenes sexuales propias, permitiría la construcción de otros repertorios eróticos, que cuestionen y desafíen la homogeneidad de la industria pornográfica. En el ámbito privado, el sexting suele entenderse como una práctica que enriquece la vida sexual de las personas, que permite, por ejemplo, sostener el interés erótico en el marco de una pareja o proponer otros modos más lúdicos de ejercicio sexual”.

Ella hace foco, también, en la paradoja: “Todas las chicas sabían acerca de las posibles consecuencias indeseadas de sextear: que las imágenes se filtren sin su consentimiento, que sean chantajeadas o acosadas por eso, que la viralización de las imágenes ponga en riesgo su vida familiar o laboral”, dice la investigadora, que es licenciada en Comunicación Social, magíster en Psicoanálisis y doctora en Ciencias Sociales.

Las sexteadoras, en una revolución sexual silenciosa y discreta que no siempre se cuenta, desarrollaron múltiples estrategias. “La más extendida es no mostrar el rostro (o sea, decapitarse). No mostrar nada del cuerpo que pueda ser identificable, como marcas en la piel o tatuajes. Algunas prefieren no mostrarse desnudas, lo sienten como una forma de resguardo. Otras eligen practicar sexting con gente que vive lejos, las hace sentir más seguras ante la posibilidad de filtración de la imagen. Quienes tienen mayor alfabetización tecnológica mencionaron enviar fotos de visualización única, otras dijeron enviarla, pedirle al destinatario que la borre y asegurarse de que lo hizo. Si sextean con varias personas, algunas optan por ponerles emojis a las imágenes, un emoji para cada destinatario y así, si la imagen se viraliza, pueden detectar rápidamente quién lo hizo”.

La investigadora e historiadora Karina Felitti tiene una amplia trayectoria en representaciones y experiencias de la liberación sexual femenina. Acaba de publicar junto a Mariana Palumbo ‘Promesas de la revolución sexual. Mercado del sexo y del amor en tiempos feministas’ (Prometeo) donde analiza libros, artículos en medios, podcast, charlas y talleres que surgieron en los últimos años. En su observación encontró diversidad de miradas alrededor del tema: “La nude podía ser una forma de autoerotismo más allá de la persona destinataria (podía no haberla) y ya eso valía la pena como ejercicio de amor propio. En otros casos, el sexting prolongado era la confirmación de las pocas ganas de encontrarse que tenían los varones con mujeres más fuertes y deseantes. En lo que sí coincidían casi todos estos productos lanzados era en la necesidad de establecer límites y poder comunicarlos. En ese sentido, en la sexualidad parece difícil pacificar la tensión entre placer y peligro”. 

¿Somos conscientes de las huellas digitales de nuestra intimidad que dejamos en internet? Las más jóvenes pareciera que sí tienen conocimiento y han desarrollado sus tácticas y estrategias de supervivencia. La filósofa Nina Power dice que vamos camino hacia una era postesexual donde “el sexo es cada vez más virtual, se basa en pantallas: una era posterior al sexo real, tal vez”. Además de más diálogos intergeneracionales que conecten experiencias para pensar el sexo del futuro, habrá que integral la Educación Sexual Integral a una Educación Digital que construya ciudadanías que habiten Internet con mayor conciencia, lejos del pánico moral que pueden generar los casos extremos y más cerca del disfrute cuidado.     

MFA/DTC

Con la flamante Unidad de Inteligencia Artificial del Ministerio de Seguridad, Patricia Bullrich sigue liderando la agenda política del manodurismo y amplía sus dominios en un campo en disputa con la SIDE (Secretaría de Inteligencia del Estado) por competencias en labores de “inteligencia”.

Destinada a “patrullar las redes sociales abiertas, aplicaciones y sitios de Internet”, así como la llamada “Internet profunda”, a “utilizar algoritmos de aprendizaje automático a fin de analizar datos históricos de crímenes y de ese modo predecir futuros delitos”, a “crear perfiles de sospechosos”, a “analizar actividades en redes sociales para detectar amenazas potenciales” y a “detectar transacciones financieras sospechosas o comportamientos anómalos que podrían indicar actividades ilegales”, la nueva dependencia gubernamental nace reñida con principios constitucionales y leyes vigentes.

Apoyada en tecnologías que en otras regiones, como en la Unión Europea, demandan consensos y regulaciones construidas durante años con la participación de múltiples actores políticos y sociales, la oficina creada por resolución de Bullrich puede, desde esta semana, invadir la privacidad de millones de personas sin orden judicial.

La predicción de futuros delitos en base a datos que seleccionará el Ministerio de Seguridad para entrenar herramientas de Inteligencia Artificial ataca, a la vez, el principio de inocencia. Las llamadas “tecnologías Minority Report” (por la novela de Philip K. Dick adaptada por Steven Spielberg en un film protagonizado por Tom Cruise, “Sentencia Previa”) han presentado graves errores porque su programación es sesgada y las bases de datos que entrenan las herramientas de Inteligencia Artificial suelen ser una caja negra tan inauditable como falible.

Una persona que vive en un barrio donde las estadísticas de Bullrich presuponen que hay más delito tendrá más probabilidades de ser fichada como blanco de un turbio monitoreo oficial que un residente de otros barrios. Predecir comportamientos futuros, sentenciándolos como delictivos en base a criterios de programación algorítmica, es una atribución desproporcionada que el gobierno argentino se arroga sin advertir la contradicción con la protección de los derechos humanos que compromete al Estado, al menos en sus normas legales.

Además, la Resolución 710/2024 de Bullrich, publicada el lunes último en el Boletín Oficial, no puede ser más imprecisa respecto del alcance de las tareas encomendadas a la Unidad, que depende de la Unidad Gabinete de Asesores de la ministra –esto último, toda una rareza en materia de gestión estatal–. La opacidad no es sólo característica de los fondos reservados que asignó el presidente Milei a la SIDE.

La norma de Bullrich aspira a patrullar todo el universo digital. Una ambición ilimitada con la que no se atreverían a fantasear ni los capos de la National Security Agency (NSA) estadounidense, ni los mandamases del Guoanbu chino. Patrullar las aplicaciones, en los términos publicados en el Boletín Oficial, es un objetivo tan vago que supone controlar un sinfín de posibilidades en cada uno de los teléfonos móviles, computadoras, smartTVs y consolas de los más de 46 millones de argentinos. Las aplicaciones abarcan desde envíos de comida, tiendas de comercio electrónico, servicios de salud, de meteorología, transporte y tránsito, videos a demanda, juegos en línea, finanzas, mensajería, calendarios, aprendizaje de idiomas, citas, dietas y un largo etcétera. 

Aunque es dudoso que el Estado argentino, tan denostado por Milei y su entorno, posea las calificaciones y recursos necesarios para el inédito patrullaje de todo Internet que estableció Bullrich, es claro, sin embargo, que las funciones de la Unidad creada por la ministra contrarían los valores democráticos.

No sólo el principio de inocencia está en peligro con tecnologías basadas en el cálculo probabilístico que, como advierte Juan Ortiz Freuler, reemplaza la evidencia y la certeza por la mera verosimilitud (apariencia de verdad), sino que la privacidad está también en juego. Mancillada por la regulación de facto que ejercen las grandes plataformas digitales vulnerando los datos personales de sus usuarios, la privacidad en juego desafía los derechos y garantías constitucionales e incluso la Ley de Inteligencia Nacional, que reza que todas las comunicaciones y paquetes de datos, así como “cualquier tipo de información, archivos, registros y/o documentos privados” deben ser inviolables, excepto orden judicial en contrario.

La imprecisión en la redacción de las nuevas funciones que Bullrich se ha atribuido no es casual. Ya en mayo último, cuando reintrodujo el ciberpatrullaje para perseguir cibercrímenes a través de la Resolución 428/2024, había excedido los estándares internacionales en la materia. El análisis de Lucía Camacho sobre esa norma sostiene que “enlista crímenes que no entran la categoría de cibercrímenes” además de ser ambigua y, por lo tanto, discrecional, en cuanto a qué considera “público” y “abierto” en internet.

La discrecionalidad en la definición de la política de patrullaje digital de Bullrich es preocupante porque así como en el pasado –siendo ministra de su ahora adversario, el expresidente Mauricio Macri– denunció penalmente a personas por tuitear (personas luego absueltas en proceso judicial), las facultades conferidas a la nueva Unidad de Inteligencia Artificial pueden elevar los niveles de represión de la disidencia que sufren periodistas, movimientos sociales y políticos opositores por parte del gobierno, esta vez en nombre de los algoritmos.

En 2018, el entonces gobernador de Salta, Juan Manuel Urtubey, anunció un sistema de inteligencia artificial supuestamente capaz de predecir embarazos adolescentes que resultó ser un fiasco por los severos errores técnicos y conceptuales de la tecnología que Urtubey quería importar. Tal vez ese, el negocio de la importación de paquetes de Inteligencia Artificial llave en mano, lo que motive también la nueva resolución de la ministra de Seguridad. Sus considerandos mencionan a Estados Unidos de América, China, Reino Unido, Israel, Francia, Singapur, India, países proveedores tecnologías de vigilancia que, en casos como el del software Pegasus, han sido denunciadas como sistemas desmesurados de persecución y censura.

MB/DTC

Ciberdelincuentes aprovecharon el lanzamiento de Threads, la nueva red social de Meta, para distribuir campañas maliciosas en las que se anima a las víctimas a comprar falsas criptomonedas, así como para que inviertan grandes cantidades de dinero para conseguir miles de seguidores de forma gratuita.

Threads es una aplicación de 'microblogging' con la que la compañía que dirige Mark Zuckerberg busca competir con la actual X -antes, Twitter- y que ya llegó a más de 100 países, donde los usuarios la pueden utilizar tanto en dispositivos iOS como en Android.

Investigadores de Kaspersky descubrieron que, debido a la expectación que ha generado este servicio, que ya acumula más de 100 millones de suscriptores, los ciberdelincuentes aprovecharon la situación para distribuir diferentes campañas maliciosas.

Según los expertos de esta firma de ciberseguridad, el objetivo de los ciberdelincuentes es convencer a los usuarios para que faciliten sus credenciales de inicio de sesión.

Teniendo en cuenta que Threads está vinculada a otros servicios de Meta, como Instagram y Facebook, supone un peligro para los usuarios, puesto que quedarían expuestos ante los ciberdelincuentes tanto los datos de esta red social como los de sus otras plataformas.

Además de esto, esta vinculación de cuentas también supone riesgos para las finanzas corporativas, puesto que muchas empresas utilizan estas cuentas para lanzar campañas publicitarias con pagos 'online', según Kaspersky.

Una de las estafas detectadas con el lanzamiento de Threads fue la de la compraventa de criptomonedas. Concretamente, de Threads Coin, que supuestamente impulsa esta red social y que ofrece mejoras entre el mundo físico y digital dentro del metaverso.

Estas monedas no existen, de modo que los usuarios adquieren falsos activos a través de Ethereum creyendo que recuperarán más tarde su inversión, cuando en realidad acaban en manos de los cibredelincuentes.

Estos también hallaron una nueva forma de estafar a los usuarios y es ofreciendo la posibilidad de generarles seguidores en Threads de forma gratuita. De este modo, se puede optar por 10.000, 25.000 o 50.000 'followers'.

Una vez elegida la cantidad deseada, se solicita al usuario que la verifique a través del envío de un SMS, en el que se incluye la posibilidad de ganar un premio. Para reclamarlo, se solicita un pago que reciben los actores maliciosos.

PROTEGERSE ANTE LOS CIBERATAQUES

Desde esta empresa especializada en soluciones de ciberseguridad insisten en que “para mantenerse protegido, hay que desconfiar y analizar cualquier actividad sospechosa, tomando las pertinentes medidas de seguridad frente a este tipo de amenazas”, en palabras de la experta en seguridad de Kaspersky, Olga Svistunova.

Por tanto, es recomendable ser cautelosos al descargar 'software' de internet, verificar que el sitio de descarga es legítimo, utilizar una contraseña fuerte y única para cada servicio y prestar especial atención a los enlaces y correos electrónicos sospechosos, aparte de utilizar una solución de seguridad.

Europa Press.

IG

Todo empezó con una advertencia del FBI de cara al viernes santo. “Evite utilizar estaciones de carga gratuitas en aeropuertos, hoteles o centros comerciales. Actores malintencionados han descubierto formas de utilizar los puertos USB públicos para introducir malware y software de vigilancia en los dispositivos. Lleve su propio cargador y cable USB y utilice una toma de corriente”, publicó en Twitter la cuenta del organismo en Denver.

Es un aviso de ciberseguridad que podría haber emitido prácticamente cualquier institución del mundo. Como cita el cuerpo de seguridad estadounidense, el uso de estos puntos de recarga está desaconsejado: para un ciberdelincuente sería posible engancharse a ellos y comprometerlos para infectar cualquier dispositivo que se conecte a continuación. La práctica se conoce como juice-jacking o “estafa del cargador” y pese a que ha sido descrita muchas veces en los últimos años, el tuit del FBI se ha viralizado hasta convertirse en uno de los más compartidos de la historia de su cuenta.

El motivo es que alrededor del comentario del FBI se ha organizado una discusión en la que están participando expertos en ciberseguridad de todo el mundo. Su debate es si esta práctica es tan insegura como se transmite normalmente al público general. “No hay ni una sola prueba documentada de que se haya comprometido algún dispositivo con juice-jacking”, es el argumento más repetido por los críticos. ¿Es posible hacerlo? Sí. ¿Se ha hecho de verdad alguna vez? La comunidad de expertos de ciberseguridad no tiene constancia de ello.

“Es posible, pero no nos consta ningún caso real o malicioso sobre este tema”, explica a elDiario.es una portavoz del Instituto Nacional de Ciberseguridad (Incibe), el organismo español encargado de promover la seguridad digital de ciudadanos y empresas privadas. Pese a ello, el Incibe también tiene un artículo sobre los “Peligros de cargar tu móvil en el aeropuerto” en el que aconseja no hacerlo: “El riesgo de robo de información es alto, ya que el ciberdelincuente puede obtener acceso a cualquier dato en nuestro móvil, como, por ejemplo, fotos, ubicación, historial de llamadas, datos de aplicaciones, archivos, información bancaria, certificados digitales…”.

“Desde el punto de vista de la seguridad física, hace unos años surgieron unos pequeños dispositivos llamados USB Killers, que tienen en su interior unos condensadores con la función de generar altas descargas eléctricas (de hasta 220V), que pueden dañar el dispositivo y dejarlo totalmente inservible”, continúa el organismo: “Los ciberdelincuentes también pueden usar un sistema de comunicación conocido como AT, que se desarrolló hace unos años para permitir la comunicación entre módem y ordenador, que permite obtener información a través de la ejecución de unos sencillos comandos, como el IMEI, el número de teléfono, la conexión actual, etc.”, añade.

Mientras las instituciones optan por matar al perro y desaconsejar el uso de cualquier punto de recarga, el debate entre los especialistas ha evolucionado en varias direcciones. Una de ellas es si merece la pena que el usuario medio se exponga a otro tipo de problemas (como quedarse incomunicado en medio de un viaje) por evitar la posibilidad real pero remota de que su dispositivo sea infectado a través de uno de estos puertos. “Mira, ¿deberías acostumbrarte a usarlos? Para estar seguro, quizá no. Pero si tu teléfono está a punto de quedarse sin batería y no llevas un cargador encima, ¿deberías preocuparte tanto por usarlo como para dejarlo morir? No hay pruebas de ello”, resumía un abogado y forense digital.

Un condón digital

“Aunque no haya un caso [de juice-jacking] conocido, yo con mi gorro de investigador en ciberseguridad tengo que recomendar que la gente no se conecte porque técnicamente es posible hacerlo”, comenta a elDiario.es Guillermo Suárez-Tangil, especialista en análisis y detección de malware inteligente del Instituto Madrileño de Estudios Avanzados (IMDEA Networks). “No me sorprendería que se pudiese explotar una vulnerabilidad en versiones de algunos sistemas operativos de Android usando estos cargadores y que lo descubriéramos pasados unos años”, afirma.

“También es cierto que a lo mejor para usuarios finales esto no es algo que les debiera preocupar tanto”, añade a continuación el experto: “Si tienes un perfil más alto sí que hay que tomar ciertas precauciones, igual que los gobiernos con los teléfonos oficiales de sus empleados públicos, pero el usuario final no tiene por qué seguir este tipo de recomendaciones tan a fondo”.

Suárez-Tangil destaca además que hay métodos relativamente sencillos para asegurar la protección del dispositivo y evitar incidentes. Uno de ellos son los conocidos como “condones USB” o data blockers, que se conectan entre al cable de carga y evitan que este se utilice como vector de infección al taponar el paso de cualquier tipo de dato. Valen menos de 10 euros, por lo que son más baratos que las baterías portátiles que suelen recomendar los organismos de ciberseguridad.

Aunque el condón evite cualquier contagio, tanto este especialista como el Incibe recuerdan que la mayoría de sistemas operativos tienen la opción de desactivar la transferencia de datos a través de cable.

Si no hay pruebas de hackeo, ¿de dónde sale el aviso?

La otra línea de la discusión abierta entre los expertos en torno al juice-jacking ha sido desentrañar por qué las instituciones de seguridad empezaron a alertar sobre esta práctica. Lo que han descubierto es que al final de esa cadena no hay nada.

“Un agente del FBI me dijo que la advertencia de la oficina de Denver estaba basada en información de la FCC [la Comisión Federal de Telecomunicaciones estadounidense]”, revela en Mastodon Dan Goodin, editor de ciberseguridad de Ars Technica. “Un portavoz de la FCC me dijo que su información provenía de un artículo del 2019 de New York Times. Ese artículo citaba una advertencia de la oficina del fiscal de Los Ángeles, que fue retirada en diciembre de 2021, un par de semanas después de que se informara que los funcionarios de la oficina del fiscal no tenían casos y no podían confirmar que esto sucediera”.

“Sigo siendo escéptico de que el juice-jacking sea una amenaza en absoluto. ¿Qué pruebas hay que demuestren lo contrario?”, insistía Goodin: “Si puedo infectar tu dispositivo engañándote para que lo conectes a mi cable de alimentación trampa, me parece que tengo un 0day muy valioso que los fabricantes de dispositivos Apple y Android querrían parchear de inmediato. ¿Cómo es posible que esta amenaza haya existido durante tantos años sin ningún parche?”, se preguntaba.

Este es otro de los argumentos de los críticos. Un hacker que descubriera un agujero de seguridad de este tipo podría rentabilizarlo mucho más fácilmente comunicándoselo a las propias empresas afectadas que intentando ciberatacar indiscriminadamente a otros usuarios. El motivo es que si los ciberdelincuentes tendrían un método para colarse en los dispositivos de los usuarios sin ser detectados. Es decir: un malware desconocido por los fabricantes de Android y por Apple capaz de infectar sus teléfonos.

Esa información valdría mucho dinero. Todas las grandes tecnológicas tienen programas para recompensar a las personas que encuentran y notifican brechas de seguridad. Dependiendo de su gravedad, pueden llegar a pagar sumas muy altas. Tampoco hay noticias de que un hacker haya cobrado una recompensa por un descubrimiento de este tipo.

Google comenzó a implementar para algunos usuarios una nueva funcionalidad centrada en la seguridad que consiste en desenfocar automáticamente y de forma predeterminada las imágenes explícitas de los resultados de búsqueda.

Actualmente, la compañía dispone de un filtro denominado SafeSearch que sirve para evitar todas las imágenes que contengan material sexual explícito, como la pornografía, así como imágenes sangrientas y violentas. Este filtro se aplica de forma automática en cuentas de usuarios menores de edad, esto es, supervisadas por adultos.

Esta característica está disponible tanto en Android como en iOS y en la versión de Escritorio de Chrome, y es opcional en las cuentas para adultos, de modo que el administrador de la cuenta de Google desde la que se realiza la búsqueda puede activarlo o desactivarlo, según sus necesidades.

Además, cuando está activado no solo se limita a imágenes, sino que esta herramienta también ayuda a filtrar vídeos y páginas web que incluyan este tipo de contenido dañino. En caso de estar desactivado, el buscador proporciona los resultados más relevantes para la búsqueda, lo que puede incluir dicho contenido explícito.

La compañía ha determinado ahora que implementará este filtro de forma predeterminada para todos los resultados de búsqueda de Google, también en cuentas de Gmail de adultos, independientemente de si se ha activado o no SafeSearch, tal y como ha adelantado en un comunicado.

Google dio a conocer esta novedad en el marco del Día de la internet segura, y explicó que desenfocará automáticamente todas las imágenes explícitas. Asimismo, la empresa comentó que solo los usuarios que utilicen cuentas no supervisadas podrán deshabilitar esta configuración, de modo que los usuarios que sean menores de edad no podrán desactivar este filtro.

Junto con esta funcionalidad, la compañía anunció la introducción de nuevas funciones de personalización enfocadas a la seguridad. Es el caso de la opción de la autenticación biométrica antes de completar la contraseña guardada, que también se puede utilizar para copiar o editar de forma segura las contraseñas guardadas con Google Password Manager en Chrome y Android sin tener que escribir la contraseña del administrador cada vez que se solicite.

Por otra parte, Google señaló que “pronto” los usuarios de iOS podrán configurar Face ID para proteger la privacidad de su aplicación de Google para que esta no se pueda abrir ni mostrar sus datos desde otro dispositivo.

Europa Press.

IG

Mensajes que suplantan a entidades legítimas, robo de contraseñas o redes wifi trampa son solo algunos de los “ciberproblemas” que podemos tener en la red. Desde 1988, cada 30 de noviembre se celebra el Día Internacional de la Seguridad de la Información y el usuario es el primer eslabón de la cadena protectora.

Esta iniciativa surgió de la asociación internacional de profesionales, investigadores y formadores de informática “Association for Computing Machinery (ACM)”, con el objetivo de realizar acciones conjuntas desde instituciones y el mundo educativo y empresarial para concienciar de la importancia de proteger la información en la red.

Y es que, señaló a EFE Ruth García Ruiz, del Instituto Nacional de Ciberseguridad (Incibe), en España, la colaboración de todas las entidades “nos hace más fuertes” para lograr el objetivo de llegar a todos los ciudadanos y dar a la ciberseguridad el lugar que se merece: “hoy es fundamental y lo seguirá siendo porque cada vez estaremos más conectados y seguirán apareciendo nuevas tecnologías”.

Los ciberdelincuentes se encuentran siempre al acecho de nuevas formas con las que atacar a los internautas aprovechándose del desconocimiento o vulnerabilidades en sus defensas, y sus objetivos son muchos y pueden tener distintas consecuencias para el usuario.

El internauta doméstico y el empleado es el primer eslabón de la cadena protectora y el sentido común y un aprendizaje básico sobre los principales ciberataques y fraudes que circulan por internet es clave.

EL ABECÉ DE LA CIBERSEGURIDAD

Los ciberdelincuentes se sirven de distintas herramientas para robar credenciales o tomar el control de nuestros dispositivos, por eso es fundamental, apuntó Ruth García, tener los móviles, las tabletas o los portátiles bien protegidos -con antivirus- y las aplicaciones, navegadores o los sistemas operativos correctamente actualizados.

“Actualizar, actualizar, actualizar. Siempre tener tanto los sistemas operativos como los programas o aplicaciones actualizados -aunque se usen poco-. Los ciberdelincuentes se aprovechan de agujeros de seguridad para colarse en nuestro ordenador y dispositivos sin que nos demos cuenta”, coincidió Luis Corrons, de la empresa Avast.

Hay que tener cuidado con las conexiones a las que nos conectamos, especialmente con las redes WIFI, sobre todo si son abiertas, ya que son muy vulnerables: hay que evitar hacer cualquier tipo de transacción en la que haya intercambio de información privada.

Y también para aquellos que tengan un rúter hay revisar la configuración, aconseja García, técnica de ciberseguridad para ciudadanos en Incibe.

Corrons añadió además la utilización de un gestor de contraseñas: con un poco de suerte, relató a EFE, en no mucho tiempo podremos ir eliminando el uso de estas, pero mientras llegue ese momento lo más importante es no utilizar las mismas en diferentes servicios.

“Igual que usamos llaves diferentes hay que usar claves diferentes”, resumió García.

123456, LA CONTRASEÑA MÁS USADA EN ESPAÑA O EN MÉXICO

Pero además de no reutilizarlas en múltiples servicios, hay que aplicar medidas adicionales de seguridad, como por ejemplo evitar las contraseñas débiles: en 2022 la más común en España, Colombia, Chile o México fue 123456 (tiempo para descifrarla, menos de un segundo), mientras que en EE.UU. fue “guest” (un ciberdelincuente tardaría 10 segundos en averiguarla), según el último informe de NordPass.

El experto de Avast añadió que el doble factor de autenticación también es fundamental: aunque roben nuestras credenciales tenerlo activado puede “proteger nuestras cuentas de los amigos de lo ajeno”.

Y otro consejo, desconfiar. Corrons, “Security Evangelist” de Avast, detalló que muchos ataques se basan en las conocidas como “técnicas de ingeniería social”, donde los delincuentes tratarán de engañarnos para que les demos acceso a nuestra información.

Según el Risk Report de esta compañía, de media, los usuarios domésticos de todo el mundo tienen un 29,25 % de posibilidades de encontrarse con una ciberamenaza, mientras que los usuarios empresariales de todo el mundo un 15,10 % de posibilidades

Las recomendaciones para una empresa segura son en parte parecidas. Y es que la primera barrera para que el ataque no afecte al sistema es el propio empleado o usuario. Según datos del grupo Innovery, el 85 % de los ataques actuales contra activos digitales es consecuencia del error humano.

Por eso, recalcaron desde la empresa tecnológica Datos101, los trabajadores deben estar informados y formados, los equipos actualizados, las contraseñas deben ser indescifrables y los dispositivos extraíbles; en un comunicado apuestan, además, por la realización de copias de seguridad.

Con información de EFE.

IG

El 30 de noviembre se celebra el Día Internacional de la Seguridad Informática, que viene del inglés Computer Security Day. En 1988, la Asociación de Maquinaria Computacional (ACM, del inglés Association for Computing Machinery) creó esta efeméride, con el objetivo de generar conciencia sobre los ciberataques y ciberdelitos alrededor del mundo.

Esto fue como consecuencia del primer caso de malware que se registró en el mundo, conocido con el nombre de “Gusanos de Morris”, el cual afectó al 10% de las maquinas conectadas a Internet en aquel entonces, llamada Aparnet. Por eso, con la fecha les recuerda a los usuarios la obligación y necesidad que tienen de proteger sus datos ante cualquier tipo de acción corrupta en el plano digital.

A medida que crece la digitalización, también evolucionan los ciberataques: son cada vez más sofisticados y a mayores niveles de alcance, por lo que amenazan a todo aquel que esté conectado al Internet, poniendo en peligro la privacidad de millones de usuarios. Un informe de Defensa Digital de Microsoft reveló que tan solo en el último año el número estimado de ataques de contraseña por segundo aumentó en un 74%.

En los últimos años, el panorama de ciberamenazas ha cambiado mucho más allá de lo imaginable. Hemos sido testigos de la evolución de estos peligros que afectaron a millones de personas y lograron recaudar millones de dólares con ataques como: WannaCry, Stuxnet, NotPeyta, entre varios otros. Hoy en día, la población en general está en condiciones de ser víctima ante diversos ciberdelitos.

Como los ciberataques se han vuelto cada vez más diversos, sofisticados y variados, y hoy tienen distintos nombres dependiendo del tipo de ataque: phishing, malware, ransomware, webs falsas, etcétera. Es así que las brechas de seguridad no solo han afectado al usuario final, sino también a empresas e incluso entidades gubernamentales.

Por eso, es importante adquirir conocimientos para evitar estos ataques, contar con software integrado por componentes que trabajen en prevenir y detectar amenazas para poder reaccionar a tiempo y saber cómo actuar para evitar un mayor alcance de las ciberamenazas.

5 consejos para la seguridad digital en Internet

LC

Especialistas y aficionados en ciberseguridad viajaron a bordo del “trencito de la alegría hacker” por las calles de la Ciudad de Buenos Aires, para detectar las vulnerabilidades en las redes wifi del hogar, corporativas y públicas. Lo hicieron ayer miércoles, en el marco de la décimo octava edición de la Ekoparty, la convención de hackers más grande de habla hispana.

El “trencito de la diversión” partió a las 15 horas desde el Centro de Convenciones Buenos Aires (CEC)en Av. Figueroa Alcorta al 2099, al ritmo de la música, luces de colores y muñecos de minions bailando. Al mismo tiempo, hackers, estudiantes de informática y ciberseguridad miraban sus pantallas y controlaban las antenas.

La experiencia llamada “Wardriving” es la búsqueda de redes inalámbricas desde un vehículo en movimiento, desde donde se evalúan cuáles son sus protocolos de contraseñas que se usan. Luego, realizarán un mapeo demográfico de la seguridad en las redes de Buenos Aires, detalló a Télam Agustín Osorio, coordinador del wardriving de Ekoparty.

El coordinador explicó: “Es una actividad no disruptiva, es decir, solo vemos el nombre de las redes de la ciudad y el protocolo de seguridad que están utilizando, no capturamos información sensible de ningún tipo, ni entramos a las redes, es decir, no vamos a hackear nada”. Osorio agregó que cualquiera puede participar, y que los requisitos técnicos son una computadora que tenga “algún sistema embebido que permita reconocer los procesos y un software adecuado” o un teléfono que pueda descargar una aplicación llamada Wiggle.

Los protocolos de protección de las redes wifi son el “open, o red abierta, más conocida como OPN, que es la que utilizan los aeropuertos, los bares, y que te conectas sin contraseña. Luego le siguen las WAP que es un protocolo muy anticuado y que ya no está casi en uso, porque es muy sencillo hackaerlo”, y los más recientes y seguros son WAP2, y WAP3, explicaron los coordinadores del evento.

En el último asiento, se encontraba sentado Horacio Deliavali, analista informático de 22 años, quien dijo a Télam estar ahí porque “quería vivir la experiencia”. Sostenía su celular, donde se podían ver 3.000 redes wifi, algunas con candados verdes que verifican su seguridad, otras con color rojo para denotar lo fácil que pueden ser hackeadas, y su nivel de alcance a medida que el tránsito se mueve. El joven recomendó: “No conectarse a una red pública para no hacer transacciones que sean sensibles, como ingresar al homebanking, y si se hace utilizar programas llamados VPN que bloquean los datos que uno usa”..

A su lado viajaba su amigo de 26 Ricardo Pacheco, quien estudia ingeniería informática y trabaja como soporte técnico. “Me interesa lo que es la ciberseguridad y por eso venimos a ver de qué trata el evento”, mencionó, y contó que tuvo una vez que hackear una computadora porque la persona se olvidó la contraseña. “Si usas una red pública estás bastante expuesto, pueden entrar hasta a leer los mails de tu trabajo”, indicó.

Danilo Berazo y su novia Joe Anteño de 26 y 28 años, ambos de nacionalidad ecuatoriana, viajaban sentados con una antena conectada a su notebook viendo cómo aparecían en la pantalla las redes wifi, mientras un personaje de la película Minions bailaba en el medio del trencito al ritmo de la música reggaetonera. “El objetivo de esto es ver si podes obtener la clave de la red wifi. Muchas veces buscas modelos de router en Internet y te salen las claves por defecto del modelo, entonces vas probando la combinación y quizás en segundos podes quedarte con el acceso de esa red”, comentó Berazo.

El joven estudió programación, pero se define como un “autodidacta” y “gran aficionado”, aunque actualmente hace ethical hacking, que significa que las empresas lo contratan para hackear su propio sistema para corroborar su seguridad, habiendo firmado un contrato de confidencialidad. “Es como contratar a un ladrón que entre a tu casa pero que no te va a robar de verdad, sino que te dice 'mira, puedo entrar por acá'”, bromeó.

Lo que realizan “los hackers malos”, agregó, es duplicar los nombres de los wifi y que “todo el tráfico de información de la gente pase por su servidor”, obteniendo así las claves de tarjetas de crédito si es que se hicieron transacciones desde los teléfonos, además de las fotos y vídeos que se envían.

David (28) y Yasmin (27) viajaron desde Chile para participar del evento. De todos los participantes del recorrido, ellos alcanzaron a localizar 6.800 redes wifi, 2.000 de ellas de dispositivos como tablets o celulares, gracias a sus dos antenas conectadas a la computadora, que tienen un amplio alcance. “Si algo he aprendido, es que todo se puede hackear”, aseguró la joven que estudió ingeniería y conectividad en redes. David recordó que hace unos años intentaron hackearle el teléfono, y que pudo ver el origen la conexión, logrando “hackear al que lo estaba hackeando”.

“Esta actividad se hace desde hace 15 años, y con el tiempo fuimos descubriendo qué tanto tardamos y cuánta importancia le damos a la adaptación de las tecnologías y seguridades de web. En Argentina se está mejorando pero va a un ritmo lento y descuidado, ya que, al consumidor promedio no le importa o no se queja hasta que no le ocurre algo; y el proveedor tiene que invertir mucho dinero en tecnología nueva”, detalló Osorio.

Recomendaciones para mayor ciberseguridad

Para preservar la ciberseguridad, Osorio recomendó generar contraseñas “seguras”, lo que significa que deben tener un mínimo de 12 caracteres, con mayúsculas, minúsculas, y algún punto. Es importante no conectarse a redes wifi públicas, “porque si hay una persona maliciosa conectada a la misma red, puede escanear el tipo de información que estás utilizando y capturar contraseñas”.

El organizador hizo hincapié en que habría que “concientizar al usuario de lo que puede generar usar estas redes, o indicarle que 'no nos hacemos cargo de que te roben información cuando estés conectado a esta red', lo que es un anti marketing”, indicó. En esta edición que duró un poco más de una hora, se recorrieron las zonas de Barrio Norte, Palermo Chico, Puerto Madero y la Avenida 9 de Julio.

LC con información de agencia Télam

Uber sufrió un ciberataque durante la madrugada de este viernes. Un actor externo consiguió introducirse en sus sistemas y filtró información confidencial de la empresa, como sus datos financieros. El atacante, según reconoció él mismo al New York Times, es un joven de 18 años.

La compañía reconoció haber sufrido un “incidente de ciberseguridad” pero por el momento no dio más detalles. “Estamos en contacto con las fuerzas de seguridad y publicaremos actualizaciones adicionales cuando estén disponibles”, comunicó en su cuenta de Twitter.

Según explicaron varias fuentes al citado medio, el joven habría logrado infiltrarse en los sistemas de Uber gracias a un ataque de ingeniería social contra uno de sus empleados. La vía de entrada habría sido el Slack de la compañía, que sus trabajadores utilizan para comunicarse, desde donde habría saltado a sus sistemas internos.

Una vez dentro el atacante publicó el siguiente mensaje, detallaron el resto de empleados: “Anuncio que soy un hacker y Uber ha sufrido una violación de datos”. El atacante publicó pruebas de su acceso con pantallazos del panel de administración de la compañía o su instancia de Amazon Web Services (AWS), que es quien le proporciona los servicios para operar en la nube.

Una vez dentro, el joven se puso en contacto con el New York Times y con varios investigadores especializados en ciberseguridad. La compañía reaccionó desconectando todos sus sistemas de comunicaciones internos y su plataforma de ingeniería.

Por el momento no hay información que apunte a que el atacante haya filtrado datos personales o bancarios de los usuarios de Uber.

El 23 de agosto celebra el Día del Internauta, jornada que conmemora cuando el ingeniero británico Tim Berners-Lee lanzó en un día como hoy pero de 1991, , bajo las siglas de el primer servidor web de la historia, bajo las siglas www (World Wide Web). Creado en Suiza en los laboratorios CERN, la innovación le dio el título de una de las 100 personas más importantes e influyentes del siglo XX.

Un internauta es una persona que se conecta a través de Internet al ciberespacio. Este medio se ha convertido en la principal herramienta tecnológica usada por millones de personas en todo el mundo. Se estima que existen unos 4660 millones de usuarios de Internet en todo el mundo, más de la mitad de la población mundial.

En la Argentina, hay 36,32 millones de internautas, lo que representa el 80% de la población. La gran mayoría usa activamente redes sociales como Facebook, TikTok, Instagram o YouTube, y se calcula que los argentinos pasamos 9 horas y 39 minutos por día conectados a la red.

Claves para navegar seguros

Al ser una herramienta de uso cotidiano, los riesgos de ser víctima de un ciberataque son cada vez mayores. En el segundo trimestre de 2022, se produjo un pico histórico de ciberataques, los cuales aumentaron un 32% en comparación con el segundo trimestre de 2021. Entre los mayores peligros, está el malware, una variedad de software malicioso, y el phishing, una técnica que usan los ciberdelincuentes para obtener información confidencial de forma fraudulenta y así apropiarse de la identidad de sus víctimas.

Para poder navegar seguros y minimizar los riesgos, se recomienda visitar únicamente páginas web seguras, comprobando que esta siga con el protocolo de seguridad https: en la URL. Es importante también instalar siempre las actualizaciones para estar al día con los parches de seguridad de los desarrolladores, como también proteger los dispositivos con software de seguridad, siempre descargando aplicaciones de tiendas oficiales. Por último, es primordial no emplear el mismo usuario y contraseña en los servicios online que tenemos.

LC

El hombre atendió el teléfono y del otro lado de la línea, una persona muy amable le ofreció un turno para el refuerzo de la vacuna de Covid-19. “Buenos días, lo llamo del Ministerio de Salud. Para confirmar su turno, por favor, envíenos el código de seis dígitos que le llegará por mensaje de texto a su celular”. El hombre, un alto funcionario del Poder Judicial de la Nación, preguntó porque no le enviaban la notificación a través de la aplicación, le respondieron que no funcionaba bien. Aceptó la propuesta y compartió el código que recibió por SMS para confirmar su turno. Fue en ese momento cuando le sustrajeron la línea de WhatsApp y le escribieron a sus contactos para pedirle dinero. Algunos cayeron. La excusa: “El home banking no me funciona y necesito hacer una transferencia ahora. ¿Podrás mandar 70.000 pesos a una cuenta y te lo doy más tarde?”

La escena se repitió con frecuencia en las últimas semanas. El robo de cuentas de WhatsApp para después pedir dinero a los contactos creció de manera significativa a través de falsos llamados para informar sobre turnos de vacunación. La Unidad Fiscal Especializada en Ciberdelincuencia (UFECI) emitió un comunicado en el que alerta sobre esta modalidad delictiva. “Con la excusa del turno, te toman el WhatsApp porque ese código que mandás es el de activación de la aplicación. Una persona ingresa tu número en otro celular y con el código lo habilitan. Empiezan a escribir haciéndose pasar por vos, les piden plata o les ofrecen cambiar dólares. Es algo que pasa todos los meses, pero ahora que está dando vuelta la campaña de la cuarta dosis, vuelve a crecer. Siempre tienen excusas, si no es la vacunación puede ser otra cosa. El tema principal es que cuando recibís un mensaje de texto, te advierte que no compartas ese código, pero la gente no lo lee y lo comparte igual”, explicó el titular de la fiscalía especializada, Horacio Azzolín, a elDiarioAR.

Para evitar esta estafa, la recomendación es nunca entregar ese código a un desconocido y activar el segundo factor de autenticación de WhatsApp. “Eso hace que aunque te saquen el código, no puedan habilitar la línea en otro teléfono porque le falta el PIN, que es el segundo factor”, agrega Azzolín.

Pero esta no es la única modalidad para robar la línea de la aplicación. El periodista de este diario Alejandro Rebossio contó el engaño que sufrió días atrás. “Entró un llamado por línea telefónica de un número extraño 18-607-242-481 con el logo de la app CuidAr. Dijeron que llamaban por el turno de la vacuna. El tipo me siguió preguntando sobre mi contagio hasta que le dije que no tenía más tiempo para hablar porque debía seguir trabajando. No me pidió ningún dato, ni le di ninguno. Cuando terminé el llamado, ya no pude acceder a mi Whatsapp”. 

Alejandro no les dió el código, sin embargo pudieron robarle la línea. ¿Cómo es posible?.

“Mientras te hablan, intentan dar de alta tu Whatsapp en un aparato de ellos y entonces el servicio de mensajería automática te manda un SMS con el código.Mientras te siguen hablando, te llaman desde otra línea, salta el buzón de voz y así te hackean el teléfono y consiguen el SMS con el código. Si no tenés la verificación de dos pasos, como yo, entonces pueden acceder a tu Whatsapp”, explicó. Alejandro pudo bloquear su Whatsapp, pero los estafadores habían exportado sus contactos y su foto de perfil y habilitaron una nueva cuenta de WhatsApp con otro teléfono desde donde seguieron pidiendo dinero. Bloquearon la nueva línea y habilitaron otra. 

Esta no es la primera vez que los delincuentes aprovechan la implementación de una política pública para realizar estafas. Pasó con el IFE y con el Censo, entre otras. “Cada vez que empieza una campaña estatal empiezan a llamar. Si la gente no le diera el código y tuviese el segundo factor activado, no pasa nada. Es una clave extra, un PIN. Los ladrones tienen que tener el código de activación y el PIN, es una capa de seguridad más. Hay que estar alertas porque el discurso puede ir cambiando. Es bastante cíclico. A veces, lo consiguen en el marco de una operación de compra/venta. Si tenés algo ofrecido en Mercado Libre o Market Place, te llama un interesado y te dice que te manda un auto a retirar el producto por tu casa y te dice que te va a mandar un código de seguimiento del remis. Después te lo pide para chequear y ahí lo consiguen”, explicó Azzolin.

¿Cómo protegerse de estas estafas?

Es fundamental establecer la “verificación en dos pasos”. Se hace desde la aplicación, en la sección “Cuenta”, ubicada dentro de la sección “Ajustes” o “Configuración”. De esta manera, además del código, será necesario un PIN. En caso de recibir un mensaje de WhatsApp proveniente de un abonado telefónico desconocido, es aconsejable bloquear y reportar al usuario a través de las opciones que aparecerán en pantalla

Se investiga quiénes están detrás de estas estafas. Se presume que tienen acceso a algún tipo de base de datos con nombre del titular de la línea y su contacto. Se necesita más de una persona para poder realizarlo: una para que realice el llamado, otra con un dispositivo extra para acceder a WhatsApp y otras para que hagan el movimiento de extracciones en efectivo o transfieran a distintas cuentas para desviar el dinero y que sea irrastreable. Meses atrás, el engaño consistía en ofrecer a los contactos dólares a precios muy bajos y que el comprador deposite los pesos a través del CBU tradicional o un CVU (una clave virtual única).

“Hay algunas organizaciones, algunas asociadas a las cárceles. También hay grupos que tienen un nivel de organización, tienen una especie de call center y son locales. Hay mucho know how que se pasa, es una modalidad que se va pasando de boca en boca y que ya hay mucha gente que lo hace. Es lo mismo que cuando hacían los secuestros virtuales, había muchos grupos que se dedicaban a eso porque el know how de como hacerlo es bastante fácil, no necesitás demasiada sofistificación”, explica Azzolin. 

Ya son varias las personas públicas que fueron víctimas de este engaño, entre ellas el periodista Santiago O'Donnell y la exdiputada Cynthia Hotton.

CDB/MG

Como cada primer jueves de mayo se celebra el Día Mundial de la Contraseña y se aprovecha para recordar la importancia de tener una contraseña segura para todas sus cuentas. El Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido reveló que 23 millones de personas en todo el mundo usaban la contraseña “123456”.

Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder mundial de ciberseguridad, está creando conciencia sobre los errores más comunes que cometen los usuarios al crear y administrar contraseñas, ofreciendo consejos prácticos sobre cómo mantener protegidos los datos privados.

No se puede pasar por alto la importancia de tener una contraseña segura con la cantidad de aplicaciones y servicios que un individuo utiliza día a día. Sin mencionar el hecho de que muchas empresas ahora están permitiendo a sus empleados conectarse a la red corporativa en dispositivos personales para ofrecer una mayor flexibilidad.

Como resultado, estos dispositivos actúan como una puerta de entrada, lo que significa que los hackers oportunistas pueden aprovechar un endpoint vulnerable para robar datos confidenciales tanto personales como profesionales almacenados en la infraestructura de la empresa.

“Diariamente vemos que ciberdelincuentes intentan robar contraseñas de cientos de usuarios, utilizando técnicas como phishing en correos electrónicos que les permiten vulnerar servicios y robar credenciales. Mientras que los métodos cambian de forma constante y las amenazas continúan evolucionando, todavía hay formas en que podemos mantener nuestros datos protegidos.

Sugerimos a todos aprovechar el Día Mundial de la Contraseña como una oportunidad para reevaluar la solidez de nuestras contraseñas y reforzar nuestros esfuerzos en ciberseguridad, ya que servirá para disuadir a los ciberdelincuentes de obtener acceso a su información y sus dispositivos“, dice Alejandro Botter, gerente de ingeniería de Check Point para el sur de latinoamérica

Las cinco prácticas principales que se deben aplicar para crear una contraseña sólida y segura:

NB

El grupo de ciberdelincuentes Lapsus$ es uno de los más activos y peligrosos que operan en este momento. Violó la ciberseguridad de multinacionales tecnológicas como Microsoft y su rastro pasa por múltiples administraciones públicas y gobiernos. Es muy agresivo, con ataques como el que tumbó toda la red de Vodafone en Portugal, que llegaron a calificarse de “acto terrorista” por dejar incomunicados a servicios de emergencia, bomberos, los principales bancos y millones de ciudadanos. Este jueves la policía británica detuvo a siete adolescentes por su relación con estos hechos.

Las autoridades británicas no confirmaron si entre ellos se encuentra A.K., un joven de 16 años que en las últimas horas había sido señalado por múltiples investigadores de ciberseguridad como el cerebro detrás de Lapsus$, así como por hackers rivales.

Una de las primeras en apuntar que un adolescente podía ser una de las personas clave de este grupo cibercriminal fue la empresa española Quantika14. Esta firma de análisis forense digital y peritaje informático pudo rastrearlo gracias a un conflicto interno en Lapsus$, durante el cual varios de sus miembros se atacaron entre ellos y dejaron pistas que permitieron a los investigadores comenzar a seguir sus huellas. Como documentó Quantika14 el 9 de marzo, una de las personas que estaba detrás de Lapsus$ era A.K., de 16 años.

“Es un adolescente que vive en el Reino Unido pero que viene de Albania”, explicaba a elDiario.es el director de Quantika14, Jorge Coronado, en la mañana de este jueves, antes de que se produjeran las detenciones. Fuera de Internet, A.K. es un joven al que le gusta ir a pescar con su tío. En la red, era una de las voces cantantes de Lapsus$. “Hay muchos indicios de que es su líder”, aseveraba Coronado.

En las últimas horas esa batalla entre ciberdelincuentes escaló y derivó en la publicación de todos los datos personales de A.K. en Internet. Su conflicto con otros hackers rivales lo convirtió en objetivo de un doxing, un tipo de ciberataque basado en la revelar en Internet toda la información privada de una persona. El joven vio sus datos expuestos en un página web que se dedica a publicar este tipo de ataques. Su reacción fue intentar comprar la web y destruirla. El dueño le engañó, cogió el dinero pero mantuvo el doxing contra A.K.

“Este muchacho empezó a relacionarse con diferentes personas que se dedican a atacar a otras empresas. Termina ganando muchísimo dinero pero también muchos enemigos”, continúa el director de Quantika14. Según comunicó la policía británica a la BBC, su fortuna ascendía ya 10 millones de euros. “Cuando se publica el doxing sobre él nos damos cuenta de que el muchacho está viviendo una situación bastante complicada. No me extrañaría que de la misma forma que lo están buscando grandes empresas y sus investigadores, le busque también la mafia”.

“Se ha convertido en un objetivo ahora mismo, tiene bastante dinero. Se comenta, y a mi no me extrañaría nada porque he analizado sus redes sociales de arriba a abajo, que tenga algún tipo de Asperger”, continuaba Coronado. La BBC indica que era autista. Su padre narró a la cadena pública británica que la familia “estaba preocupada por él e intentó alejarlo de los ordenadores”.

El cerco contra el joven se había estrechado por más flancos. Cuatro investigadores de ciberseguridad independientes que trabajan para las empresas hackeadas por Lapsus$ habían señalado a Bloomberg que también habían identificado a A.K. como “la mente maestra” detrás del grupo de cibercriminales más buscado. Encontraron las mismas evidencias forenses que Quantika14: adolescente, 16 años, residente en Oxford, en la casa de sus padres..

Las fuentes en contacto con el medio estadounidense apuntan que la evidencia forense relaciona al adolescente con algunos de los principales hackeos llevados a cabo por Lapsus$, pero no con todos. Los investigadores adelantaban que hay hasta ahora siete personas diferentes que participaron en las acciones de la banda. Al menos uno de los seis restantes sería otro adolescente brasileño. Brasil y Reino Unido fueron las dos primeras áreas donde Lapsus$ comenzó a atacar objetivos locales antes de pasar a las grandes ligas y hackear a multinacionales como Microsoft o Nvidia.

A.K. tenía a múltiples investigadores pisándole los talones. “Tenemos su nombre desde mediados del año pasado y lo identificamos antes del doxing”, dijo a la BBC Allison Nixon, jefe de investigación de la empresa de investigación de ciberseguridad Unit 221B. “Unit 221B, en colaboración con [la empresa de ciberseguridad] Palo Alto, tras identificar al actor, vigiló sus movimientos a lo largo de 2021, enviando periódicamente a las fuerzas de seguridad un aviso sobre los últimos delitos”.

Desconcertaban a los investigadores

El modus operandi de Lapsus$ había desconcertado a los especialistas en ciberseguridad, que estudiaban sus ataques desde hace meses. “No parecen cubrir sus huellas. Llegan a anunciar sus ataques en las redes sociales o a anunciar su intención de comprar credenciales a los empleados de las organizaciones objetivo”, exponía Microsoft este miércoles en un comunicado en el que reconocía que miembros de la banda se habían colado en sus sistemas.

Una de las especialidades de Lapsus$ era hacerse con identificaciones oficiales de los trabajadores de las empresas a las que pretendían atacar, ya fuera sobornándoles o mediante el engaño. “Sus tácticas incluyen la ingeniería social basada en el teléfono; el intercambio de SIM para facilitar la toma de posesión de cuentas; el acceso a las cuentas de correo electrónico personal de los empleados de las organizaciones objetivo; el pago a los empleados, proveedores o socios comerciales de las organizaciones objetivo para acceder a credenciales y aprobar la autenticación de múltiples factores (MFA); y la intromisión en las llamadas de comunicación de crisis en curso de sus objetivos”, resume Microsoft.

Además de contra Microsoft y Nvidia, Lapsus$ reivindicó ciberataques exitosos contra Samsung o Ubisoft. En España, Telefónica fue uno de sus objetivos. Sin embargo, uno de las acciones que despertó más preocupación entre los investigadores fue el hackeo de Okta, una empresa especializada en dar servicios de identificación a empleados de otras compañías. Con acceso a sus sistemas, los ciberdelincuentes pueden comprometer saltar a las redes de cientos de sus clientes.

Okta negó en un primer momento que Lapsus$ se hubiera infiltrado en su estructura, para terminar reconociendo este miércoles que un ciberataque ha afectado a una parte de sus clientes (hasta 400). “Tras un análisis exhaustivo, hemos llegado a la conclusión de que un pequeño porcentaje de clientes —aproximadamente el 2,5%— se ha visto potencialmente afectado y cuyos datos pueden haber sido vistos o manipulados”, afirmó su jefe de seguridad en un comunicado.

CC

La carrera cuántica preocupa a la NSA. “El impacto del uso de un ordenador cuántico por parte de un adversario podría ser devastador para los Sistemas de Seguridad Nacional y nuestra nación”, señala un documento de preguntas y respuestas sobre esta tecnología publicado esta semana por la Agencia Nacional de Seguridad (NSA, por sus siglas en inglés) de EEUU, la misma que protagonizó un escándalo internacional de primer orden cuando su exanalista Edward Snowden reveló su pacto con las principales multinacionales tecnológicas para espiar a ciudadanos, empresarios y líderes políticos de todo el mundo.

La computación cuántica es uno de los mayores desafíos que están intentando desentrañar ingenieros, matemáticos y físicos en la actualidad. Si los ordenadores tradicionales funcionan a través de bits, pulsos eléctricos u ópticos que representan unos y ceros (encendido y apagado), un ordenador cuántico funcional se basaría en bits cuánticos o cúbits: partículas subatómicas con capacidad de estar en múltiples estados a la vez, por lo que pueden representar un gran número de combinaciones de unos y ceros al mismo tiempo.

Es incluso más complicado de lo que suena. Por eso, buena parte de la comunidad científica opina que el esfuerzo y los miles de millones que están invirtiendo IBM, Google o Microsoft en investigar esta tecnología terminarán cayendo en saco roto. Aún así, la inmensa mayoría asume que merece la pena el intento: mediante los cúbits, los ordenadores cuánticos podrían ser mucho más efectivos que los supercomputadores actuales a la hora de ofrecer múltiples soluciones a la vez para un mismo problema. Esto sería extraordinariamente útil para hacer simulaciones, herramienta básica en muchas investigaciones científicas actuales.

La química, el diseño de materiales o la optimización de procesos podrían ser los primeros campos beneficiados de la computación cuántica. No obstante, a la vez que los países y empresas que investigan esta tecnología han ido consiguiendo hitos necesarios para hacerla viable, ha ido creciendo el miedo a uno de sus potenciales usos. Un ordenador cuántico también sería muy efectivo para resolver problemas criptográficos, la piedra angular de la actual seguridad digital. Podría ser capaz de atacar cualquier sistema y romperlo con fuerza bruta informática.

“Los Sistemas de Seguridad Nacional —sistemas que transportan información militar o de inteligencia clasificada o de otro tipo— utilizan la criptografía como un componente crítico para proteger la confidencialidad, integridad y autenticidad de la información de seguridad nacional”, destaca la NSA. “Sin una mitigación eficaz”, advierte, esos sistemas estarían a merced de cualquier país o grupo cibercriminal con capacidad de emplear la computación cuántica contra ellos.

La NSA no sabe cuándo, ni siquiera si, existirá un ordenador cuántico de tamaño y potencia suficientes para vulnerar la criptografía

La criptografía actual se basa en utilizar las matemáticas como barrera de protección. Un ordenador convencional podría pasarse cientos de años haciendo cálculos para hallar la combinación con la que penetrar este muro lógico. En la práctica, esto hace que un buen cifrado sea impenetrable con los métodos actuales. El riesgo es que los ordenadores cuánticos puedan llevar a cabo esos cálculos mucho más rápido y la criptografía deje de ser una protección fiable.

La agencia de espionaje estadounidense reconoce que “la NSA no sabe cuándo llegará, ni siquiera si llegará a existir un ordenador cuántico de tamaño y potencia suficientes para vulnerar la criptografía”. Los científicos creen que el primer prototipo podría tardar décadas. No obstante, la NSA considera que la sola posibilidad de que la tecnología se haga realidad es una amenaza de primer orden. Si bien las multinacionales americanas han sido relativamente transparentes con sus descubrimientos y han publicado estudios para su análisis por la comunidad científica internacional, países como China, que también investiga el potencial de esta tecnología, se han prodigado mucho menos en los avances de su investigación.

Computación cuántica ofensiva

El documento de la agencia estadounidense trata la computación cuántica desde una perspectiva defensiva. La NSA también es la encargada de desarrollar los protocolos de protección informática de los sistemas de seguridad nacional de EEUU y ya tiene en marcha un plan para una situación “postcuántica”. Asegura que ya está preparada para resistir un potencial ataque basado en cúbits.

Pero la NSA no solo piensa en la computación cuántica como amenaza, sino también como método de ataque. Documentos suministrados por Snowden en 2014 revelaron que la entidad había invertido 80 millones de dólares en un programa para crear “un ordenador cuántico criptológicamente útil” con el que “descifrar la mayoría de los tipos de encriptación”, publicó entonces el Washington Post. No era su único proyecto en este sentido, puesto que el exanalista también facilitó información sobre otro, denominado “Owning the net” (Dominando la red) destinado a apoyar al primero.

Ya entonces varios expertos apuntaron al periódico estadounidense que era muy improbable que la NSA hubiera podido ocultar un avance relevante en la computación cuántica, incluso siendo una organización basada en el secreto. “La ironía de la computación cuántica es que, si puedes imaginar que alguien pueda construir un ordenador cuántico capaz de descifrar el cifrado dentro de unas décadas, entonces tienes que empezar a preocuparte ahora mismo”, advertía uno de ellos.

A principios de julio, la policía vietnamita detuvo a Le Van Dung, un destacado activista y periodista que informa con regularidad en directo desde Facebook a miles de seguidores de todo el mundo. El periodista, que se hace llamar “Le Dung Vova”, se encontraba en paradero desconocido desde un mes antes. Según Reuters, fue detenido bajo la acusación de “fabricar, almacenar y difundir información, materiales y artículos con el fin de oponerse al Estado”, conforme el artículo 117 del Código Penal de Vietnam. Si es declarado culpable, está contemplada una pena de hasta 20 años de cárcel.  

Cada vez más vietnamitas como Dung recurren a las redes sociales para reivindicar sus derechos. El Partido Comunista de Vietnam, que mantiene un férreo control del Estado, se ha preparado para la lucha en un nuevo campo de batalla: las plataformas digitales.

En 2017, Vietnam creó una unidad militar cibernética integrada por 10.000 empleados para reprimir la disidencia en las redes sociales. Nguyen Khae Giang, un académico vietnamita que vive en Nueva Zelanda, afirma que los funcionarios del Partido se sienten muy satisfechos con este grupo. Según Dien Nguyen An Luong, investigador visitante del Programa de Medios, Tecnología y Sociedad del Instituto ISEAS - Yusof Ishak, “el objetivo principal de la unidad”, conocida como Fuerza 47 o Brigada 47, es “manipular el discurso en línea para imponer la línea del Partido Comunista en un país cuyos líderes se han obsesionado con frenar el contenido contrario al Estado”.

En otros países no es inusual que el partido en el poder reclute a “formadores de opinión en línea”. Sin embargo, la Fuerza 47 es única por su asociación con los militares y por la transparencia de su funcionamiento: Vietnam es el único Estado del sudeste asiático que reconoce públicamente tener una unidad cibernética militar. Según Giang, la Fuerza 47 es una unidad fácil de financiar para el partido, ya que a los militares se les forma para que consideren que moldear la opinión pública forma parte de su trabajo y por este motivo “es menos probable que pidan una paga extra”.

En febrero de 2021, el gobierno nombró como responsable del Ministerio de Propaganda al teniente general Nguyen Trong Nghia, un militar de alto rango que ayudó a crear la Fuerza 47. La unidad está formada por oficiales militares. Se denominan “cibertropas” y pueden contrarrestar hábilmente las “opiniones erróneas” o la “información tóxica” sobre el régimen. 

Es importante precisar que no existe una definición oficial de lo que constituye una “opinión errónea”. La unidad utiliza una doble estrategia: crear páginas, grupos y opiniones favorables en las redes sociales y atacar a los grupos y opiniones contrarias. Según una académica que prefiere no revelar su identidad, es difícil determinar quién es uno de sus “creadores de opinión”. “Una persona puede estar sentada a tu lado y no sabrás que te está atacando en Internet”, afirma.

No es la única herramienta

El partido gobernante vietnamita creó esta unidad a pesar de contar con una ley de ciberseguridad que es tan vaga en su definición de “noticias falsas” que se utiliza sobre todo para sofocar a los disidentes.

El 18 de junio, Vietnam también presentó unas directrices nacionales sobre el comportamiento en las redes sociales. Las directrices animan a los usuarios a publicar sólo “contenido positivo” sobre el país y sus líderes. También exigen a los funcionarios que informen a sus superiores de “información conflictiva”.

Según información de Reuters, no está claro “hasta qué punto estas directrices son jurídicamente vinculantes, ni cómo se aplicarán”. Este tipo de ambigüedad en las leyes no es infrecuente en el país.

Al explicar el funcionamiento de la Fuerza 47, Nguyen The Phuong, investigador asociado del Centro de Estudios Internacionales de Saigón de la Universidad Nacional de Vietnam, escribe que el mando y el control sobre los miembros individuales de la unidad son mínimos o incluso inexistentes. En este sentido, subraya que “este tipo de mecanismo flexible permite a los miembros del grupo especial estar exentos de los procedimientos normalmente estrictos de las redes tradicionales del Ejército Popular de Vietnam”.

Censura estatal y autocensura

Vietnam es un Estado con un único partido político [Partido Comunista de Vietnam]. Para este partido en el poder, es muy importante proteger el flujo de información y asegurarse de que sus funcionarios cuentan con la confianza del público.

Gran parte de la economía vietnamita está en manos del Estado o es administrada por él. Los medios de comunicación no son una excepción. Aunque el país cuenta con miles de periódicos y cientos de canales de televisión y emisoras de radio, se espera que todos ellos sigan la línea oficial.

Los Ministerios de Propaganda, tanto a nivel federal como en las provincias, vigilan estrechamente estas plataformas mediáticas y sus mensajes. Son famosas las reuniones semanales con los editores para informarles de las noticias que deben difundir. “En este sentido, sólo somos ligeramente mejores que los chinos”, afirma el académico Nguyen Khae Giang. 

Esta férrea censura estatal ha llevado a la autocensura. Los medios de comunicación conocen sus límites y no los traspasan. Cuando infringen estas normas, a menudo son sancionados o no pueden publicar durante semanas. En julio de 2018, a Tuoi Tre, uno de los periódicos online más populares de Vietnam, se le prohibió publicar información durante tres meses y se le impuso una multa de 10.000 dólares, ya que se le acusó de publicar contenidos “falsos y que generaron división nacional”. El periódico está dirigido por un grupo alineado con el Estado, la Unión de la Juventud Comunista de Ho Chi Minh.

En 2020, varios miembros de la Asociación de Periodistas Independientes de Vietnam (IJAVN) fueron detenidos y tres de ellos condenados a penas de entre 11 y 15 años de prisión. Vietnam ocupa el puesto 175 de 180 países en la Clasificación Mundial de la Libertad de Prensa de Reporteros sin Fronteras.

Menos recursos que China

Desde la llegada de Internet, el Partido Comunista ha intentado controlar la red con firmeza. Sin embargo, las redes sociales han roto el equilibrio del discurso oficial. A medida que la economía ha crecido, la desigualdad ha aumentado y los vietnamitas han empezado a expresarse con mayor fervor en las plataformas digitales.

Con la llegada de los blogs, Facebook y YouTube al país, cada usuario se ha convertido en una plataforma mediática y al régimen le resuelta difícil regularla. La represión se ha convertido en algo habitual. Según las cifras de RSF, más de 30 periodistas y blogueros han sido encarcelados por expresar su opinión. Los malos tratos son una práctica habitual en las cárceles vietnamitas.

Vietnam no puede bloquear Internet como lo hace China. En este sentido, Phuong señala que el Estado “no tiene suficiente dinero ni experiencia técnica para construir un sistema de bloqueo de la web tan invasivo y eficaz como el llamado Gran Cortafuegos de China”.

Vietnam ha sido la economía asiática con mejores resultados en 2020. Si quiere mantener esta tendencia, el régimen no puede permitirse prohibir las redes sociales porque las pequeñas y medianas empresas las utilizan con fines de marketing y publicidad. Sin embargo, el crecimiento económico también ha traído consigo un aumento de la corrupción y la desigualdad, lo que está empujando a la población a expresar sus quejas en las redes sociales.

En enero de 2020, la BBC informó de que hasta 3.000 efectivos de seguridad se presentaron en un pueblo de Dong Tam, a unos 40 kilómetros de Hanoi. Los residentes protestaban por la toma de sus tierras por parte de Viettel Group, la empresa de comunicaciones de Vietnam dirigida por los militares. El enfrentamiento entre las fuerzas de seguridad y los habitantes fue retransmitido en directo por Facebook y YouTube. No sólo se censuraron las discusiones y el vídeo, sino que posteriormente se difundieron una gran cantidad de mensajes para condenar el comportamiento de los manifestantes.

En un comunicado, el director regional de Amnistía Internacional, Nicholas Bequelin, ha declarado que “las redes sociales, especialmente Facebook, se están convirtiendo cada vez más en un arma utilizada por Vietnam para perseguir a quienes expresan su opinión de forma pacífica”.

Estas disputas por la tierra, los problemas relacionados con el desarrollo y la corrupción no harán más que aumentar en una economía en rápido crecimiento.

“En un escenario así, las personas oprimidas y relegadas en los planes de crecimiento no tienen más remedio que utilizar las redes sociales para reclamar sus derechos”, señala Giang.

En marzo de 2021, varios manifestantes de Dong Tam fueron condenados a muerte o a largas condenas de cárcel.

Propaganda en Facebook

Según Giang, el principal problema para el Gobierno a la hora de censurar las redes sociales es que las empresas tecnológicas no tienen su sede en Vietnam. Tienen sus propias “normas comunitarias” a las que adherirse y el Partido Comunista parece haber encontrado una forma de evitarlas.

Reuters informó en abril de 2020 que los servidores locales de Facebook en Vietnam fueron desconectados hasta que cumpliera con las exigencias del Gobierno. Además, con el uso de “formadores de opinión” y de la Fuerza 47, varios grupos de Facebook se deshacen en elogios con las actividades del Partido. “Las redes sociales, en particular Facebook, se están convirtiendo cada vez más en un arma de Vietnam para perseguir a quienes dicen lo que piensan de forma pacífica”, dijo Giang. 

Según un artículo de Reuters de noviembre de 2020, Vietnam amenazó con cerrar Facebook en el país si no cedía a las presiones del Gobierno para censurar más contenidos políticos locales en su plataforma. 

Facebook tiene unos 60 millones de usuarios en Vietnam y, según fuentes citadas por Reuters, obtiene unos 1.000 millones de dólares de ingresos en el país.

“Desde un punto de vista empresarial, tiene sentido que Facebook obedezca al Partido”, dice Nathan Trac, de Viet Tan, un grupo de defensa de los derechos humanos que colabora con Amnistía Internacional, Human Rights Watch y otras organizaciones internacionales. Una investigación de The Intercept sobre las acciones de Facebook en Vietnam llega a la conclusión de que la red social habría cedido ante la presión del régimen. 

“Facebook, que en su día fue anunciado como una bendición para un país como Vietnam, en el que las redes sociales permiten a los ciudadanos sortear el dominio de la censura del Estado sobre los medios de comunicación tradicionales, se ha convertido ahora en otro medio para controlar a los ciudadanos”.  

Sobre la respuesta de Facebook a las acusaciones, Brad Adams, de Human Rights Watch, dice que en diciembre de 2020 que la empresa dijo estar abierta al diálogo. “Han estado dispuestos a dialogar y sus responsables en materia de derechos se muestran empáticos, pero en general la respuesta ha sido débil, poco coherente, poco transparente y demasiado dispuesta a transigir en los principios básicos.” 

Censurar a los vietnamitas en el extranjero

Teniendo en cuenta la estricta censura existente en el país, la carga de denunciar las atrocidades y la corrupción dentro de Vietnam recae en gran medida en los vietnamitas que viven en el extranjero. “El Gobierno vietnamita nos considera terroristas”, afirma Michael Tran Duc, del grupo de derechos humanos Viet Tan. 

Michael señala que como el régimen no puede censurar a los usuarios de las redes que residen en el extranjero, utiliza programas informáticos para piratear la correspondencia de estos grupos que defienden los valores democráticos. Dice que “hackers pagados por el régimen utilizan nombres como Sea Lotus y Ocean Lotus para atacar a gente como nosotros en Internet”. Los activistas utilizan TOR y VPN, y cambian constantemente de dirección IP para esquivar este tipo de ataques.

Nathan y su familia se encuentran entre el grupo conocido como “la gente de los botes” que huyó de Vietnam por mar justo después de la guerra. “Trabajamos cada día para recuperar los valores democráticos que imaginamos que tendría nuestro país algún día, a pesar de los inmensos riesgos. Trabajamos con la esperanza de un futuro mejor”, dijo.

Este artículo es una republicación del original publicado por el Instituto Reuters para el estudio del periodismo de la Universidad de Oxford

Traducción castellana de Emma Reverter

AGB

Beatriz Busaniche es docente y activista. Lo suyo son los derechos y las tecnologías digitales. Está muy preocupada porque, a raíz de la pandemia y la migración de actividades a entornos digitales, 2020 será recordado como el año en que quedaron expuestos los datos sensibles de millones de personas. Esa información, bien o mal aprovechada, supone ganancias para las empresas que tienen acceso -consentido o no- a su manipulación.

Desde la organización que preside, Fundación Vía Libre, Busaniche viene alertando sobre el tema. Con ayuda de Indela (Iniciativa por los derechos digitales en América Latina), trabaja también en un proyecto que busca apuntalar políticas públicas que garanticen que el Estado proteja los datos sobre ciudadanos que posee, que se ofrezca protección legal a la comunidad que trabaja en la seguridad informática (los llamados “infosec”) y que se logre desmitificar la idea de que el hacker es un delincuente.

“Lo que pasó con nuestros datos en este 2020 es casi una masacre. Fue una aceleración abrupta de un proceso que ya venía dando pasos agigantados en los últimos años, que tiene que ver con volcar la vida cotidiana de las personas cada vez más hacia la digitalización”, dijo en entrevista con elDiarioAR.

¿Por qué decís que es un proceso que venía de antes?

La transformación digital venía avanzando paulatinamente sobre distintas áreas, pero, a partir de la pandemia, fue como un tsunami de digitalización. Tuvimos que pasar, de golpe, a depender de herramientas remotas para acceder a la educación o la salud, para establecer relaciones personales o familiares... En realidad, fue un paso más de largo proceso al que la académica Shoshana Zuboff llama “El capitalismo de vigilancia”, un fenómeno que se viene construyendo desde hace muchos años y que es, quizás, la característica central de estas dos décadas del siglo XXI. Sus rasgos característicos son la asignación de un valor económico muy fuerte a la información sobre las personas, el haber volcado la vida a la esfera digital de una forma nunca antes vista y la existencia de diferentes modelos de negocio que intentan sacar ventaja. Cada modelo económico tiene una empresa emblema y la de este período, según Zuboff, es Google, pero también es todo ese entramado de lo que se conoce como las “big tech”, que son Facebook, Amazon, Apple y Microsoft.

¿Por qué la pandemia empeoró esta situación? ¿Las apps como Cuidar tuvieron que ver con eso?

Ya había jugadores establecidos que, obviamente, ganaron terreno en esta coyuntura. Alcanza con mirar los números de las bolsas para ver cuánto acrecentaron su valor estas empresas en el mismo período durante el cual la economía global se desplomó. Lo que pasó con la pandemia, además, es que muchas situaciones que quizá en otra coyuntura hubieran despertado una reacción muy problemática en la vida social -como son distintos mecanismos de vigilancia de la esfera pública, de seguimiento de personas, de recolección de datos privados, especialmente de datos sensibles como son los datos de salud, por parte de autoridades gubernamentales- pasaron a ser una estrategia para lidiar con una situación crítica.

Cabe, entonces, hacer una salvedad. En todo contexto de pandemia, a lo largo de la historia de la humanidad, la forma de frenar la evolución ha sido con lo que se denomina vigilancia epidemiológica. Es una herramienta central para ir obturando los contagios. La gran diferencia es que, en esta pandemia, existen una serie de dispositivos tecnológicos que habilitan la posibilidad de hacer este tipo de traza de una forma mucho más invasiva -más eficiente, también, si se quiere-. Si hubiéramos podido usar bien las tecnologías quizá se habría podido hacer algún tipo de contención. La contracara es que la posibilidad de hacer una recolección tan grande de información está reñida, en muchos casos, con el Estado de derecho. Ahí entra a terciar esta tensión entre la vigilancia epidemiológica, las medidas de salud pública y la suspensión momentánea de determinados derechos.

¿Y cuál es el problema concreto con nuestros datos?

Nunca, a lo largo de la historia de la humanidad, tuvimos la capacidad de recolectar tal volumen de datos. Pero, a la vez, no se trata sólo la recolección del dato, sino la posibilidad de trabajar con ese dato, de generar información, de tomar decisiones en función de eso, de hacer predicciones. Es la posibilidad de hacer múltiples aplicaciones de esos grandes volúmenes de datos lo que distingue este momento histórico. En pandemia, además, el agravante es que muchos de esos datos representan información sensible.

¿Qué es información sensible?

Argentina tiene una ley de protección de datos que fue aprobada hace 20 años y que fue muy moderna en su momento, adaptada al sistema europeo, que reconoce la titularidad de los datos de una de las personas y que establece, entre otras definiciones, que los datos de salud son datos sensibles. También los datos de afiliación política, los datos étnicos o raciales, los datos religiosos, entre otros.

Los datos sensibles tienen un tipo de protección superior a los comunes, a punto tal que está prohibido establecer bases de datos de datos sensibles si no hay una autorización efectiva del titular de los datos. Existe una cláusula que dice que nadie puede ser obligado a entregar un dato sensible contra su voluntad. Todo lo que tuvo que ver con las aplicaciones de covid, entre ellas, por ejemplo, la que tiene que ver con el autodiagnóstico, capturan datos sensibles de las personas. Entonces, ¿qué resguardos hay sobre esos datos, cómo se han protegido, cómo se han cuidado?

Aún no lo podemos saber.

Lo que sí es posible analizar es lo que pasó históricamente con datos de ese tipo. Por ejemplo, el otro día conversaba con un médico amigo y estaba contento por la posibilidad de la existencia de una base de datos de historias clínicas centralizada. Es un proyecto que anunció la gestión anterior y esta gestión lo tomó y está avanzando. Nosotros, en la Fundación, entendemos que es una muy mala política.

Esta idea tan seductora de tener toda la base de datos de salud de las personas es muy peligrosa en términos de que, primero, esos datos tienen un valor económico enorme. Hay muchas empresas que pueden construir a partir de ellos, por ejemplo, precios segmentados. Ese es un concepto que vamos a empezar a ver cada vez más, que tiene que ver con la lectura de diferencias en función de los datos que tengo de las personas y la posibilidad de segmentar precios y aplicarle una tarifa diferencial por el mismo servicio a clientes en función de los datos que tengo. Es el viejo truco de “te cobro por la cara que tenés”.

Con mucha de la información que dejamos en Internet, las empresas que te venden distintos tipos de servicios pueden hacer segmentación de precios en función de, por ejemplo, la marca de teléfono desde el cual vos estás haciendo la búsqueda.

¿Qué pasa con la seguridad de la información que tiene el Estado?

El Estado tiene mucha información de los ciudadanos, porque forma parte de los elementos que necesita para poder gestionar su tarea. Tiene la base de datos de anses, por ejemplo, para saber qué personas reciben la Asignación Universal por Hijo, las jubilaciones, etc. El Estado tiene que tener datos. Por ejemplo, de mi información patrimonial para poder cobrarme impuestos. Eso es parte de las funciones del Estado y es aceptable.

Hace poco hubo un problema grave en Migraciones. La base de datos con las personas que entraron y salieron -y ahora con un montón de datos que no necesariamente tiene por qué tener, como son los biométricos- fue comprometida por un ataque de ransomware (secuestro de datos), que no solo generó un bloqueo del sistema de Migraciones, que estuvo frenado durante horas, sino que todos esos datos fueron capturados por un atacante que pidió un rescate al Estado argentino, que obviamente no pagó.

Pagar a un secuestrador no parece ser una buena medida. Pero cuando tenés un delincuente que ataca un sistema, que captura datos y que después los difunde o los vende, tenés un problema de negligencia. El Estado le exige al ciudadano una serie de datos que no puede negarse a entregar, pero no logró custodiar esos datos que no le pertenecen.

El Estado le exige al ciudadano una serie de datos que no puede negarse a entregar, pero no logró custodiar esos datos que no le pertenecen.

¿Por qué no le pertenecen? ¿A quién le pertenecen?

El Estado obtiene datos de los ciudadanos, los administra, los procesa, pero esos datos -por ley y por el derecho constitucional de habeas data- no le pertenecen. El Estado tiene obligación de resguardarlos y de tener una política de seguridad de la información que sea apropiada, rigurosa, transversal a todas las áreas. Ese es un poco el objetivo de este proyecto. En este momento tenemos un terreno fértil para trabajar, no solo porque Indela confió en nosotros para apoyarnos, sino también porque hay un área de ciberseguridad a nivel nacional que es proactiva en ese sentido. Y nos parece central apoyar una política de protección de los activos digitales en poder del Estado. Porque es fundamental que el Estado pueda cumplir con su deber y que los ciudadanos confíen en el Estado a la hora de que administren nuestros datos.

¿En qué consiste el proyecto exactamente?

Tiene múltiples aristas. Una es la de cooperar con el Estado para la creación de un protocolo de políticas y de estándares mínimos de protección de los datos. Esa es la parte en la que ya hemos avanzado bastante. De hecho, hay un primer borrador de estándares mínimos en el cual nosotros contribuimos junto con otras organizaciones, académicos, gente de la comunidad de “infosec”, que es la comunidad de practicantes de la seguridad informática. En Argentina, es una comunidad de muy alto nivel profesional, reconocida a nivel global. Muchas personas y empresas locales han reportado vulnerabilidades a grandes empresas de software, desde Apple, Amazon, Microsoft, Adobe y hasta instituciones como la NASA.

El reporte responsable de vulnerabilidades es una de las áreas de trabajo de la “infosec”, y lamentablemente es una práctica que ha sido criminalizada.

Tengo entendido que el proyecto prevé buscar protección para ellos.

La protección legal de la comunidad de “infosec” es una inquietud que se agravó en los últimos tiempos. Porque lo que hace esa comunidad -cuando uno tiene legislaciones mal hechas, como es el caso de Argentina- queda en una zona gris entre lo que es el delito informático y la práctica de la investigación de vulnerabilidades de seguridad informática. El reporte responsable de vulnerabilidades es una de las áreas de trabajo de la “infosec” y, lamentablemente. es una práctica que ha sido criminalizada.

Un caso que fue bisagra es el de Joaquín Sorianello, un informático que reportó una vulnerabilidad a la empresa MSA (Magic Software Argentina), que entonces era la proveedora del sistema electoral de la Ciudad de Buenos Aires para las elecciones de 2015, en las que fue elegido Horacio Rodríguez Larreta por primera vez como jefe de Gobierno.

Joaquín llamó a gente que conocía en la empresa y les dijo: Hay una vulnerabilidad grave por la cual están en riesgo los servidores donde se van a cargar los resultados de las elecciones. Y lo que él recibió como “agradecimiento” fue un allanamiento a su domicilio y una causa penal en su contra. Afortunadamente, terminó con un sobreseimiento, año y medio después.

Lo mismo le pasó a Javier Smaldone. Hace 15 meses fue allanado su domicilio por haber reportado públicamente un hackeo a los servidores de la Policía Federal. Le quitaron todos sus dispositivos de trabajo y ni siquiera está imputado en la causa. Cuando uno ve los causales de sospecha de por qué lo allanan es porque sabe de informática, habló del caso públicamente, sabe programar. Se pone determinado saber y determinado uso de herramientas como un agravante de un potencial delito.

¿Qué proponen en el proyecto para evitar esto?

Este tipo de casos lo que hacen es desincentivar el reporte de vulnerabilidades. Por eso queremos generar un mecanismo de reporte protegido de la comunidad de “infosec”. Porque las vulnerabilidades están ahí y alguien las puede explotar. Entonces hay que incentivar el reporte responsable de vulnerabilidades. Nuestra idea es generar una plataforma en la cual quien encuentre una vulnerabilidad y tema reportarla, tenga un mediador que pueda garantizarle un contexto seguro de reporte.

¿Qué otro punto contempla la propuesta?

Queremos desmitificar la idea del hacker delincuente. Está equivocada la percepción de que quien genera mecanismos de protección de su información y utiliza cifrado y tiene determinados conocimientos de seguridad informática es porque tiene algo que ocultar. Es un trabajo que tenemos que hacer con los medios de comunicación de forma intensiva, porque buena parte de esa idea de que si alguien tiene cifrado es porque tiene algo turbio que ocultar es un problema serio desde el punto de vista de la opinión pública. Todos tenemos algo que ocultar y es nuestra intimidad.

¿Se podrán implementar los cambios que proponés?

Tengo el optimismo de la acción. Si no tuviera un poco de optimismo, no me dedicaría a tratar de cambiar las cosas. Pero lo cierto es que es una circunstancia compleja. Soy bastante pesimista cuando veo cómo trata el periodismo estos temas, sobre todo cuando veo que son más tratados en policiales que en tecnología. Quisiera que estos temas fueran parte de la agenda política. En términos de políticas públicas, creo que aún nos falta mucho en Argentina. Veo que hay una iniciativa, pero también que hay una seria dificultad en mover los estamentos del Estado, en entender qué significa esto de que los datos no le pertenecen al Estado sino a los ciudadanos. Es algo que le falta aprender a muchos funcionarios. Lo vimos en la gestión anterior, cuando (el Jefe de Gabinete) Marcos Peña se llevó toda la base de datos de ANSES y no hubo nadie que le pusiera un límite.

Me parece que es clave que la ciudadanía entienda cómo funciona esto y que deje de usar software porque se lo recomendó un amigo o porque es lo que usa mi tía. Que empecemos a tomar decisiones informadas sobre el software que usamos, que aprendamos a leer los términos de uso, que podamos diversificar. Un problema central, que es el nudo que tenemos atado hoy más que nunca, es qué hacemos con servicios cada vez más concentrados, en los que las posibilidades de recomponer la autodeterminación informativa de la ciudadanía es tendiente a nula. Ninguna de las soluciones rápidas que se están barajando da en la tecla de un fenómeno grave a nivel global como es la hiperconcentración de las “big tech”.

Soy bastante pesimista sobre el rol de la ciudadanía a la hora de ejercer su derecho de autodeterminación informativa.

CRM