Ciberseguridad: Los riesgos digitales que representa el uso de las Apple Vision Pro
El gigante de Cupertino vive las mieles del lanzamiento de un dispositivo que revoluciona la era digital, las Apple Vision Pro. Las nuevas gafas VR se convirtieron en una sensación durante la primera semana de su llegada al mercado, y aunque son algo costosas, marcan un antes y un después en este tipo de dispositivos, que seguramente comenzarán a normalizarse entre los usuarios. Bajar el precio del aparato debe ser el principal objetivo de Apple, si quiere vender de forma masiva en todo el mundo. Pero además, la empresa de Cupertino debe tomar en consideración algunas vulnerabilidades de seguridad y privacidad, detectadas por ESET, firma líder en ciberseguridad en el mundo entero. Los expertos de ESET se reunieron en sus laboratorios para analizar las posibles amenazas que pueden aparecer con el lanzamiento de este dispositivo. En primer lugar, señalan que al ser un aparato nuevo, que estrena Sistema Operativo, hay vulnerabilidades en las instalaciones de las aplicaciones, uno de los lugares favoritos de los hackers para actuar. Las vulnerabilidades que ESET describe sobre Apple Vision Pro “Ya sea por características provenientes del sistema operativo o por algún eventual descuido en la composición de las aplicaciones que se instalarán en Apple Vision, es posible que ciberdelincuentes exploten vulnerabilidades en los equipos. La explotación de vulnerabilidades es uno de los trucos utilizados por los delincuentes para propagar amenazas como troyanos y ransomware”, explica la compañía en un comunicado. En el caso del ransomware, el dispositivo se verá inhibido de realizar plenamente sus funciones y las víctimas tendrán dos opciones: ponerse en contacto con Apple para obtener ayuda -ya que Vision no cuenta con una interfaz que permita la interacción directa con el sistema operativo para reinstalarlo-, o el pago del rescate, algo que desde ESET se desaconseja encarecidamente, porque quien paga el rescate financia al grupo de ciberdelincuentes y les permite atacar aún más víctimas”, detallaron desde la firma experta en ciberseguridad. En el caso de la infección con un troyano, los ciberdelincuentes pueden tener acceso a todas las cámaras y sensores disponibles en el dispositivo, viendo y monitorizando todo lo que ve la víctima. Sería como tener a un delincuente al lado durante mientras se utiliza el dispositivo, sin privacidad. La idea no es atacar el uso de las Apple Vision Pro. Esto sucede con novedades en cualquier sistema operativo, sea de iOS, Android, Microsoft o cualquier otro. Lo que se intenta explicar es que al ser un programa nuevo, los usuarios necesitan tener las alarmas más encendidas que nunca para no ser víctima de los ciberdelincuentes o hackers. FUENTE: Sandoval, Alberto. »Ciberseguridad: Los riesgos digitales que representa el uso de las Apple Vision Pro» Fayerwayer.com. 16/03/2024. (https://www.fayerwayer.com/moviles/2024/03/16/ciberseguridad-los-riesgos-digitales-que-representa-el-uso-de-las-apple-vision-pro/).
Ciberseguridad industrial: protegiendo los pilares de las infraestructuras críticas
Los ataques al sector industrial alcanzaron una cifra récord en el segundo trimestre de 2023, según los datos de Kaspersky, con cerca del 27% de los sistemas analizados infectados. Muchos entornos industriales son considerados infraestructuras críticas ya que prestan servicios esenciales. Las empresas deben aplicar estrategias de ciberseguridad industrial para protegerlas. Si se detiene una cadena de suministro o de logística por un ciberataque, la empresa y el resto de entidades que dependen de su operativa se enfrentarán a pérdidas que pueden ser millonarias. Si lo que se produce en esa industria está relacionado con servicios esenciales, es decir, si es una infraestructura crítica, las pérdidas se multiplican. Ante esta perspectiva, la ciberseguridad industrial cobra protagonismo: un 46% del sector industrial implementará planes estratégicos al respecto en un futuro próximo, según el Barómetro SIA 2023 de Ciberseguridad OT. A lo largo de 2023 muchas empresas de diferentes sectores del mundo industrial han sufrido ciberataques. El Instituto Nacional de Ciberseguridad (INCIBE) explica que se trata de uno de los sectores donde el nivel de ciberseguridad es considerablemente bajo y los daños que se pueden ocasionar son muy altos. ¿Qué es la ciberseguridad industrial? La ciberseguridad industrial se refiere a la protección de sistemas, redes y datos en entornos industriales y de infraestructuras críticas. Estos entornos incluyen instalaciones como plantas de energía, fábricas, infraestructuras de agua y servicios públicos esenciales. En definición, es el conjunto de prácticas, tecnologías y procesos para gestionar y controlar eficazmente el riesgo en las tecnologías de la operación (OT, por sus siglas en inglés) y en relación a su conexión con el ciberespacio y las tecnologías de la información (IT, por sus siglas en inglés) e internet, según el Centro de Ciberseguridad Industrial (CCI). La ciberseguridad industrial es crucial porque estas infraestructuras suelen depender en gran medida de sistemas de control y automatización, que están interconectados a través de redes informáticas. La creciente conectividad en entornos industriales ha aumentado el riesgo de ciberataques, que pueden tener consecuencias graves, incluyendo interrupciones en la producción, daño a equipos, pérdida de datos críticos y riesgos para la seguridad pública, como explica IEBS. Entre los sectores estratégicos que pueden verse afectados, LISA Institute destaca energía, agua, transporte, manufactura, salud, alimentación, química, investigación, tecnologías de la información y comunicación. Internet Industrial de las Cosas En una instalación industrial hay cientos de dispositivos conectados (‘routers’, máquinas, ordenadores, sensores) IDC calcula que las fábricas van a acaparar más del 30% de la inversión global en IoT este año. El siguiente paso es el desarrollo de la industria conectada, con una mayor automatización de las cadenas de producción. Para SAP, el Internet Industrial de las Cosas (IIoT) es un sistema de sistemas potenciado por inteligencia artificial (IA) que puede seleccionar, gestionar y analizar información de un extremo del negocio al otro; donde máquinas, sistemas y personas trabajan juntos en tiempo real. Cuantos más dispositivos conectados, más superficie de ataque vulnerable. Los perfiles de riesgo de muchos sistemas de IoT son elevados en comparación con los de la TI empresarial, dado el control de la IoT sobre las operaciones físicas, según McKinsey. Esta transformación del ámbito de la fabricación requerirá mejorar y aumentar las estrategias de ciberseguridad industrial. ¿Cómo reforzar la ciberseguridad industrial? Los manuales de INCIBE y UNIR recogen una serie de consejos que se enfocan en la anticipación a las amenazas y mitigación de riesgos con cuatro fases: En cuanto a las medidas técnicas o específicas de protección, emiten algunas recomendaciones clave: FUENTE: Innovación. »Ciberseguridad industrial: protegiendo los pilares de las infraestructuras críticas» Bbva.com. 15/03/2024. (https://www.bbva.com/es/innovacion/ciberseguridad-industrial-protegiendo-los-pilares-de-las-infraestructuras-criticas/).
¿Por qué las redes sociales quieren atraer a los menores?
En la infancia y adolescencia las funciones ejecutivas están inmaduras y no son capaces de percibir determinados riesgos online. La publicidad dirigida a los menores es una vía muy efectiva porque son un público vulnerable y fácil de manipular. Este mes de febrero, el Ayuntamiento de Nueva York llevó a juicio a las grandes plataformas sociales (Facebook, Instagram, TikTok, Snapchat y YouTube) por “alimentar una crisis de salud mental juvenil“. Mientras, parece que crece la sospecha de que las redes sociales reciben grandes beneficios gracias a los usuarios jóvenes. Podría interesarle: Cómo prevenir y evitar los fraudes cibernéticos Un nuevo estudio dirigido por la Escuela de Salud Pública T.H. Chan de Harvard estima que Facebook, Instagram, Snapchat, TikTok, X (antes Twitter) y YouTube obtuvieron en conjunto casi 11.000 millones de dólares en ingresos publicitarios de usuarios estadounidenses menores de 18 años en 2022. Aunque la edad mínima difiere en cada red y en cada país, la media de uso de estas plataformas se sitúa entre los 13 y los 14 años. Sobre el papel parece ser así, pero los expertos confirman que “en la práctica, las redes sociales no evidencian una voluntad real de vetar el acceso de los más pequeños –en ocasiones incluso parece todo lo contrario–, con lo cual el perfil de usuario tiende a rejuvenecer de forma preocupante“, explica Ferran Lalueza, profesor de los Estudios de Ciencias de la Información y de la Comunicación de la Universitat Oberta de Catalunya (UOC). A través del análisis de informes, estudios de mercado y encuestas públicas los investigadores construyeron un modelo de simulación que calculaba cuántos ingresos publicitarios obtenían las plataformas de los jóvenes usuarios estadounidenses. El estudio concluyó que en conjunto, las plataformas generaron casi 11.000 millones de dólares en ingresos publicitarios de estos usuarios: 2.100 millones de dólares de usuarios de 12 años o menos y 8.600 millones de dólares de usuarios de 13 a 17 años. YouTube consiguió los mayores ingresos publicitarios de los usuarios menores de 12 años, seguido de Instagram y Facebook. Instagram obtuvo los mayores ingresos publicitarios de los usuarios de 13 a 17 años, seguida de TikTok y YouTube. Los peligros de ser menor y consumir contenido dirigido a adultos ¿Qué peligros suponen las redes sociales para estos menores? “En la infancia y la adolescencia, las funciones ejecutivas están inmaduras, y este funcionamiento es esencial para los procesos cognitivos y el razonamiento. Por ello, no serán suficientemente maduros para percibir el riesgo de determinados peligros en línea, la autogestión del tiempo invertido o su capacidad crítica frente a contenidos inadecuados”, explica Merche Martín, profesora de los Estudios de Psicología y Ciencias de la Educación de la UOC. Respecto al ámbito comunicativo, Lalueza y Martínez consideran que existen cuatro grandes peligros para estos menores. “El primero es la comparación social negativa: el contraste entre la vida de ensueño que suelen mostrar las redes y la vida real resulta demoledor si no hay conciencia de que estas plataformas no son un reflejo fiel de la realidad”, explica Lalueza. Otro de los grandes peligros es la facilidad de acceso a los contenidos tóxicos, como los discursos de odio, el acoso, la violencia, el sexo inapropiado y el eco tóxico de las propias redes. Lea también: Howden considera que la protección de datos es el reto principal para las smartcities Por ello, diferentes instituciones europeas han puesto en marcha medidas como el Reglamento Europeo de Protección de Datos, la Ley de Servicios Digitales, la de Mercados Digitales y resoluciones del Comité Europeo de Protección de Datos para introducir cambios específicos en la gestión de la publicidad en estas plataformas. “Precisamente para adaptarse a esta normativa, Meta anunciaba en el último trimestre de 2023 una medida temporal que le llevaba a suspender desde este pasado noviembre los anuncios a adolescentes”, explica Martínez. Steve Jobs (Apple), Bill Gates (Microsoft) o Sergey Brin (Google) han explicado públicamente que han criado a sus hijos libres de pantallas. En Silicon Valley proliferan los colegios sin tabletas ni ordenadores, y las niñeras tienen el uso del móvil prohibido por contrato. En España, en cambio, la situación es justo lo contrario, según un estudio de la UOC y la Universidad de Girona, en el que participa Merche Martín y donde se afirma que más de la mitad de los adolescentes no tienen normas en casa para el uso de las TIC. Siguiendo esta línea, el informe de Common Sense advertía una diferencia: los niños de hogares de altos ingresos usan los dispositivos para entretenerse menos que los niños de hogares de ingresos medios y bajos. “A menudo, los mayores ingresos están vinculados a un mayor nivel educativo y a la consecuente concienciación respecto al riesgo asociado al uso de las redes, y disponer de más recursos económicos multiplica las opciones de ocio infantil (extraescolares, actividades sociales, práctica deportiva, etc.); en tercer lugar, los bajos ingresos pueden ir vinculados a trabajos precarios que dificulten la conciliación familiar y el cuidado de los hijos”, explica Lalueza, investigador del grupo GAME. FUENTE: Hechosdehoy. »¿Por qué las redes sociales quieren atraer a los menores?» Hechosdehoy.com. 14/03/2024. (https://hechosdehoy.com/por-que-las-redes-sociales-quieren-atraer-a-los-menores/).
Cómo prevenir y evitar los fraudes cibernéticos
En la era digital, donde nuestras vidas están cada vez más entrelazadas con la tecnología, la prevención de fraudes cibernéticos se vuelve esencial. Ya sean fraudes, suplantación de identidad u otros tipos de delitos que ocurren en internet son cuestiones que afectan a miles de personas. Tan solo en México, este tipo de delitos perjudicaron a mil 100 personas en 2022, lo cual dejó al país como el noveno territorio más impactado por este problema a nivel mundial, según datos de la empresa de ciberseguridad Surfshark. Los dos modus operandi más frecuentes en el país a lo largo del año mencionado fueron el phishing (robo de datos a través de correos, mensajes o llamadas en los que defraudador se hace pasar por una compañía fidedigna) y el fraude de inversiones, que también fue el más devastador desde el enfoque financiero, pues representó una pérdida promedio de 108 mil dólares por persona. ¿Qué son los fraudes cibernéticos? La Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef) explica que un delito cibernético son aquellas estafas que utilizan los medios digitales e internet para realizar transacciones ilícitas. Las personas que suelen ser las principales víctimas de estos delitos son aquellas que no tienen conocimiento de la tecnología, respecto a cómo cuidarse a sí mismos y a sus aplicaciones en línea, al igual que aquellos que suelen compartir demasiada información en internet, pues les dan insumos para conocer sobre ellos y tener más herramientas de un ataque. Lea también: La privacidad, clave para el acceso a los datos digitales Otros de los delitos más comunes en internet son el smishing(envío de correos o mensajes para que el usuario ingrese a una página fraudulenta) o el pharming (mensajes mediante ventanas emergentes que buscan robar información). ¿Cómo evitar un fraude cibernético? A continuación se enlistan una serie de consejos prácticos para proteger las cuentas bancarias y los activos en general en el mundo digital: Fortalece tus contraseñas – Utiliza contraseñas robustas y evita utilizar la misma contraseña para varias cuentas. – Incorpora una combinación de letras, números y caracteres especiales en tus contraseñas para aumentar la seguridad. Habilita la autenticación de dos pasos – Añade una capa adicional de seguridad activando la autenticación de dos factores siempre que sea posible. Cautela con correos electrónicos y mensajes sospechosos – No hagas clic en enlaces ni descargues archivos de correos electrónicos desconocidos. – Verifica la autenticidad de los remitentes antes de proporcionar información personal. Actualiza regularmente tu software y antivirus – Mantén tus dispositivos y programas actualizados para beneficiarte de las últimas medidas de seguridad. – Instala un software antivirus confiable para protegerte contra amenazas cibernéticas. Evita redes wi-fi públicas – Utiliza redes seguras y protegidas por contraseña, especialmente al realizar transacciones financieras en línea. Monitorea tus cuentas con regularidad – Revisa detalladamente tus estados de cuenta bancarios y tarjetas de crédito para detectar actividades inusuales. Protege tu información en redes sociales – Limita la cantidad de información personal compartida en plataformas sociales para reducir el riesgo de ingeniería social. La prevención de fraudes financieros cibernéticos implica una combinación de precaución, educación y medidas proactivas. Al adoptar estas prácticas, puedes salvaguardar tus activos en el mundo digital y disfrutar de una experiencia financiera más segura. FUENTE: González, Valeria. »Cómo prevenir y evitar los fraudes cibernéticos» Infobae.com. 11/03/2024. (https://www.infobae.com/educacion/2024/03/11/como-prevenir-y-evitar-los-fraudes-ciberneticos/).
La ciberseguridad también es clave para el Tercer Sector
El pasado mes de junio, el equipo de una ONG Acreditada se encontró con que no podían acceder a su servidor ni a toda su información. Habían sufrido un incidente de ciberseguridad, y les estaban pidiendo rescate en bitcoins. Decidieron no aceptar el chantaje y denunciar ante la Guardia Civil. Con el correo electrónico, lo guardado en la nube y lo que tenían en papel han podido retomar su actividad, aunque les ha llevado un mes de trabajo. A día de hoy han reforzado sus medidas de seguridad, y realizan hasta cuatro copias de la información en lugares diferentes. Lección aprendida para al menos minimizar daños si vuelve a ocurrir. La vulnerabilidad del más débil Porque lo cierto es que ocurre. “2023 fue un año sin precedentes en ciberamenazas” así de contundente se muestra el informe INFORME SOBRE AMENAZAS AVAST Q4/2023. Aunque podríamos pensar que los ataques se dirigen a grandes compañías e instituciones, estas seguramente están mejor preparadas y protegidas, y se lo ponen más difícil a “los malos”. Por eso, entidades más vulnerables tecnológicamente hablando se convierten en objetivo. Y en ese grupo también estamos las entidades no lucrativas. El caso real de la ONG Acreditada con la que abrimos este post es solo un ejemplo. Hay más, y en ONG de todos los tamaños. Algunos de estos ciberataques, por afectar a grandes organizaciones no lucrativas de ámbito nacional e internacional, se han hecho públicos. Otros no llegan a conocerse pero no por ellos sus consecuencias son menos graves. Los riesgos de la digitalización La realidad es que el Tercer Sector ha avanzado enormemente en digitalización, y eso es una buena noticia. La tecnología permite agilizar procedimientos y optimizar la gestión. Pero al mismo tiempo, también se multiplican las brechas de seguridad y los riesgos. Además, en muchos casos las entidades gestionan datos sensibles de donantes y de beneficiarios. Por ello, es fundamental ser conscientes de la necesidad de proteger la información. Según el informe Nonprofit Tech for Good 2023, el 27% de las ONG a nivel mundial han sufrido un ciberataque. Desde Fundación Esplai, a través de su iniciativa Gestión Tercer Sector, que entre otras cosas ofrece asesoramiento en el ámbito tecnológico, recuerdan la regla del ‘zero trust’. La mejor manera de prevenir un ciberataque es ser conscientes de que nos puede ocurrir, y sospechar de todo aquello que nos suene extraño. Incluso si viene de personas o entidades de confianza. Tipos de ciberataques Una de las formas que puede adoptar un ataque cibernético es la suplantación de identidad. Parece que nos escribe alguien que conocemos o en quien confiamos, pero en realidad no es así. Utilizan la técnica del phishing y nos piden que hagamos algo (facilitar unos datos, una contraseña …). Es conveniente desconfiar de cualquier mensaje “raro”. Es frecuente recibir mensajes por correo electrónico o SMS, un aviso de recogida de un paquete, nos ha tocado un premio. También más sofisticados y camuflados en el entorno laboral: un documento para firmar digitalmente, una factura para descarga …Si abrimos esos mensajes en un dispositivo de la asociación o fundación en la que trabajamos, estaremos poniendo en peligro a toda la organización. Lea también: La próxima amenaza de ciberseguridad son los gusanos informáticos de IA Otro tipo de ciberataque, denominado BEC, consiste en que el estafador utiliza el correo profesional para hacerse pasar por alguien vinculado a la organización. Y de ese modo, incluso simulando ser “el jefe”, puede solicitar el pago de una factura falsa o pedir determinados datos bancarios. Y como muestra, mientras preparamos este artículo a varios compañeros les ha llegado un correo “supuestamente” de nuestra directora, un claro intento de fraude. El empleado, principal elemento de prevención Por otro lado, conviene también tener en cuenta la técnica del malware, que consiste en infectar un ordenador o un servidor con un software malicioso. De este, modo, el atacante puede acceder a toda su información, ya sea para utilizar esos datos de forma fraudulenta o para “secuestrarlos” (ransomware) y pedir un rescate económico. Acceder a una web falsa, descargarse un archivo, una app o un programa de origen dudoso, abrir un adjunto de un e-mail fraudulento… Cualquiera de estas acciones puede hacer que ese software se instale en nuestro dispositivo. Por eso, es muy frecuente que el ciberataque que sufre una entidad haya entrado a través de un dispositivo de un empleado. Esto quiere decir dos cosas: que es fundamental que nuestros sistemas estén dotados de medidas de protección. Y que la mejor prevención es la sensibilización y formación a cada persona de la organización. Cómo plantear la estrategia de ciberseguridad Hemos preguntado a David Merino, responsable Infraestructura y Seguridad de Unicef España, qué pasos debe seguir una ONG para determinar sus necesidades de ciberseguridad. Nos ha explicado que ellos toman como referencia el marco de seguridad del Instituto Nacional de Estándares y Tecnología (NIST) de Estados Unidos, que se basa en cinco pilares: Medidas básicas de prevención en el día a día También hemos consultado con un experto en ciberseguridad qué medidas básicas debe adoptar una ONG en su día a día para prevenir ciberataques. Jorge Sanz, director del Máster en Ciberseguridad del Centro Universitario U-tad, nos da cinco sencillas pautas que no requieren grandes desembolsos ni conocimientos técnicos avanzados: FUENTE: »La ciberseguridad también es clave para el Tercer Sector» Fundacionlealtad.org. 11/03/2024. (https://www.fundacionlealtad.org/la-ciberseguridad-tambien-es-clave-para-el-tercer-sector/).
La próxima amenaza de ciberseguridad son los gusanos informáticos de IA
A medida que los sistemas de inteligencia artificial (IA) generativa como ChatGPT de OpenAI y Gemini de Google se hacen más avanzados, también crece el interés por ponerlos a trabajar. Startups y empresas tecnológicas están construyendo agentes y ecosistemas de IA sobre los sistemas que pueden realizar tareas aburridas por nosotros, como hacer automáticamente reservas de calendario y, potencialmente, comprar productos. Pero a medida que se da más libertad a estas herramientas, también aumentan las posibilidades de que sean atacadas. Ahora, en una demostración de los riesgos de los ecosistemas de IA conectados y autónomos, un grupo de investigadores ha creado lo que describen como el primer gusano informático de inteligencia artificial generativa, que puede propagarse de un sistema a otro, con la posibilidad de robar datos o desplegar malware en el proceso. “Básicamente, significa que ahora existe la capacidad de llevar a cabo o realizar un nuevo tipo de ciberataque que no se había visto antes”, dice Ben Nassi, investigador de Cornell Tech que está detrás de la investigación. Morris II, el primer gusano de inteligencia artificial Nassi, junto con sus colegas Stav Cohen y Ron Bitton, creó el gusano, bautizado Morris II, como un guiño al gusano informático Morris original que causó el caos en internet en 1988. En un documento de investigación y un sitio web compartido en exclusiva con WIRED, los investigadores muestran cómo el gusano de IA puede atacar a un asistente de correo electrónico de IA generativa para robar datos de los correos electrónicos y enviar mensajes de spam, rompiendo en el proceso algunas protecciones de seguridad de ChatGPT y Gemini. La investigación, que se llevó a cabo en entornos de prueba y no contra un asistente de correo electrónico disponible públicamente, se produce en un momento en que los grandes modelos de lenguaje (LLM por sus siglas en inglés) son cada vez más multimodales, capaces de generar imágenes y video además de texto. Aunque todavía no se han detectado gusanos de IA generativa, varios investigadores afirman que constituyen un riesgo para la seguridad que debería preocupar a las nuevas empresas, los desarrolladores y las compañías tecnológicas. Lea también: Inteligencia artificial y ciberseguridad, retos de las fintech para 2024 La mayoría de los sistemas de IA generativa funcionan mediante instrucciones de texto que ordenan a las herramientas que respondan a una pregunta o creen una imagen. Sin embargo, estas instrucciones también pueden convertirse en un arma contra el sistema. A través de «jailbreaks”, instrucciones diseñadas para que el sistema revele información sobre sí mismo o rompa sus propias reglas de programación, se puede hacer que un sistema haga caso omiso de sus normas de seguridad y emita contenidos tóxicos o que inciten al odio, mientras que los ataques de inyección de instrucciones pueden dar instrucciones secretas a un chatbot. Para crear el gusano de IA generativa, los investigadores recurrieron a lo que se conoce como “prompt autorreplicante adverso”, que provoca que el modelo de IA generativa emita, en su respuesta, otro prompt, explican los investigadores. En resumen, se le dice al sistema de IA que produzca un conjunto de instrucciones adicionales en sus respuestas. Esto es muy similar a los ataques tradicionales de inyección SQL y desbordamiento del búfer, dicen los investigadores. ¿Cómo funciona el gusano de IA? Para demostrar cómo puede funcionar el gusano, los investigadores crearon un sistema de correo electrónico que podía enviar y recibir mensajes utilizando IA generativa, conectándose a ChatGPT, Gemini y el LLM de código abierto, LLaVA. A continuación, encontraron dos formas de explotar el sistema: utilizando un mensaje autorreplicante basado en texto e incrustando un mensaje autorreplicante en un archivo de imagen. En un caso, los investigadores, actuando como atacantes, escribieron un mensaje de correo electrónico que incluía el mensaje de texto adverso, que “envenenaba” la base de datos de un asistente de correo electrónico utilizando la generación aumentada por recuperación (RAG), una forma que tienen los LLM de extraer datos adicionales de fuera de su sistema. Cuando el correo electrónico es recuperado por la RAG, en respuesta a una consulta del usuario, y se envía a GPT-4 o Gemini Pro para crear una respuesta, “rompe el servicio GenAI» y, en última instancia, roba datos de los correos electrónicos, dice Nassi. “La respuesta generada que contiene los datos sensibles del usuario más tarde infecta nuevos hosts cuando se utiliza para responder a un correo electrónico enviado a un nuevo cliente y luego se almacena en la base de datos del nuevo cliente”, explica. Artículos relevantes: La ciberseguridad se disputa con la IA el protagonismo en la inversión En el segundo método, según los investigadores, una imagen con un aviso malicioso incrustado hace que el asistente de correo electrónico reenvíe el mensaje a otros. “Al codificar el aviso autorreplicante en la imagen, cualquier tipo de imagen que contenga spam, material abusivo o incluso propaganda puede reenviarse a nuevos clientes después de que se haya enviado el correo electrónico inicial”, afirma Nassi. En un video de demostración de la investigación, puede verse al sistema de correo electrónico reenviando un mensaje varias veces. Los investigadores también afirman que pueden extraer datos de los correos electrónicos: “Pueden ser nombres, números de teléfono, números de tarjetas de crédito, números de seguro social, cualquier cosa que se considere confidencial”, dice Nassi. Esto es solo una advertencia… Por ahora Aunque la investigación rompe algunas de las medidas de seguridad de ChatGPT y Gemini, los investigadores afirman que el trabajo es una advertencia sobre el “mal diseño de la arquitectura” dentro del ecosistema de la IA en general. No obstante, informaron de sus hallazgos a Google y OpenAI. “Parece que han encontrado una forma de explotar vulnerabilidades del tipo prompt-injection basándose en entradas de usuario que no han sido comprobadas o filtradas”, afirma un portavoz de OpenAI, que añade que la empresa está trabajando para que sus sistemas sean “más resistentes” y afirma que los desarrolladores deberían «utilizar métodos que garanticen que no están trabajando con entradas dañinas». Google declinó hacer comentarios sobre la investigación. Los mensajes que Nassi compartió con WIRED muestran que los investigadores de la compañía solicitaron una reunión para hablar del tema. Aunque la demostración del gusano tiene lugar en un entorno en gran medida controlado, varios expertos en
Howden considera que la protección de datos es el reto principal para las smartcities
Howden Iberia considera que la protección de los datos en su origen, tránsito y destino es el principal reto al que se enfrentan las smartcities. Así lo ha explicado Adrián Feliú, consultor senior de ciberriesgos de Howden Iberia, durante su participación en una mesa redonda sobre la digitalización de las ciudades dentro de la jornada sobre ‘Ciudades seguras, sostenibles e inteligentes’ organizada por la Universitat Politècnica de Valencia. Feliú ha comentado que, con la instauración de nuevas comunicaciones para conocer el estado de diferentes puntos de la ciudad, «ya sea a nivel movilidad, agua, energía, afluencia de público…», se plantean nuevos retos entre los que será fundamental la ciberseguridad, ya que el tráfico de información que se genera es muy intenso y susceptible de sufrir ataques cibernéticos, por lo que «es muy importante proteger los datos en todas las fases del proceso». Sobre los principales riesgos y vulnerabilidades a los que se enfrentan las ciudades inteligentes ha citado los que pueden sufrir las infraestructuras críticas, brechas de datos personales y el sabotaje de servicios esenciales. Podría interesarle: El Parlamento Europeo aprueba el nuevo monedero digital para hacer trámites en línea en toda la UE Respecto al equilibrio entre innovación, nuevas tecnologías y seguridad de la privacidad y los datos, ha considerado que es un «desafío» al que se puede hacer frente con la implementación de marcos de gobernanza de datos, estándares de seguridad por diseño y políticas de privacidad que respeten los derechos de los individuos sin obstaculizar el desarrollo tecnológico. El representante de Howden ha defendido, asimismo, la colaboración público-privada entre gobiernos locales, empresas de tecnología, proveedores de servicios y la comunidad de seguridad cibernética para proteger la resiliencia cibernética de las smartcities. Y ha resaltado cómo «el intercambio de información sobre amenazas, vulnerabilidades y mejores prácticas puede mejorar la capacidad de las ciudades inteligentes para prevenir, detectar, responder y recuperarse de incidentes cibernéticos». Además, ha defendido el papel de las alianzas y los marcos regulatorios para facilitar esta colaboración. FUENTE: Redacción. »Howden considera que la protección de datos es el reto principal para las smartcities» 08/03/2024. (https://segurosnews.com/news/howden-considera-que-la-proteccion-de-los-datos-es-el-principal-reto-de-las-smartcities).
Ciberseguridad, el nuevo centro de preocupación para las empresas latinoamericanas
A la par del avance tecnológico en todas las industrias, el incremento de ataques que vulneran la ciberseguridad se ha convertido en un dolor de cabeza para las empresas de la región. Por ello, los esfuerzos e inversiones para sortear la cibercriminalidad son cada vez mayores, en un 2024 donde los riesgos amenazan con agudizarse. En la víspera de Año Nuevo, el colombiano Brian Quintero descubrió que cibercriminales accedieron a su cuenta bancaria y vaciaron todo el dinero que tenía: unos US$760, aproximadamente. A través de correos electrónicos, el neobanco Nequi le notificó que hubo un intento de acceso exitoso a la aplicación mediante la opción de reconocimiento facial. Quintero se comunicó con un asesor de Nequi, quien le indicó que era muy probable que los cibercriminales hayan usado inteligencia artificial (IA) para generar movimiento en las fotografías y burlar, así, el sistema de reconocimiento facial de la aplicación. “El asesor que atiende mi llamada es quien me dice que lastimosamente es un método que están utilizando en este momento los delincuentes cibernéticos. Prácticamente utilizan aplicaciones para generar movimiento en tu rostro”, comentó el cliente afectado al medio colombiano CityTV. Tal evento, sin embargo, es sólo uno de miles de ejemplos vistos durante los últimos meses. Y ponen nuevamente sobre el tapete la fragilidad de los sistemas informáticos de empresas de diversos rubros en toda la región. Los sectores y países más vulnerables de LATAM en materia de ciberseguridad En Latinoamérica, las instituciones más atacadas son los bancos, seguidos por las instituciones de salud y las educativas. Si hablamos de países específicos, según Bruno Santiago, gerente de ciberseguridad de Oracle para América Latina, Brasil es la nación con más ciberataques, seguido de México y Colombia en la región. “Aunque esto no reduce la frecuencia ni la gravedad de los ciberataques en otros países latinoamericanos”, precisa Santiago. La lista de violaciones en proveedores de servicios registradas en los últimos meses es larga. “El ataque de ransomware a GTD en Chile, por ejemplo, afectó a cientos de clientes que utilizaban sus servicios de Infraestructura como Servicio (IaaS), incluyendo entidades gubernamentales. En Colombia, un ataque a la operadora de telecomunicaciones IFX Networks interrumpió las operaciones del Poder Judicial, el Ministerio de Salud y otros organismos gubernamentales, así como a 700 empresas, también de otros países”, detalla el ejecutivo de Oracle. ¿Inversión suficiente? 2023 fue, sin duda, el año del ransomware. Y es que muchas empresas de la región se vieron afectadas por el ahora llamado ransomware-as-a-service. “Este se convirtió en una realidad y un peligro palpable”, dice a AméricaEconomía Robert Calva, Business Leader y especialista en automatización de Red Hat Latinoamérica. El mundo se conecta cada vez más y, con ello, el número de superficies de ataque también se multiplica exponencialmente. Los ataques han construido poco a poco una industria millonaria que busca la ganancia financiera mediante la interrupción del servicio y el robo de datos. Y, para evitarlo, las empresas han respondido con una creciente inversión en ciberseguridad. “En 2023, el costo del cibercrimen alcanzó los US$ 10,5 billones y va en aumento”, indica Walter Montenegro, gerente general de Cisco Chile. Según estimaciones de la empresa de ciberseguridad Cybersecurity Ventures, el costo global de los ciberataques en 2023 fue de US$ 6 billones y se espera que esta cifra aumente a US$ 10 billones en 2025. En Latinoamérica, la filtración y vulneración de datos alcanzó un costo promedio de US$ 2,46 millones. Se trata de un máximo histórico para la región y un aumento del 76% desde 2020, según el estudio Cost of a Data Breach. Podría interesarle: Inteligencia artificial y ciberseguridad, retos de las fintech para 2024 El gasto para protegerse de la cibercriminalidad vale, entonces, su peso en oro. Sobre todo, considerando que un ciberataque es capaz de afectar toda la estructura de una organización. “El riesgo es muy alto. Desde la pérdida de la ventaja competitiva, la reducción de la calificación crediticia y el aumento de las primas de seguros cibernéticos hasta el impacto en el precio de su valor de mercado y pérdida de información sensible de sus clientes. Del lado de las personas, el impacto va desde extorsiones hasta filtración de información personal, suplantación de identidad y fraudes”, comenta Andrés Cariño, director de arquitectura de nube de Oracle. En Latinoamérica, IDC estima que el gasto de las empresas en ciberseguridad se desglosa en un 56% para servicios de gestión de ciberseguridad, 17% en servicios de consultoría, 14% en integración de servicios y 12% en servicios de soporte. Dentro de esa gama, los líderes de negocio están identificando a la seguridad como el caso de uso principal para la IA generativa en sus empresas. “Esa es la razón por la que el 84% de las empresas priorizará soluciones de seguridad con IA generativa en vez de las tradicionales a nivel global, de acuerdo con el estudio de IBM sobre la IA generativa Empresarial”, agrega Pamela Skokanovic, CyberSecurity Sales Manager de IBM Sudamérica Sur. Amenaza creciente De cara al 2024, muchos de los riesgos agudizados en el 2023 seguirían en aumento. Oracle, por ejemplo, anticipa una escalada de ataques de ransomware, ingeniería social predictiva basada en IA y las arquitecturas Zero Trust /o seguridad de confianza cero). Esto convertirá a la autenticación por múltiples factores y la seguridad alrededor de dispositivos móviles en dos aspectos de particular importancia. Y también anticiparía el crecimiento de la demanda de profesionales de TI con conocimientos profundos de ciberseguridad. “Este año la IA generativa empezará a asumir ciertas tareas tediosas y administrativas en nombre de los equipos de seguridad. Pero, más allá de esto, permitirá que los miembros del equipo con menos experiencia asuman tareas más desafiantes y de niveles superiores”, señala Pamela Skokanovic, de IBM. Por otro lado, las amenazas internas también apuntan a crecer entre las empresas latinoamericanas. “Muchas veces la omisión de los estándares de seguridad [de parte de los empleados] puede traducirse en una brecha de la seguridad, que será aprovechada por terceros. Y también es posible que alguno de los empleados sea el responsable directo de las
Inteligencia artificial y ciberseguridad, retos de las fintech para 2024
El sector financiero ha evolucionado y la revolución ha llegado de mano de las fintech. Estas nuevas soluciones ofrecen productos y servicios financieros innovadores que están acompañados por las últimas tecnologías existentes. Sin embargo, factores como la ciberseguridad y la debida utilización de la inteligencia artificial (IA) se han convertido en un reto determinante para este tipo de compañías. “Como fintech sabemos de la importancia de la seguridad para nuestros clientes, que se traduce también en la nuestra como compañía; por eso, todo este proceso de ciberseguridad lo realizamos con el fin de prevenir la fuga de información de datos personales y sensibles, así como riesgos de fraude, suplantación de identidad, entre otros factores”, dijo Daniel Materón, CEO de RapiCredit. Crecimiento del ecosistema ‘fintech’ en el país En un informe elaborado por Finnovatting, se destaca que el ecosistema fintech colombiano entró al podio de la región, desplazando a Argentina y ubicándose en la tercera posición, detrás Brasil y México, países con cuatro veces la población colombiana. Por ende, este crecimiento también trae consigo desafíos que se deben cumplir y uno de ellos y trascendental, es el de ciberseguridad. Apalancados en la utilización de tecnología de vanguardia, como la IA, las fintech les suministran a sus usuarios un sistema de ciberseguridad cada vez más robusto. Todo esto, entendiendo que la revolución tecnológica es constante y que la adopción de esta para sus procesos es necesaria. Así lo demuestra un estudio realizado recientemente por ManpowerGroup denominado la Era de la Adaptabilidad, en el que ratifica que a medida que la IA evoluciona a un ritmo acelerado, la experiencia muestra que la tecnología ha demostrado ser un poderoso aliado. Por eso, aprovechar el potencial de la IA para impulsar el crecimiento y el aumento de la productividad exigirá que las empresas den prioridad a las personas. “Las compañías debemos utilizar la IA debidamente y aprovecharla al máximo. Todas sus virtudes son importantes para elevar la ciberseguridad, en este caso en particular, de las fintech”, aseguró Materón. Podría interesarle: La protección de datos, clave para la inclusión financiera De igual forma, este estudio demuestra que la mayoría de los empleadores (58%) cree que la IA y la Realidad Virtual (RV) tendrán un impacto positivo en el personal de su organización en los próximos dos años. Precisamente, fintechs como RapiCredit, que son de base 100% digital, han involucrado la IA en sus procesos de otorgación de créditos, logrando procesar cantidades masivas de datos, identificando patrones y creando la mayor gestión posible del riesgo crediticio sin errores. “El presente para RapiCredit ya está trazado e incluye la utilización de la IA en todos sus procesos; por eso, nuestro futuro posee la consolidación de créditos rápidos, no solo a través de su página web, sino también por medio de la app, que está disponible en Android. Todo esto, con los más altos estándares en ciberseguridad, en donde somos líderes y pioneros entre las fintechs del país”, culminó Materón. FUENTE: Portafolio. »Inteligencia artificial y ciberseguridad, retos de las ‘fintech’ para 2024» Portafolio.co. 03/03/2024. (https://www.portafolio.co/tecnologia/inteligencia-artificial-y-ciberseguridad-retos-de-las-fintech-para-2024-599696).
