GCCVIEWS

Etiqueta: Data

  • Datos eliminados: Una Amenaza a la Preservación Digital

    La era digital prometía ser el gran democratizador del conocimiento, un archivo infinito donde la información permanecería accesible para las generaciones futuras. Sin embargo, la realidad ha demostrado ser mucho más frágil de lo que imaginábamos. Los datos no simplemente desaparecen: son eliminados, borrados y sepultados, muchas veces de manera deliberada y silenciosa.

    El Revisionismo Histórico en Tiempo Real

    Cada vez que una nueva administración toma el poder, las prioridades cambian. Esto es natural y esperable, pero lo que resulta inaceptable es la desaparición coordinada y silenciosa de información pública. Este fenómeno ya es visible, particularmente en Estados Unidos, donde paneles de salud pública, indicadores económicos y vastas cantidades de datos gubernamentales están siendo retirados de internet sin comunicados de prensa ni explicaciones.

    Esta no es una simple limpieza administrativa o una medida protectiva: es revisionismo histórico ejecutándose en tiempo real. Cuando los sitios web desaparecen, los archivos se eliminan o los datos se retiran silenciosamente, no hay un bibliotecario a quien preguntar, ningún número telefónico que llamar, y generalmente ninguna explicación del porqué.

    La Fragilidad de la Memoria Digital

    Internet se ha convertido en un espejismo digital: vasto en apariencia, pero frágil en realidad. La centralización de la información se ha transformado en su mayor debilidad, creando un sistema diseñado para la conveniencia más que para la permanencia. Los hechos no tienen fecha de vencimiento, pero en el sistema actual, bien podrían venir con una fecha de caducidad.

    Esta fragilidad tiene consecuencias devastadoras para la democracia y la justicia. El poder no puede ser responsabilizado si no hay acceso a registro de sus acciones. La justicia, las políticas públicas y las reformas no pueden ser perseguidas si los datos que las sustentan ya han sido eliminados.

    Lecciones del Pasado y Presente

    La historia nos enseña sobre los peligros del silencio y los vacíos en la evidencia. Los horrores del Holocausto se desplegaron en silencio, y las brechas en la evidencia permitieron que los negacionistas encontraran fisuras por donde colarse. Si las herramientas disponibles hoy hubieran existido entonces —herramientas para registrar, almacenar y distribuir sin censura— ¿cuánto podría haber cambiado?

    Un ejemplo más reciente ilustra perfectamente este problema. En 2021, medios independientes como Apple Daily fueron forzados a cerrar en pocas horas en Hong Kong. Un archivo de 26 años de periodismo se volvió inaccesible casi de la noche a la mañana, cuando los servidores fueron apagados y los registros digitales eliminados del alcance público. Afortunadamente, activistas cibernéticos comenzaron a respaldar artículos en blockchain, ofreciendo una alternativa resistente a la censura.

    Soluciones Emergentes

    Aunque la amenaza a la preservación de datos públicos es real, también lo son las respuestas. Iniciativas sin fines de lucro como Internet Archive han respaldado silenciosamente miles de millones de páginas web a lo largo de los años, protegiéndolas efectivamente del deterioro digital. Estos esfuerzos de archivo de código abierto operan independientemente de los gobiernos porque ninguna administración debería tener las llaves exclusivas del registro público.

    Las soluciones de almacenamiento de datos basadas en blockchain también ofrecen alternativas resistentes a la censura y a prueba de manipulación. A diferencia de los proveedores de nube dominantes actuales, que permiten e incluso actúan sobre la eliminación y manipulación de datos, estas tecnologías prometen mayor permanencia.

    Un Llamado a la Acción

    Preservar datos públicos ya no es un desafío técnico: es una obligación cívica. No todos pueden redactar legislación o liderar movimientos de protesta, pero todos pueden guardar una copia. Cada archivo perdido, cada conjunto de datos eliminados y cada enlace roto es un cincel aplicado a los cimientos de la realidad pública.

    Sin datos, la verdad se vuelve subjetiva. Cuando la verdad es subjetiva, el poder habla último y más fuerte. La pérdida de información es la pérdida de la historia. Cuando la memoria pública se aloja en sistemas que pueden ser editados, comprados o eliminados, lo que permanece no es historia: es una versión de la historia, escrita por la última persona en el poder.

    La elección es simple: permitir que las eliminaciones continúen o luchar por la permanencia y la verdad. El registro debe sobrevivir al régimen, y los hechos deben sobrevivir a las personas que los temen. Sin esto, las generaciones actuales no solo perderán su historia, sino que también perderán su futuro.

  • ¿Y si Meta nos pagase por usar nuestras fotos y datos de Instagram y Facebook para entrenar a la IA?

    Hace solo unos días Meta presentaba una nueva actualización de su modelo de lenguaje de gran tamaño llamado Meta Llama 3, el que sería la base de Meta IA, la inteligencia artificial que la empresa de Mark Zuckerberg quiere desplegar en Facebook, Instagram y WhatsApp a nivel global. Esta actuación tal y como la han planteado no es ilegal.

    En la presentación, Meta resaltaba el trabajo que está realizando para entrenar su modelo con una gran variedad de datos que mejore la calidad de la respuesta e interacción de Meta IA. Uno de los objetivos es que la IA genere contenidos propios que lleguen a nuestras redes sociales, sean creíbles y adaptados a lo que más nos gusta.

    Este asistente personal ya está disponible en Estados Unidos, Australia y Canadá y, además de IA conversacional, funciona como IA generativa para crear contenidos. El proceso es imparable.

    Inmediatamente después, la empresa matriz de Facebook e Instagram comunicó que utilizará las fotografías y otros contenidos publicados por los usuarios en sus plataformas para entrenar su inteligencia artificial generativa.

    La actualización de su política de privacidad entrará en vigor el 26 de junio de 2024. Esto permitirá a la compañía utilizar las publicaciones, fotos, vídeos y otros contenidos compartidos por los usuarios en sus plataformas para entrenar su inteligencia artificial.

    Como era de esperar, la implementación de esta política ha generado una gran polémica y preocupación entre usuarios, especialmente entre artistas y creadores de contenido que temen por la privacidad y el uso no autorizado de sus obras.

    La compañía ha proporcionado una opción para que los usuarios puedan rechazar el uso de sus datos a través de un formulario específico, aunque no sin críticas. El proceso ha sido tachado de complicado y poco accesible.

    Otras redes y tecnológicas detrás de esta práctica

    La controversia se intensifica en un momento en que la carrera por desarrollar la mejor inteligencia artificial está en pleno auge. Esto impacta significativamente a las empresas tecnológicas y a su cotización en bolsa.

    La semana pasada, el fabricante de chips Nvidia, uno de los competidores de Meta, anunció un aumento en sus beneficios del primer trimestre fiscal gracias a la IA.

    El año se abría con la denuncia de The New York Times a Microsoft y OpenIA por utilizar contenidos protegidos con derechos de autor del diario para entrenar sus algoritmos. Esto desencadenaba un largo debate sobre los datos que utilizan las IA para nutrir sus respuestas.

    Esto ha llevado a que se firmasen acuerdos para el uso de obras, como el de OpenIA con los grupos editoriales Prisa en España, Le Monde en Francia y con la editorial académica alemana Axel Springer y recientemente con el grupo News Corp, propietario de The Wall Street Journal, por 230 millones de euros.

    X ya lo ha hecho y TikTok también

    Está a la orden del día que estas empresas utilicen datos que recolectan de internet, con poco control, para alimentar sus IA.

    Recientemente saltó a la palestra el caso de X (antes Twitter), en el que se filtró que la empresa de Elon Musk había estado utilizando las publicaciones de usuarios para construir su inteligencia artificial: Grok, disponible para perfiles prémium.

    De una u otra forma, todas las redes sociales utilizan algoritmos de inteligencia artificial para personalizar los contenidos que visualizamos. Por ejemplo, TikTok utiliza esta información para crear un “Para ti” único basado en vídeos similares a los que más consumes. Esto ha llevado a que, tras la entrada en vigor de la Ley de Servicios Digitales de la Unión Europea, la red social adopte nuevas medidas que permitan desactivar el uso de determinada información o funcionalidades relacionadas con los datos.

    Qué pasa con nuestros datos y fotos

    Si Meta o cualquier otra empresa quiere utilizar nuestros datos, debe ser transparente con ello en su política de privacidad. Esto permite al usuario tener un control sobre la información que utilizan, cómo y para qué.

    Con la actualización de la política, desde el 26 de junio de 2024 la red social comenzará a utilizar fotografías, vídeos y textos que publiquen sus usuarios (descripciones, comentarios, etc.), y de aquellos contenidos ya publicados con anterioridad.

    El usuario tendrá ahora dos opciones: borrar el contenido que no quiere “regalar” a la IA o ejercer el derecho de oposición a este uso en las aplicaciones de Meta. Para esta última opción se han inundado las redes con tutoriales y tips para hacerlo. Resumidamente, rellenar un formulario bastante oculto oponiéndose a ello.

    ¿Y si Meta pagara por nuestros datos?

    La idea no es nada descabellada. Y quizás ayudaría a que, como usuarios, nos siente mejor, o al menos no tan mal.

    Además de los acuerdos de empresas de IA con propietarias de contenidos (imágenes, textos, vídeos, audios, etc.), valorados en millones de euros, empresas como WorldCoin ya ofrecen criptomonedas por el contenido de los usuarios. Concretamente por escanear biométricamente nuestro iris y generar una ID virtual única.

    Los datos son una moneda de cambio. Igual que ya está regulado el pago con datos personales para acceder a servicios “gratuitos” o freemium, incluso pagar una suscripción por no usar datos personales, como ocurre en X Premium, podría ser perfectamente válido un modelo en el que las empresas paguen por nuestros datos digitales. Posiblemente esto establecería un equilibrio entre privacidad y beneficio. Al menos, que el usuario reciba una parte de la tarta.The Conversation

    Francisco José Pradana, Profesor de Comunicación y director de Postgrado, Universidad Europea y María Luisa Fanjul Fernández, Profesora, Universidad Europea

    Este artículo fue publicado originalmente en The Conversation. Lea el original.

  • Datos de 5 millones de usuarios salvadoreños de Chivo Wallet expuestos en la Dark Web

    La reciente revelación de que los datos personales de más de 5 millones de usuarios de Chivo Wallet, el monedero oficial de Bitcoin en El Salvador, se encuentran expuestos en la Dark Web ha generado gran preocupación y preguntas sobre la seguridad y la privacidad en el mundo digital.

    Según informes recientes, esta filtración de datos incluye información sensible como nombres completos, documentos de identidad, fechas de nacimiento, direcciones e incluso imágenes personales de los usuarios. Estos datos, utilizados para el registro en el monedero estatal, se habrían estado comercializando en foros de la Dark Web desde agosto del año pasado, y ahora están disponibles de forma gratuita, aumentando el riesgo de estafas y otros delitos.

    La investigación sugiere que esta brecha de seguridad podría estar relacionada con una copia de seguridad en la nube perteneciente a Alejandro Muyshondt, un antiguo asesor de seguridad para el gobierno de El Salvador. Muyshondt, quien ha estado involucrado en otros escándalos políticos, fue arrestado en agosto por presuntamente colaborar en la evasión de la justicia del expresidente Mauricio Funes.

    A pesar de los esfuerzos del gobierno para promover la adopción de Bitcoin a través de Chivo Wallet, este incidente plantea serias dudas sobre la seguridad y confiabilidad del monedero. Aunque se aseguró a los usuarios que no era necesario operar exclusivamente a través de Chivo para utilizar Bitcoin en el país, el monedero estatal era un componente clave en los esfuerzos de promoción, ofreciendo un bono de USD $30 en fondos Bitcoin como incentivo inicial.

    Este incidente también resalta la importancia de la seguridad cibernética y la protección de datos en un mundo cada vez más digitalizado. La falta de medidas adecuadas de seguridad y la exposición de información personal pueden tener graves consecuencias para los individuos afectados, así como para la confianza en las plataformas y servicios en línea.

    Aunque Chivo Wallet ha experimentado problemas operativos en el pasado, como errores en los registros y transacciones, esta filtración masiva de datos representa un nuevo desafío para el gobierno de El Salvador y su iniciativa de adopción de Bitcoin. Es fundamental que se tomen medidas inmediatas para abordar esta brecha de seguridad, proteger la privacidad de los usuarios y restaurar la confianza en el monedero y en la infraestructura digital del país.

    Al ser la adopción de Bitcoin una medida controvertida y con implicaciones significativas para la economía y la política de El Salvador, la seguridad y la protección de datos son aspectos cruciales que deben abordarse con seriedad y urgencia para evitar daños mayores y proteger los intereses de los ciudadanos.

    También vale la pena señalar las reacciones en las redes sociales ante esta situación. Usuarios de Twitter, como el blogger especializado en temas Blockchain, David Gerard, han compartido sus opiniones y preocupaciones. Gerard revisó los datos y confirmó que coinciden con los requisitos solicitados por Chivo Wallet a los usuarios para abrir el registro correspondiente. Esto destaca la necesidad de una mayor transparencia y responsabilidad por parte de las autoridades involucradas en la protección de los datos personales de los ciudadanos.

    El incidente de los datos expuestos de Chivo Wallet es un recordatorio alarmante de los riesgos asociados con la digitalización de la información personal y la importancia crítica de la seguridad cibernética en la era moderna. Requiere una respuesta inmediata y exhaustiva por parte de las autoridades pertinentes para mitigar los daños y restaurar la confianza en la seguridad de las plataformas digitales en El Salvador. Y sobre todo, es un permanente recordatorio de que el Bitcoin tiene una máxima respecto a la propiedad privada: not your keys, not your money. Ello significa que sólo teniendo las llaves bajo la propia custodia es la única forma de ser propietario y responsable de la tenencia de Bitcoin. Por ello, es un contrasentido que esté el gobierno atrás de Chivo Wallet; la idea de BTC surgió como una alternativa al middle man, es decir al intermediador financiero y más aún, resistente a la censura, que se refiere a la libertad de realizar transacciones, la protección contra la confiscación y la inmutabilidad de las transacciones.

  • Cómo limitar la información que proporciona en sus plataformas de red

    Después de la preocupación de los usuarios en torno a la nueva política de privacidad de WhatsApp, la compañia afirmó este viernes pasado, que retrasaría esta actualización planificada para el 8 de febrero, intentando detener una migración masiva de sus clientes preocupados por estos cambios hacia otras plataformas de mensajería encriptada como Signal o Telegram.

    Lo mismo o peor pasa con Facebook Messenger, donde no hay una debida protección de nuestros mensajes.

    La mayor defensa de WhatsApp para que los usuarios no la dejen de lado es “nosotros no podemos ver tus mensajes privados, ni escuchar tus llamadas, y Facebook tampoco”, sin embargo, si eres usuario de Messenger no corres con la misma suerte.

    El cifrado de extremo a extremo que protege a los mensajes de WhatsApp no aplica en Facebook Messenger, a menos que estés utilizando una «conversación secreta». Esta opción sólo admite mensajes entre dos personas, no dentro de grupos y hay que activarlo de forma manual.

    Pero no solo Whatsapp y Facebook podrian tener ese dominio sobre tu privacidad, Google recopila muchos más datos personales sobre sus usuarios de los que imagina. La empresa registra cada búsqueda que realiza y cada video de Youtube que ve. Ya sea que tenga un iPhone o un Android, Google Maps registra todos los lugares a los que va, la ruta que usa para llegar allí y cuánto tiempo permanece, incluso si nunca abre la aplicación. Si mira de cerca todo lo que Google sabe sobre usted, los resultados pueden ser reveladores.

    Desde junio del pasado año, las nuevas cuentas de Google eliminan automáticamente los datos privados. Pero solo después de 18 meses por defecto. Y solo si es un nuevo usuario de Google. Si se encuentra entre los 1.5 mil millones de clientes actuales de Gmail o los 2.5 mil millones de personas que usan Android, su cuenta está configurada para retener sus datos privados para siempre, a menos que le indique a Google lo contrario. Pero hay un lado positivo: puede eliminar casi todo lo que ha compartido con Google y recuperar al menos parte de su privacidad. A continuación, tal como hicimos en un artículo anterior sobre su data en Facebook,  le enseñamos cómo eliminar su data en Google:

    1. Historial de búsquedas

    Google utiliza su historial de búsqueda para crear un perfil detallado sobre usted que puede compartir con los anunciantes. Esto personaliza los anuncios y el contenido que ve, siendo sus datos un negocio redondo para la compañía.

    Si desea comenzar a eliminar su información de Google, su historial de búsqueda es una muy buena opción para comenzar:

    • Vaya a myaccount.google.com e inicie sesión. Alternativamente, vaya a google.com mientras está conectado y haga clic en el ícono del círculo en la esquina superior derecha con su imagen o iniciales adentro. Luego haga clic en Administrar su cuenta de Google.
    • Haga clic en Administrar sus datos y personalización, que se encuentra en Privacidad y personalización.
    • Debajo del panel de controles de actividad, verá marcas de verificación junto al seguimiento de la actividad web y de aplicaciones, el historial de ubicaciones y el historial de YouTube. Haga clic en cada uno para ajustar su configuración. Puede desactivarlos para detener el seguimiento.
    • Debajo de los controles de actividad, haga clic en Mi actividad en Actividad y cronograma.
    • En el menú que aparece en la barra lateral izquierda, haz clic en Eliminar actividad por. Seleccione cuánto tiempo atrás le gustaría eliminar su historial en el menú emergente. Haga clic en Eliminar para confirmar.

    Una vez que haya seguido estos pasos, no solo desaparecerá su historial de búsqueda, sino que también habrá inhabilitado el seguimiento a través de aplicaciones, el historial de ubicaciones y las vistas de YouTube.

    1. Asistente de Google

    Google también controla esas interacciones con el Asistente de Google para mejorar su inteligencia artificial y personalizar su cuenta. Puede eliminarlas fácilmente:

    • Abra la página de su cuenta de Google.
    • En el panel de navegación de la izquierda, haga clic en Datos y personalización.
    • En el panel de controles de Actividad, haga clic en Actividad web y de aplicaciones, seguido de Administrar actividad. En esta página, verá una lista de su actividad pasada, y los elementos con el ícono de micrófono indican una grabación.
    • Junto a los elementos que desea eliminar, seleccione el icono de tres puntos y luego Eliminar.
    1. Bloquear anuncios

    ¿Alguna vez ha notado que Google siempre parece saber exactamente lo que está buscando? No es casualidad. A continuación, le indicamos cómo desactivar la personalización:

    • Abra la configuración de su cuenta de Google nuevamente.
    • En el panel de la izquierda, haga clic en Datos y personalización.
    • En el panel de personalización de anuncios, haga clic en Ir a la configuración de anuncios.
    • Haga clic en el interruptor junto a La personalización de anuncios está activada. Ahora debería ver que la personalización de anuncios está DESACTIVADA.

    También puede desactivarlo instalando la extensión de exclusión de anuncios basados ​​en intereses de Google en su navegador Chrome.

    1. Imágenes de Google Photos

    Google escanea sus fotos mediante el reconocimiento facial para clasificar su contenido en álbumes. También puede determinar las ubicaciones en las que ha estado buscando puntos de referencia en segundo plano.

    Pero puede despedirse de este servicio y almacenar sus fotos localmente en un disco externo o usando otras aplicaciones de almacenamiento seguro en la nube como IDrive, entre tantos otros, que utiliza la tecnología de encriptación de última generación para proteger sus fotos privadas también de los piratas informáticos.

    Una vez hecho esto, puede eliminar todas sus imágenes y videos de su cuenta de Google de la siguiente manera:

    • Abra la aplicación Google Photos en su teléfono inteligente. Haga clic en sus iniciales o foto en la esquina superior derecha. Elija Configuración de fotos, seguido de Copia de seguridad y sincronización. Desactive esto presionando el botón de encendido / apagado.
    • Ahora, abra el sitio web de Google Fotos en su computadora e inicie sesión con su cuenta de Google.
    • Seleccione todas las fotos que desea eliminar. Luego, haga clic en el icono de la papelera en la esquina superior derecha.

    Como vemos, en última instancia, ud tiene el control para protegerse de las prácticas invasivas de datos, limitando el acceso de las grandes compañías a las mismas, o migrando a otras aplicaciones que se ha comprobado sí protegen su privacidad.

  • ¿Se acerca una pandemia cibernética?

    2020 será recordado como un año singularmente disruptivo, pero no solo por la crisis de salud mundial, sino porque el mundo online se transformó digitalmente, con un cambio exponencial que se aceleró en el hogar y el trabajo a través del ciberespacio.

    La magnitud de este conjunto general de tendencias de Internet en línea ha revelado muchos beneficios positivos. Pero los impactos negativos en la seguridad cibernética de estos cambios en línea han llevado a muchos expertos a resumir los eventos combinados de este año como una creciente «pandemia cibernética».

    En esta perspectiva de fin de año, los cambios globales en las personas, los procesos y la tecnología al pasar a las transacciones digitales desde casa han sido una especie de “Caballo de Troya” para los ciberdelincuentes, lo que ha resultado en una gran cantidad de ataques de ransomware, violaciones de datos y incluso ataques muy sofisticados patrocinados por el estado-nación.

    El más grande de todos ellos ha salido a la luz a finales de este año, cuando la empresa de ciberseguridad FireEye reveló este mes que se convirtió en un objetivo de los piratas informáticos que accedían a las herramientas que la empresa utiliza para probar la seguridad de sus clientes.

    Si bien aún se está determinando la escala y el tamaño del ataque, se ha descubierto que no se trata de un ciberataque ordinario que afecte a una sola organización. Según un informe de The Wall Street Journal, presuntos piratas informáticos rusos instalaron un malware en el software Orion vendido por la empresa de gestión de TI SolarWinds y accedieron a datos confidenciales pertenecientes a varias agencias gubernamentales de EE. UU., al menos seis departamentos del gobierno de EE. UU., incluidos los de energía, comercio, tesorería y estado, han sido violados. Las redes de la Administración Nacional de Seguridad Nuclear también fueron atacadas, al igual que, al menos un hospital y una universidad.

    Se informó también que, decenas de empresas de seguridad y otras de tecnología, así como organizaciones no gubernamentales se vieron afectadas, según informó Microsoft el jueves pasado. Si bien los más afectados por el ataque se encontraban en Estados Unidos, la compañía afirmó que había identificado víctimas en Canadá, México, Bélgica, España, el Reino Unido, Israel y los Emiratos Árabes Unidos. Al menos 24 grandes empresas, incluidos gigantes tecnológicos como Intel, Cisco, VMware y Nvidia, instalaron el software con código malicioso, según el informe.

    «Este ataque es diferente de las decenas de miles de incidentes a los que hemos respondido a lo largo de los años», dijo el director ejecutivo de FireEye, Kevin Mandia, en un comunicado. El presidente de Microsoft, Brad Smith, dijo que este último ataque cibernético es efectivamente un ataque a los EE. UU. y su gobierno y otras instituciones críticas, incluidas las empresas de seguridad.

    El hackeo de criptomonedas de Twitter a mediados de año fue otro incidente importante que reveló cuán vulnerable era el ciberespacio. La plataforma de redes sociales reveló que se trató de un «ataque de ingeniería social coordinado» de personas que atacaron con éxito a algunos de los empleados de la compañía con acceso a sistemas y herramientas internos. En este ataque, se piratearon simultáneamente las cuentas de las principales figuras públicas, como Joe Biden, Barack Obama, Elon Musk, Bill Gates, Jeff Bezos, Apple y Uber para difundir una estafa de criptomonedas.

    Otro ejemplo específico proviene de la Organización Mundial de la Salud (OMS), que informó un aumento de cinco veces en los ciberataques a fines de abril de 2020. «Desde el inicio de la pandemia de COVID-19, la OMS ha visto un aumento dramático en la cantidad de ataques cibernéticos dirigidos a su personal y estafas por correo electrónico dirigidas al público en general. Esta semana, se filtraron en línea unas 450 direcciones de correo electrónico y contraseñas activas de la OMS, junto con miles de otras personas que trabajan en la respuesta al nuevo coronavirus”.

    Incluso la investigación y distribución de la vacuna Covid-19 atrajo la atención de los ciberdelincuentes. Microsoft reveló en noviembre que detectó ciberataques de actores estatales contra siete empresas destacadas directamente involucradas en la investigación de vacunas y tratamientos para Covid-19. Los objetivos incluyen compañías farmacéuticas e investigadores de vacunas líderes en Canadá, Francia, India, Corea del Sur, los EE. UU. e India, y provienen de Strontium, un actor originario de Rusia, y dos originarios de Corea del Norte llamados Zinc y Cerium.

    Por si fuera poco, recientemente la empresa de ciberseguridad Check Point, alertó de un nuevo malware que se reproduce a través de un mecanismo que tiene la aplicación de mensajería instantánea WhatsApp, y que roba a las víctimas su cuenta, aprovechando la confianza que tienen en sus contactos. Cuando una persona cambia de teléfono y quiere transferir su cuenta de WhatsApp, la empresa de tecnología envía una autenticación por SMS al número de teléfono anterior para que pueda ingresar. El proceso le permite modificar la aplicación de mensajería instantánea de un número a otro. Sin embargo, también abre la puerta para que el ciberdelincuente acceda a la cuenta de la víctima.

    “Lo primero que hay que saber sobre este ciberataque es que el principal activo del ciberdelincuente es aprovechar la confianza de la víctima. Es por ello que la forma de llevar a cabo este ataque se basa en que, anteriormente, este ciberdelincuente ha logrado atacar a uno de los contactos de la víctima en cuestión de robarle todos los números de teléfono que tenía”, dice el director técnico de Check Point para España y Portugal, Eusebio Nieva.

    Dicho esto, es de esta forma que los ciberdelincuentes utilizan el número de teléfono para escribir a WhatsApp y solicitar el código SMS para su autenticación. Posteriormente, pretendiendo ser un contacto conocido, se comunican con la víctima solicitando el código, argumentando que se han equivocado al enviarlo. Cabe señalar que la recuperación de la cuenta no es fácil. “La única forma sería hablando con WhatsApp para informarles del robo de la cuenta y que cancelen automáticamente dicha cuenta con ese número de teléfono”, dice el especialista.

    En el nuevo año que llega, no hay indicios de que estos ataques vayan a ralentizarse de ninguna manera, lo que solo resalta la importancia de fortalecer el ciberespacio con mayor seguridad con nuevas herramientas y políticas.

  • Según el FMI, su calificación en la APC podría definirse por sus actividades en las redes sociales.

    Los datos tradicionales utilizados para la calificación crediticia podrían ser reemplazados por procesos impulsados ​​por IA basados ​​en búsquedas en línea o historiales de compras.

    Mientras muchas compañías tecnológicas, desde Facebook hasta Apple, están observando de cerca los servicios financieros, el Fondo Monetario Internacional (FMI) se ha estado preguntando qué aspectos de la tecnología van a cambiar las finanzas en los próximos años.

    Los investigadores del FMI, han destacado por qué las fintech han surgido en la última década a medida que los bancos físicos se han ido reduciendo y describen cómo los teléfonos inteligentes, la búsqueda en línea y las redes sociales han ayudado a impulsar la innovación financiera mediante el uso de datos no financieros, como el tipo de navegador de un usuario, el dispositivo que se utiliza, el historial de búsquedas en línea de una persona y sus compras.

    Cuatro investigadores examinan los resultados de un documento de trabajo que explora la relación en constante evolución entre finanzas y tecnología. “Estudiamos los efectos del cambio tecnológico en la intermediación financiera, distinguiendo entre innovaciones en información (recolección y procesamiento de datos) y comunicación (relaciones y distribución)”, escriben los expertos en su estudio.

    El uso de datos no financieros como «el tipo de navegador y hardware que se utiliza para acceder a Internet» o «el historial de búsquedas y compras en línea», que luego se incorporan a la tecnología impulsada por la inteligencia artificial y el aprendizaje automático, podría «promover la inclusión financiera, por ejemplo, permitiendo más crédito a los trabajadores informales y empresas en las zonas rurales», escriben Arnoud Boot, Peter Hoffmann, Luc Laeven y Lev Ratnovski en una publicación en el blog del Fondo Monetario Internacional (FMI).

    Su puntaje crediticio basado en IA basado en búsquedas web es solo una de las propuestas en el documento, que argumenta que la pandemia Covid-19 está «acelerando la transformación tecnológica de la industria financiera y analiza cómo el FMI puede «salir adelante» de los problemas que esto podría crear.

    Los investigadores argumentan que si los prestamistas tienen una mejor idea de la historia completa de un cliente, pueden estar más dispuestos a ser indulgentes con ellos. «Los bancos tienden a amortiguar los términos de crédito para sus clientes a largo plazo durante las recesiones», escriben. Estos métodos pueden ser superiores a las evaluaciones de riesgo crediticio tradicionales y ayudar a brindar crédito a personas que los bancos ignoran o no tienen forma de evaluar. Según el FMI, hay 1.700 millones de adultos no bancarizados en el mundo.

    Fintech y el uso de información alternativa para evaluar la solvencia crediticia no es una técnica nueva, por lo que el FMI simplemente está estudiando la evolución del mercado fuera de los bancos tradicionales y sus implicaciones políticas a medida que empresas como Facebook y Amazon comienzan a conocer la vida financiera de los clientes más que los bancos.

    «La innovación en la comunicación está impulsada por la variedad de plataformas digitales en las redes sociales, la comunicación móvil y las compras en línea que han penetrado gran parte de la vida cotidiana de los consumidores, aumentando así su huella digital y los datos disponibles», investigadores Boot, Hoffmann, Laeven y Ratnovski escriben en el blog. «Plataformas como Amazon, Facebook o Alibaba incorporan cada vez más servicios financieros a sus ecosistemas, lo que permite el surgimiento de nuevos proveedores especializados que compiten con los bancos en pagos, gestión de activos y provisión de información financiera».

    Los investigadores no explicaron por el momento cómo funcionaría un sistema de este tipo en la práctica. ¿Facebook, por ejemplo, se comunicaría directamente con nuestras instituciones financieras o tendríamos que recopilar y proporcionar los datos? Algunos también argumentan que pinta una imagen de un futuro muy distópico, aunque los investigadores explican que este seguimiento sería por nuestro propio bien, al brindar en un futuro, acceso a más servicios financieros y al alcance de todos.

  • ¿Cuánto dista nuestro «yo» en redes sociales de nuestro verdadero yo?

    Slap Global, la aceleradora de negocios impulsada por la creatividad y formada a principios de este año por los veteranos de la agencia Maxi Itzkoff y Gerry Graf, creó una campaña en español «Yo y mi otro yo» para Ballantine’s whisky, en la que las personas se encuentran con una versión en holograma de sí mismos con personalidades basadas en la actividad de las redes sociales y se muestran las diferencias entre lo que las personas manifestamos en un contexto social y nuestro comportamiento real, individual y psicológico.

     

    La campaña, dirigida al mercado español, se inició con una proyección de cincuenta personas de la población general. Para ayudar a dirigir el estudio, Slap Global y Ballantine’s trabajaron en estrecha colaboración con el psicólogo Juan Ramos-Cejudo, PhD, profesor asociado de la Universidad Camilo José Cela y fundador y director ejecutivo de Mind Group y el científico de datos Victoriano Izquierdo, director ejecutivo de Graphext.

    Después de una clasificación inicial, los investigadores seleccionaron a quince candidatos para entrevistas personales con el fin de identificar a aquellos con los puntajes más altos de deseabilidad social. (La deseabilidad social es un constructo psicológico que se refiere a la tendencia de los sujetos de investigación a responder de una manera que creen que es más socialmente aceptable en lugar de revelar sus verdaderos sentimientos).

    Luego, el equipo eligió a cuatro candidatos para la fase final, y todos acordaron descargar y compartir sus datos de uso de plataformas digitales populares, como WhatsApp, Google, YouTube, Instagram o Facebook.

    La película principal de la campaña presenta a estas cuatro personas que se encuentran cara a cara con doppelgangers de hologramas de ellos mismos mientras responden preguntas sobre sus personalidades y valores. Los resultados son discrepancias sorprendentes entre quiénes dicen ser y qué revela su comportamiento digital sobre ellos.

    El entrevistador le pregunta a una mujer, por ejemplo: «¿Tienes confianza en ti misma?» Ella responde: “Sí, no solía serlo, pero ahora lo soy. Me volví más segura de mí misma a medida que crecía ”. Posteriormente, se le plantea la misma pregunta a su semejanza digital, destinada a representar a la persona revelada a través de los datos de la mujer. Ella responde: «Para seducir a mi pareja, busqué varias veces tutoriales sobre ‘cómo seducir a un chico’».

    Un hombre recibe la pregunta: «¿Te gusta presumir?» Él responde: “Realmente no. Preferiría que la gente me vea como realmente soy «. Su avatar, sin embargo, responde: «En el 92% de las fotos que subo con alguien, estoy al lado de una celebridad».

    Los sujetos parecen nerviosos cuando se enfrentan al fuerte contraste entre lo que dicen y cómo son o lo que hacen en realidad, algunos se vuelven introspectivos sobre si son realmente conscientes de su propio comportamiento. Con eso, los hologramas «se desintegran» para revelar la línea final y la etiqueta de la campaña, «No se puede complacer a todos. Lo que importa es que te amas a ti mismo. Mantente fiel».

    Itzkoff dice que es cierto que, dada la premisa de la campaña, fue un movimiento arriesgado. “Nos preguntamos cosas como: ¿Qué pasa si los datos no son lo suficientemente interesantes? ¿Qué pasa si no hay contradicción entre la persona y los datos? ¿Qué pasa si el participante se siente avergonzado y abandona el set? Todo podría salir mal». Solo después de que comenzaron los disparos y las respuestas de los participantes coincidieron con los hallazgos del estudio, el equipo pudo «comenzar a respirar de nuevo», dice. Las reacciones de los sujetos fueron capturadas en vivo en el set, todo en una sola toma.

    La compañía Slap Global ya ha comenzado a desarrollar otra idea en torno al tema «Mantente fiel». La combinación de creatividad y datos de redes sociales recuerda los esfuerzos de Itzkoff para Sprite, en su anterior agencia Santo, que incluía una campaña que ponía cara a cara al ciberacoso en una habitación con 100 de sus víctimas en línea.

    Todos somos conscientes de que, vivir en una sociedad donde la exposición a las redes sociales, las tendencias, los medios..etc influye cada vez más en nuestra forma de vida, en cómo nos comportamos, y en cómo nos relacionamos. Sin embargo, pocas veces nos paramos a pensar si toda esa presión social afecta a nuestras opiniones, a nuestras actitudes o comportamientos en nuestros entornos sociales habituales.

    Para Alejandro Chain, Head of Whiskies & Prestige, Spain, de Ballantine’s “Somos una marca que abandera un lema de autenticidad, Stay True (sé tú mismo), y sentíamos la necesidad de expresarlo a la sociedad desde el lugar más auténtico posible. Es por ello que lo hicimos a través de un experimento social 100% real en el que se demuestra la existencia de un problema universal de deseabilidad social, llegando a dejar de ser nosotros mismos por gustar a los demás. Gustémonos a nosotros mismos sin ningún miedo al qué dirán y seremos más felices”, concluyó.

  • Todo lo que quería saber sobre los hackers éticos y los servicios de seguridad de IT que puede necesitar su organización

    El propósito del siguiente documento es explicar , en base a nuestros 14 años de experiencia en el campo de la piratería ética (cientos de pruebas de penetración y auditorías de seguridad realizadas para muchos de nuestros clientes ), cómo elegir una prueba de penetración o auditoría de seguridad adecuada para satisfacer sus expectativas. Cómo hacerlo de la manera más profesional y al mejor precio. El documento está dividido en tres partes, que se irán publicando gradualmente en nuestro blog. Primera parte:

    ¿Qué prueba de penetración o auditoría de seguridad necesito o necesita mi organización?

    Si es una empresa pequeña sin su propia infraestructura interna, probablemente le interese una prueba de penetración de su sitio web o su aplicación web. Si tiene un sitio web pequeño o mediano sin una funcionalidad dinámica compleja, nuestra prueba de penetración estándar más popular será suficiente . Su objetivo es detectar tantas vulnerabilidades críticas o graves como sea posible durante un tiempo fijo (3 días). Esta es una simulación de «caja negra» de un ataque de piratería informática real, donde un atacante potencial tiene un tiempo fijo de tres días para piratear su aplicación. Entonces, que se responde a la pregunta: ¿qué puede descubrir y explotar un hacker profesional durante ese tiempo?

    Desafortunadamente, tres días no suelen ser suficientes para detectar la mayoría de las vulnerabilidades, especialmente en aplicaciones más complejas. Una auditoría de seguridad detallada , que realizamos de acuerdo con el manual de pruebas de seguridad de OWASP (actualmente en la versión 4.2 ), es adecuada para esto . Esta es la prueba web más detallada, que realizamos estrictamente de acuerdo con esta metodología abierta.

    Si el cliente está interesado, también auditamos los códigos fuente de la aplicación. Debido a que el código fuente suele ser extenso, nos centramos específicamente en las piezas de código críticas para la seguridad: autenticación, autorización y administración de sesiones.

    Durante una auditoría de seguridad detallada, revisamos y probamos todas las formas de la aplicación web para todos los tipos de ataques web conocidos. Por lo tanto, esta auditoría también es significativamente más laboriosa (necesitamos entre 2 y 4 semanas para realizar pruebas detalladas de una aplicación). Parte de esta prueba es también la creación (programación) de exploits, que son programas especializados que demuestran prácticamente el mal uso de vulnerabilidades críticas detectadas. Recomendamos una auditoría de seguridad detallada para todas las aplicaciones críticas para la seguridad que tengan datos personales o financieros confidenciales o que permitan transferencias financieras. Por tanto, esta prueba es adecuada para el sector financiero, empresas medianas o grandes. Le recomendamos que lo haga antes de implementar cualquier aplicación desarrollada recientemente en el entorno de producción.

    Pruebas de aplicaciones móviles

    Tener una aplicación móvil agradable y funcional al mismo tiempo es ahora una necesidad y un estándar para un gran número de empresas. Las aplicaciones móviles para Android o iPhone pueden contener tipos de vulnerabilidades que no se encuentran en las aplicaciones web. Por lo tanto, le recomendamos que pruebe minuciosamente cada una de estas aplicaciones móviles antes de su lanzamiento oficial.

    Como parte del servicio de auditoría de seguridad de aplicaciones móviles realizamos tanto pruebas de la parte del servidor de los servicios web (REST / SOAP) como de la parte del cliente (frontend) de la propia aplicación (descompilamos y desensamblamos aplicaciones de Android escritas en Java, las aplicaciones de iOS escritas en Objective C se invierten y desensamblan). Parte de las pruebas también es la supervisión activa y la intervención en la comunicación entre la propia aplicación móvil y su servidor (en esta comunicación modificamos tanto las solicitudes de la aplicación como las respuestas del servidor para identificar vulnerabilidades). Usamos varios de los llamados Herramientas de «inyección de fallos». Podemos eludir varias protecciones de seguridad que protegen la aplicación (por ejemplo, fijación de SSL, detección de root / jailbreak, ofuscación de código, etc.). La prueba de una aplicación móvil en una plataforma tarda entre 1 y 3 semanas.

    Pruebas de penetración externa

    Si ya es una empresa más grande, probablemente ya tenga su propia infraestructura de red (red corporativa externa e interna), que debe mantenerse y protegerse. Nuestra prueba de penetración externa le ayudará con eso. Se puede implementar en un formulario completo de «caja negra», donde usted como cliente no nos proporciona ninguna información sobre su infraestructura de red. En la fase denominada «recopilación de información», intentaremos obtener esta información necesaria de registros o bases de datos disponibles públicamente. Nuestro objetivo es identificar sus posibles rangos de IP de red o direcciones IP. Esta fase es pasiva, lo que significa que no «tocamos» sus servidores o elementos de red, solo recopilamos la información disponible sobre su infraestructura. Posteriormente, cuando obtengamos una lista de sus posibles direcciones IP o rangos de IP, nos pondremos en contacto con usted y le pediremos que confirme explícitamente que estas son realmente sus direcciones IP reales. Es ilegal continuar probando activamente direcciones IP que no le pertenecen.

    La segunda alternativa, aproximadamente un día más rápida, es enviarnos sus rangos de IP o listas de direcciones IP que desea probar. Posteriormente, podemos embarcarnos en pruebas de penetración. La prueba de penetración externa dura del orden de unos pocos días a semanas (dependiendo del tamaño de la infraestructura probada).

    Pruebas de penetración interna

    Hasta el 60% de todos los incidentes de seguridad supuestamente provienen de empleados internos de la red interna. Por lo tanto, es importante prestar atención a la seguridad de la infraestructura de red interna. Ofrecemos una prueba de penetración de intranet para probarlo. Esto puede hacerse desde el punto de vista de un atacante anónimo aleatorio (una persona que vino a la empresa para una entrevista y conectó una computadora portátil en una sala de reuniones) o desde el punto de vista de un empleado habitual (por ejemplo, una secretaria que tiene acceso al servidor de dominio de la empresa). Por lo general, el acceso anónimo a la red interna es suficiente para que podamos eludir protecciones como la seguridad MAC, 802.1x u otras protecciones en la capa de línea. Con ataques como el envenenamiento de ARP y pretendiendo ser un enrutador de red «oficial», podemos ganar relativamente rápido los privilegios de otros usuarios internos (por lo que a menudo ni siquiera necesitamos una cuenta de secretaria oficial al final). A menos que se especifique lo contrario, el objetivo principal de la prueba de penetración interna es comprometer el servidor de dominio maestro (AD) y el enrutador de red maestro, que enruta todo el tráfico de red de su empresa a Internet. Esto significa de facto que hemos podido obtener un control total sobre su red interna. En el pasado, realizábamos la mayoría de las pruebas de penetración internas «in situ», es decir, físicamente en el cliente. En el actual período de pandemia, prácticamente hemos «cambiado» por completo a las pruebas remotas a través de una conexión VPN creada por el cliente. Si podemos encontrar corporaciones que tienen muchas sucursales en todo el mundo con redes internas separadas, entonces necesitamos una conexión VPN a cada ubicación para probarlas por completo.

    Auditoría de seguridad local

    Al «roaming» en la red interna; a menudo encontramos un servidor clave o crítico desde el punto de vista del cliente, lo que requiere pruebas detalladas desde el punto de vista de un usuario privilegiado y sin privilegios. En este caso, lanzaremos una auditoría de seguridad local , cuyo objetivo es detectar todas las posibles vulnerabilidades en el sistema local y las aplicaciones instaladas. Y luego ayudar con su seguridad adicional (el llamado endurecimiento). Durante esta auditoría del sistema, por ejemplo, verificamos todas las formas posibles de escalada no autorizada de usuarios sin privilegios a usuarios privilegiados (administrador / root).

    Ingeniería social

    Todas las pruebas anteriores fueron para encontrar vulnerabilidades que permitan ataques a la tecnología. Desafortunadamente, a menudo sucede que a pesar de que se utilizan tecnologías (sistemas, aplicaciones) de alta seguridad, la organización se convierte en víctima de un ataque de piratas informáticos. En este caso estamos hablando de los llamados Ataques de ingeniería social, donde el objeto del ataque no es la tecnología sino las personas mismas. En ingeniería social, el atacante utiliza cualidades humanas típicas como el altruismo, la confianza, la necesidad de ayudar, pero también el egoísmo o el miedo a la autoridad.

    La ingeniería social que realizamos consta de tres partes:

    La primera parte es el phishing dirigido a Internet (el llamado spear-phishing), donde generalmente tratamos de manipular a sus empleados por correo electrónico o comunicación instantánea. Esto es para proporcionarnos información confidencial seleccionada o para permitirnos realizar operaciones no autorizadas.

    La segunda parte se lleva a cabo por teléfono o mensajes SMS, donde utilizamos los métodos de suplantación de identidad (suplantación de identidad) o suplantación de identidad de llamadas (llamamos a la víctima desde números falsos previamente conocidos, en quienes confía).

    La tercera fase representa la infiltración física real en el edificio del cliente. Para esto, generalmente necesitamos los llamados «Carta Salir de la Cárcel», documento firmado por la dirección de la empresa, que indica que se trata solo de una prueba para evitar un posible enfrentamiento físico.

    Cada cliente es diferente y requiere diferentes escenarios de ingeniería social. Algunos empleados de los clientes tienen una mayor conciencia de seguridad y, por lo tanto, son inmunes a los ataques triviales de ingeniería social (como correos electrónicos de phishing o llaves USB derramadas con malware). Por lo tanto, desarrollamos escenarios más sofisticados, que luego probamos a su vez.

    La ingeniería social bien implementada suele tener mucho éxito. Incluso hoy en día, podemos ver qué tan bien los estafadores que se hacen pasar por empleados de Microsoft lo llaman por teléfono e intentan obtener acceso a su computadora e información personal confidencial.

    Pruebas especializadas

    Si Usted es un cliente que está interesado en pruebas específicas de una tecnología o plataforma en particular, háganoslo saber. Contamos con expertos y experiencia con la seguridad de las siguientes tecnologías:

    Auditoría de seguridad de contratos inteligentes : si necesita probar aplicaciones descentralizadas en Solidity sobre Ethereum (u otra) blockchain que habilita contratos inteligentes. Hemos abordado el tema de las vulnerabilidades en los contratos inteligentes en otro artículo más extenso .

    Auditoría de seguridad de sistemas SAP : para probar la seguridad de sus sistemas y aplicaciones SAP. Como SAP es un sistema robusto muy complejo, tenemos una tasa de éxito muy alta de su compromiso.

    Auditoría de seguridad de tarjetas inteligentes : en el pasado demostramos la ruptura de las tarjetas inteligentes más extendidas en el mundo (Mifare Classic) y también fuimos los primeros en publicar una herramienta de código abierto para romperlas ( mfoc , disponible por ejemplo en la distribución de hackers Kali). Hemos utilizado repetidamente esta experiencia para auditar varias tecnologías de tarjetas inteligentes inalámbricas (que cumplen con las normas ISO 15693 e ISO / IEC 14443 ).

    Auditoría de seguridad de redes inalámbricas (WiFi) : los puntos de acceso wifi falsificados (los llamados «AP no autorizados») pueden ser una forma no deseada de filtrar información confidencial de su red interna. Del mismo modo, una red wifi interna insuficientemente segura significa que un atacante lo pone en peligro a usted, a sus empleados o clientes. Todo esto puede ser detectado mediante una auditoría de seguridad de redes inalámbricas (WiFi), que estamos encantados de realizar físicamente en sus instalaciones.

    Auditoría de seguridad SCADA e IoT : si fabrica su propio hardware o si es una empresa con una infraestructura industrial crítica, puede utilizar nuestras auditorías de seguridad SCADA e IoT especializadas, que pueden detectar vulnerabilidades en su hardware o infraestructura industrial. Estas vulnerabilidades a menudo pueden tener consecuencias fatales en caso de abuso, por ejemplo, falla de una línea de producción, generador, mal funcionamiento del marcapasos cardiovascular, etc.

    En nuestra empresa tenemos experiencia en probar la seguridad de teléfonos VoIP propietarios, enrutadores WiFi, unidades a bordo para automóviles, estaciones BTS móviles o infraestructura industrial.

    En tiempos de pandemia y trabajo remoto, cuidar su fuente de producción es vital. Estamos aquí para ayudarlos. Si desea planificar una cita en un entorno seguro, puede contactarnos al 302-2862 o al celular +507 6229-2530 (vía Signal) para conversar sobre sus inquietudes y necesidades.

  • La información sobre las vacunas de Pfizer / BioNTech hackeada a la Agencia Europea de Medicamentos podrían complicar su cronograma

    BioNTech y Pfizer dicen que EMA (Agencia Europea de medicamentos) les ha «asegurado’»que el ciberataque no tendrá ningún impacto en el cronograma para la revisión de su vacuna.

    La farmacéutica estadounidense Pfizer y su socio alemán BioNTech , comunicaron a última hora del miércoles que los documentos relacionados con su vacuna COVID-19 fueron «accedidos ilegalmente» después de un ciberataque al regulador europeo de medicamentos.

    La Agencia Europea de Medicamentos, o EMA, que autoriza el uso de medicamentos en toda la Unión Europea, había revelado anteriormente que había sido blanco de un ciberataque.

    «La Agencia ha lanzado rápidamente una investigación completa, en estrecha cooperación con las fuerzas del orden y otras entidades relevantes», dijo la EMA en un breve comunicado . Agregó que no pudo proporcionar detalles adicionales mientras la investigación está en curso.

    Tras la divulgación, BioNTech manifestó  que se había accedido a los documentos incluidos en su presentación reglamentaria , que se habían almacenado en un servidor de la EMA.

    «Es importante tener en cuenta que no se ha violado ningún sistema de BioNTech o Pfizer en relación con este incidente y no sabemos que los participantes del estudio hayan sido identificados a través de los datos a los que se accedió», dijo BioNTech en un comunicado en su sitio web.

    “En este momento, esperamos más información sobre la investigación de la EMA y responderemos de manera apropiada y de acuerdo con la ley de la UE (Union Europea). EMA nos ha asegurado que el ciberataque no tendrá ningún impacto en el cronograma de su revisión ”, agregó la compañía.

    La EMA, que autoriza el uso de medicamentos en toda la UE, está trabajando en la aprobación de la vacuna candidata Pfizer – BioNTech, así como en la inyección experimental que está desarrollando la biotecnología estadounidense Moderna, Y espera concluir su revisión antes del 29 de diciembre.

    El regulador ha estado llevando a cabo revisiones continuas de candidatos a vacunas, incluidas las realizadas por la compañía farmacéutica AstraZeneca y la Universidad de Oxford, durante meses. Las llamadas revisiones continuas permiten a los fabricantes de medicamentos enviar datos a medida que están disponibles, en lugar de enviarlos una vez que se concluye el trabajo de desarrollo

    BioNTech manifestó que había hecho públicos los detalles del hack, «dadas las consideraciones críticas de salud pública y la importancia de la transparencia».

    Sus comentarios se produjeron la misma semana en que una mujer de 90 años en el Reino Unido se convirtió en la primera persona en el mundo en recibir la inyección de Pfizer-BioNTech COVID-19 fuera de los ensayos, como parte de un programa de vacunación masiva en el país.

    Un portavoz del Centro Nacional de Seguridad Cibernética del Reino Unido, o NCSC, una rama de la agencia de inteligencia GCHQ, dijo: “El NCSC apoya la investigación y fabricación de vacunas vitales defendiendo de las amenazas cibernéticas.

    «Estamos trabajando con socios internacionales para comprender el impacto de este incidente que afecta al regulador de medicamentos de la UE, pero actualmente no hay evidencia que sugiera que el regulador de medicamentos del Reino Unido se haya visto afectado», agregó el portavoz.

    Los reguladores han intensificado sus advertencias en las últimas semanas sobre las amenazas de piratería contra los fabricantes de vacunas y los organismos de salud pública durante la pandemia de COVID-19.

    El mes pasado, el NCSC dijo que más de una cuarta parte de todas las amenazas cibernéticas que manejó involucraban a criminales y estados hostiles que explotaban la pandemia de COVID-19, según su último informe. Los espías del Reino Unido detectaron 723 incidentes en los 12 meses hasta fines del 31 de agosto, un aumento del 10% desde 658 en el mismo período en 2019, dijo el NCSC en su  revisión anual  publicada el 4 de noviembre.

    Apenas unos días antes, las agencias federales de EE. UU. advirtieron que el sistema de atención médica de EE. UU. se enfrenta a una amenaza «creciente e inminente» de ciberdelito. En septiembre, un ataque de ransomware afectó a la cadena de hospitales  Universal Health Services , que opera más de 250 hospitales, lo que obligó a los médicos y enfermeras a depender de sistemas de respaldo en papel.

    Reiteramos, lo que ha sucedido con el ataque a la documentación de respaldo de vacunas ante el EMA es de una gravedad aún no dimensionada, especialmente cuando el mundo necesita la vacuna a la mayor brevedad posible. Parafraseando al Ethical Hacker Pavol Luptak , que ha dicho sobre este particular: «Para algunos países, es más barato piratear la vacuna que invertir en su desarrollo. La inversión en seguridad de IT siempre debe reflejar cómo se valoran los conocimientos sobre las vacunas», agregamos: la inversión en seguridad de su compañía debería reflejar la valoración que Usted hace de la misma. Hoy más que nunca.

  • Seguridad informática, una de las acciones más importantes a tomar ya mismo, por su bien y el de su organización

    La actual pandemia ha impulsado a las empresas a repensar sus necesidades de transformación digital, implementación tecnológica y la adaptación de sus procesos de negocios. Ante este nuevo panorama, la protección de los datos se ha vuelto cada vez más esencial para las organizaciones de todos los tamaños y segmentos.

    Sin duda la actual situación que ha generado la pandemia dio como resultado que, ante la urgente necesidad de implementar el trabajo remoto, la prioridad de todas las empresas fue permitir el acceso a los colaboradores a sus sistemas, y en oportunidades sin considerar aspectos fundamentales de seguridad informática.

    Así fue como algunos accesos remotos no tenían la encriptación y tampoco la autenticación segura, por lo que resultaba fácil descubrir las credenciales de los funcionarios y así, acceder a los sistemas de las compañías. De hecho, muchas empresas poco se preocuparon por esos riesgos para no perder la continuidad operativa. Y en un hecho absolutamente fuera de control, en muchos hogares, con muchos niños en escolaridad virtual y pocos dispositivos, se han compartido laptops, pcs, etc, entre padres trabajando también en forma remota e hijos, con datos “regalados” por los niños en el hogar que han podido comprometer la seguridad de empresas sin que se hayan podido percatar de ello..

    Respecto a la banca, hay un incremento en los fraudes a usuarios de la banca y empresas en general, se han incrementado más intentos de fraude o robo de información, a través de medios electrónicos, principalmente correos o llamadas telefónicas.

    Las instituciones han intensificado el envío de mensajes preventivos a sus clientes. Sin embargo, no ha sido suficiente; es imperativo y urgente que se establezcan acciones adicionales y específicas para el resguardo  y el fomento de cultura de seguridad informática para la protección de los clientes; se requiere que el personal responsable de la ciberseguridad en las instituciones, corporaciones y autoridades financieras cuente con habilidades técnicas, estratégicas y gerenciales para identificar y responder a las amenazas que se presentan hoy en día.

    A nivel bancario, dichas medidas son de vital importancia para las instituciones del país debido a que es indispensable que los sistemas de pago operen a cualquier hora y en cualquier lugar bajo cualquier circunstancia, sobre todo en un estado de incertidumbre como el actual.

    Dada la funcionalidad de las empresas que proveen servicios tecnológicos, como los de cómputo en la nube, así como la escala operativa que algunas llegan a tener, una disrupción o suspensión en la prestación de sus servicios puede tener implicaciones relevantes para la continuidad operativa de las entidades financieras que recurren a estas empresas para prestar sus servicios financieros básicos, e incluso para la estabilidad del sistema financiero.

    La observancia de medidas básicas de ciberseguridad y una mejor preparación de los bancos para operar con esquemas de contingencia cuando un ataque los obligue a eso es fundamental y aún cuando parezca redundante decirlo, este año han habido bancos importantísimos en Latinoamérica (en Chile y Costa Rica, por ejemplo) cuya seguridad ha sido seriamente comprometida.

    Si los sistemas financieros deben extremar la seguridad, en las corporaciones en general, se debe destacar una mayor exposición aún a riesgos en la operación de las mismas por el incremento en las conexiones remotas que se requieren en el uso de esquemas de trabajo a distancia durante y post pandemia.

    Sin embargo, tras casi 7 meses de cuarentena, se siguen observando las vulnerabilidades dejadas en el camino y los accesos remotos seguros de extremo a extremo son escasos de comprobar a estos momentos.

    Pero más allá de ello, no solo se trata de implementar soluciones o programas específicos, es más que una sola solución para un caso puntual descubierto en un simple test de penetración. Se trata de contar con una política y plan de seguridad que le permita a la empresa no tener vulnerabilidades ni brechas en la continuidad del tiempo. Esta nueva modalidad de trabajo no tiene retorno y se quedará para siempre. Tener esa visión es esencial para la evolución de los negocios y para la salud de las organizaciones es crítica. Se trata de mantener y proteger la data, cuando especialmente es data sensible que le pertenece a terceros. Las preocupaciones sobre el rastreo de contactos y otras invasiones gubernamentales de la privacidad personal conducirán a un nuevo deseo por parte del público de formas de identificar a las organizaciones con las que se conectan en línea, y de mejores garantías de la seguridad de los dispositivos conectados en su vida cotidiana, incluidos los automóviles conectados, hogares, edificios, sitios web, correos electrónicos, etc. Hay que recordar que en Panama, desde Marzo del 2021, entrará en vigencia la ley de protección de datos que hará responsables a todas las compañías por su preservación y custodia.

    También es imperativo para las empresas contar con profesionales preparados para afrontar los desafíos que se plantean ante el nuevo panorama de seguridad. Deben estar capacitados en nuevas tecnologías, orientados a la arquitectura, aplicaciones seguras y también a servicios de seguridad.

    Con toda la incertidumbre que se presentó en el 2020, nadie sabe con certeza qué pasará. Sin embargo, los usuarios pueden estar razonablemente seguros acerca de nuevas predicciones basadas en los cambios en la seguridad de la información que probablemente influirán en el año 2021.

    Según el Verizon’s Data Breach Investigations Report for 2020, la ingeniería social es uno de los principales vectores de ataque para los piratas informáticos y se espera que sean cada vez más complejos y se aprovechen los eventos actuales a niveles sin precedentes: con el desempleo en su nivel más alto, se verá un aumento de la actividad maliciosa aún mayor en 2021, ya que los programas de subsidios y desempleo de los gobiernos centrados en la pandemia, han ampliado el alcance para recibir beneficios y los métodos de seguridad no han podido mantenerse al día debido a la celeridad con que han debido implementarlo. Esto solo hará que este sea un canal muy interesante para los estafadores. Los atacantes aprovecharán en gran medida las pruebas de COVID-19. Los estafadores utilizarán la ingeniería social para engañar a los usuarios y gobiernos o autoridades para producir pruebas engañosas o para apoderarse de la data almacenada en laboratorios y repositorios gubernamentales. Quizás también se produzcan aplicaciones que engañarán a los usuarios para que descarguen virus maliciosos en dispositivos inteligentes que los hackers pueden aprovechar para actividades criminales, desde robos a cuentas bancarias o extorsiones con data privada.

    Por último, existirán muchas noticias sobre filtraciones de datos debido a vulnerabilidades de  empresas que no han hecho un buen trabajo para proteger su fuerza de trabajo remota y sus sistemas. No espere que su organización esté dentro de estas malas noticias.

    Si si aún no la ha hecho, solicite su revisión de vulnerabilidad y riesgo cibernético a Goethals Consulting, probablemente le sorprenderá su nivel de indefensión.