Ciberseguridad – ACTIVIDAD DEL GRUPO CIBERCRIMINAL APT41
Recientemente el Departamento de Justicia de Estados Unidos (EE.UU., por sus siglas en inglés). Anunció que cinco ciudadanos de origen chino están detrás de ataques a más de 100 empresas, algunos de las cuales se atribuyen al grupo de cibercriminales APT41. SERVICIOS AFECTADOS: • Citrix Application Delivery Controller, Citrix Gateway, Pulse Secure VPN, multiples productos D-Link y Zoho ManageEngine Desktop Central. DETALLES TÉCNICOS: APT41 es uno de los grupos de cibercriminales más antiguos, conocidos principalmente por operaciones de ciberespionaje contra empresas desarrolladoras de software, empresas de juego, fabricantes de hardware, empresas de telecomunicaciones, redes sociales, universidades o gobiernos. Se tiene registrado actividad de este grupo desde el año 2012, en ese año se le conocía como Winnti, actualmente se le conoce como APT41, Barium, Wicked Panda o Spider. Dos miembros de los presuntos miembros de APT41, fueron acusados en agosto del año 2019, los cuales se relacionaban con otros tres miembros de este mismo grupo que fueron acusado en julio de 2019. Tres de los 5 cibercriminales han trabajado juntos al menos desde el 2013. Para realizar sus ataques usaron una empresa llamada Chengdu 404 Network Technology como fachada. Se ha observado que estos atacantes han robado código fuente, certificados de firma de código de software, datos de cuentas personales de víctimas y ejecutados ataques sofisticados. La empresa usada por los atacantes se promocionaba como una empresa de seguridad de red, los cuales tenían clientes en el sector militar y seguridad pública. Según el Departamento de Justicia los empleados de Chengdu 404, han realizado actividad delictiva en contra de más de 100 empresas en todo el mundo. En lo que va del 2020 tres de los cinco ciberdelincuentes han realizado ataques de ransomware contra una organización no gubernamental global, una empresa inmobiliaria en los EE. UU. y una empresa de energía en Taiwán. Los ataques de ransomware, junto con los de criptojacking, se realizan con la intención de obtener beneficios económicos. APT41 utiliza herramientas personalizadas y de código abierto para comprometer a sus víctimas y moverse lateralmente a través de la red. También se aprovechan de vulnerabilidades graves para el compromiso inicial. Las vulnerabilidades son: CVE-2020-10189, CVE-2019-11510, CVE-2019-16278, CVE-2019-1652, CVE-2019-1653, CVE-2019-16920 y CVE-2019-19781. La mayoría de estas vulnerabilidades permiten ejecución de código de manera remota. Para el personal de seguridad de información: • Utilizar una política de uso de contraseñas seguras considerando la complejidad, el cambio de credenciales por defecto y la no reutilización de las mismas. • Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad. • Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos. • Concientizar constantemente a los usuarios en temas relacionados a seguridad informática. • Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización. ** Es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de los servicios, con el propósito de aplicar los cambios de manera controlada. Fuente: http://securitysummitperu.com/articulos/actividad-del-grupo-cibercriminal-apt41/?s=09
Ciberseguridad – Electrodomésticos inteligentes: ¿riesgos en la seguridad?
Un sensor que apague la luz que quedó prendida en casa antes de salir, una nevera que avise si se debe comprar más leche o huevos antes de llegar a casa, un portero inteligente que notifique quién tocó el timbre cuando no se estaba, cámaras de seguridad que se prendan por sensores de movimiento o persianas que se bajen cuando ya empiece a caer la tarde son algunos de los dispositivos que cada vez se están incorporando con más fuerza en los hogares. Una tecnología que hace parte del Internet de las Cosas y en este caso puntual es conocido como domótica, que incluye una oferta grande de electrodomésticos inteligentes que brindan opciones cada vez más amplias. “Es una gran oportunidad para los hogares y lo que hace es agregarle algún tipo de valor en ciertos aspectos de la vida cotidiana, facilitando muchos procesos y dando alternativas tecnológicas a cosas del día a día”, asegura Marcelo Adrian Lorenzati Sanz, ‘tech manager’ en Globant, empresa dedica al desarrollo de ‘software’ y TI. El acceso que se le da a estos equipos y la cotidianidad con la que ya son usados ha hecho que se olvide un aspecto muy importante: la gran cantidad de información que es recopilada en ellos y que en la mayoría de los casos hace parte de la privacidad de cada uno. Así lo asegura, Mauricio Gómez, cofundador de Fluid Attacks, empresa experta en temas de ciberseguridad, quien indica que en este tipo de tecnología uno de los aspectos que más se olvida es el número amplio de datos que son parte de nuestra intimidad que pueden ser expuestos. “Nosotros estamos llenos de información, llenos de hábitos, qué comes, a qué horas te levantas, a en qué momento del día te encuentras en casa, y si todo eso va a ser monitoreado por dispositivos conectados a internet, el consumidor debe estar tranquilo que su información va a ser usada para lo que la entregó”, agrega Gómez. El tema de seguridad en muchos momentos pasa a un segundo plano y el usuario se centra principalmente en el funcionamiento de esta tecnología. (Le puede interesar: La seguridad en las videollamadas: ¿qué se puede hacer?) “Generalmente cuando se adquiere uno de estos electrodomésticos ni siquiera termina de leer cuáles son las condiciones de licenciamiento y mucho menos se lee cuáles son las condiciones de seguridad de los productos”, precisa Lorenzati. Generalmente cuando se adquiere uno de estos electrodomésticos ni siquiera termina de leer cuáles son las condiciones de licenciamiento y mucho menos se lee cuáles son las condiciones de seguridad Este aspecto no debe subestimarse, según la firma especializada CEB, el 20 por ciento de las organizaciones que hacen uso del Internet de las Cosas ha sido víctima de algún tipo de ciberataque. Este escenario se ha ido presentando con cada vez más frecuencia e impacto, por ejemplo, el mes pasado, la firma de ciberseguridad Check Point Research indicó que una vulnerabilidad del asistente virtual de Amazon, Alexa, que cuenta con más de 200 millones de unidades vendidas en todo el mundo, habría permitido a ciberdelincuentes acceder a datos personales de los usuarios y hacer manejo de las aplicaciones. Entender los riesgos Por esta razón, los usuarios deben tener en cuenta varios aspectos y analizar el rol que desempeñan en mantener la seguridad de estos dispositivos, ya que como lo señala Lorenzati, en este aspecto hay una cadena de responsabilidades en donde el usuario es el eslabón final. “Muchas veces se desconoce que las marcas cuentan con páginas web en donde se hacen reportes de las vulnerabilidades de los productos. Es muy importante estar al tanto de ellos para poderlos mitigar”, detalla el experto de Globant. Así también lo señala Gómez, quien precisa que “vulnerabilidades siempre van a existir, porque el ‘software’ cambia, la tecnología varía al igual que las técnicas. Lo importante es reaccionar y cerrar esos espacios”. “Tenemos es que aprender a vivir en un mundo de tecnología, hiperconectado, y aprender a proteger nuestra información frente a accesos abusivos de terceros”, detalla. En este sentido, los expertos señalan tres asuntos para tener en cuenta y garantizar una mayor protección de la información. El primero de esto es el uso de contraseñas adecuadas, uno de los errores más comunes es no cambiarlas cuando sea hace la instalación del producto o utilizar información básica o personal para generarla. “Es esencial contar con sistemas de autenticación fuertes, no utilices contraseñas que estén relacionada a tus fecha o año de nacimiento. El atacante comienza a recopilar información que saca de las redes sociales, de bases de datos públicas, entre otros, los toma, las pone en un software que tiene la capacidad de aprovechar la capacidad computacional para romper contraseñas”, asegura el cofundador de Fluid Attacks. El siguiente aspecto es el de realizar las actualizaciones que ofrezca el dispositivo el sistema operativo, ya que estas pueden incluir reparaciones en problemas de seguridad identificados. “Aunque sea molesto, es una cuestión de seguridad; por lo general, los sistemas tienen componentes que se han quedado fuera de uso y que por supuesto hace que sean más vulnerables”, precisa Lorenzati. Por último, verificar el tipo de manejo que le da la marca del dispositivo a los datos. “Es fundamental revisar como transporta los datos, si es seguro también su almacenamiento, si los guarda encriptados se tiene una mayor seguridad”, puntualiza el experto. TECNÓSFERA En Twitter: @TecnósferaET Fuente: https://www.eltiempo.com/tecnosfera/dispositivos/electrodomesticos-inteligentes-riesgos-en-la-seguridad-537620
Protección de Datos – Un panorama retrospectivo y futuro de la protección de datos en América Latina y España
Nos enorgullece anunciar una nueva versión actualizada en ocho países de América Latina y España. Durante más de un año, la EFF ha trabajado con organizaciones asociadas para desarrollar preguntas y respuestas detalladas (FAQs) sobre las leyes de privacidad de las comunicaciones. Nuestro trabajo se basa en la investigación previa y en curso de tales desarrollos en Argentina, Brasil, Chile, Colombia, México, Paraguay, Panamá, Perú y España. Nuestro objetivo es comprender los desafíos jurídicos de cada país, a fin de ayudarnos a detectar las tendencias, identificar las mejores y peores normas y ofrecer recomendaciones para el futuro. Este artículo, sobre la evolución de la protección de datos en la región, forma parte de una serie de artículos sobre el estado actual de las leyes de privacidad de las comunicaciones en América Latina y España. Si miramos atrás, alrededor de los últimos diez años en la protección de datos, hemos visto un progreso legal considerable en la concesión del control de los usuarios sobre sus vidas personales. Desde 2010, sesenta y dos nuevos países han promulgado leyes de protección de datos, lo que da un total de 142 países con leyes de protección de datos en todo el mundo. En América Latina, Chile fue el primer país que adoptó una ley de este tipo en 1999, seguido de Argentina en 2000. Varios países han seguido ahora el ejemplo: Uruguay (2008), México (2010), Perú (2011), Colombia (2012), Brasil (2018), Barbados (2019) y Panamá (2019). Aunque todavía existen diferentes enfoques de la privacidad, las leyes de protección de datos ya no son un fenómeno puramente europeo. Sin embargo, la evolución contemporánea de la legislación europea sobre protección de datos sigue teniendo una enorme influencia en la región, en particular, el Reglamento General de Protección de Datos de la UE de 2018 (GDPR). Desde 2018, varios países, entre ellos Barbados y Panamá, han encabezado la adopción de leyes inspiradas en la GDPR en la región, lo que promete el comienzo de una nueva generación de legislación sobre protección de datos. De hecho, la protección de la privacidad de la nueva ley inspirada en la GDPR de Brasil entró en vigor la semana pasada, el 18 de septiembre, después de que el Senado rechazara una orden de aplazamiento del presidente Jair Bolsonaro. Pero cuando se trata de la protección de datos en el contexto de la aplicación de la ley, pocos países han adoptado las últimas medidas de la Unión Europea. La Directiva de la UE sobre la policía, una ley sobre el tratamiento de datos personales para las fuerzas de policía, todavía no se ha convertido en un fenómeno latinoamericano. México es el único país que cuenta con una reglamentación específica de protección de datos para el sector público. Con ello, los países de América están perdiendo una oportunidad crucial de fortalecer sus salvaguardias de la privacidad de las comunicaciones con derechos y principios comunes al conjunto de instrumentos de protección de datos a nivel mundial. Nuevas leyes de protección de datos inspiradas en el PIBR Brasil, Barbados y Panamá han sido los primeros países de la región en adoptar leyes de protección de datos inspiradas en la RDPI. La ley de Panamá, aprobada en 2019, entrará en vigor en marzo de 2021. La ley de Brasil ha enfrentado una batalla difícil. Las disposiciones que crean la autoridad de supervisión entraron en vigor en diciembre de 2018, pero el gobierno tardó un año y medio en introducir un decreto para implementar su estructura. Sin embargo, el decreto sólo tendrá fuerza legal cuando el presidente de la Junta sea nombrado oficialmente y aprobado por el Senado. No se ha hecho ningún nombramiento a partir de la publicación de este puesto. Para el resto de la ley, febrero de 2020 fue la fecha límite original para entrar en vigor. Esto se cambió más tarde a agosto de 2020. La ley se retrasó aún más hasta mayo de 2021 a través de una ley ejecutiva emitida por el presidente Bolsonaro. Sin embargo, en un sorprendente giro positivo, el Senado de Brasil detuvo el aplazamiento del presidente Bolsonaro en agosto. Eso significa que la ley está ahora en vigor, excepto por la sección de penalizaciones que han sido aplazadas de nuevo, hasta agosto de 2021. Definición de datos personales Al igual que el PIB, las leyes del Brasil y Panamá incluyen una definición exhaustiva de los datos personales. Incluye cualquier información relativa a una persona identificada o identificable. La definición de datos personales en la ley de Barbados tiene ciertas limitaciones. Sólo protege los datos que se refieren a una persona que puede ser identificada «a partir de esos datos; o a partir de esos datos junto con otra información que está en posesión o que es probable que esté en posesión del proveedor». Los datos anónimos en el Brasil, Panamá y Barbados quedan fuera del alcance de la ley. También hay variaciones en la forma en que estos países definen los datos anonimizados. Panamá lo define como datos que no pueden ser re-identificados por medios razonables. Sin embargo, la ley no establece parámetros explícitos para guiar esta evaluación. La ley del Brasil deja claro que los datos anonimizados se considerarán datos personales si el proceso de anonimización se invierte utilizando exclusivamente los medios propios del proveedor, o si se puede invertir con esfuerzos razonables. La ley brasileña define factores objetivos para determinar lo que es razonable, como el costo y el tiempo necesarios para invertir el proceso de anonimización, de acuerdo con las tecnologías disponibles, y el uso exclusivo de los medios propios del proveedor. Estos parámetros afectan a las grandes empresas de tecnología con una gran potencia de cálculo y grandes colecciones de datos, que tendrán que determinar si sus propios recursos podrían utilizarse para volver a identificar los datos anonimizados. Esta disposición no debe interpretarse de manera que se ignoren los casos en que el hecho de compartir o vincular datos anónimos con otros conjuntos de datos, o con información de dominio público, conduzca a la reidentificación de los datos. Derecho a la portabilidad Los tres países conceden a los usuarios el derecho a la portabilidad, es decir, el derecho a tomar sus datos de un proveedor de servicios y transferirlos a otro lugar. La portabilidad se suma a
Protección de Datos – Por qué los grupos de Whatsapp con padres del colegio no son recomendables
Ante la crisis sanitaria, los expertos recomiendan reforzar la comunicación con el centro y hacerlo mediante canales unidireccionales, donde se excluyan opiniones o emociones. Mascarilla, temperatura y distancia de seguridad. Esas tres premisas se repiten cada día a las puertas de los centros educativos de todo el país. Además, al inicio de cada clase, en la que se añade una nueva: lavado repetido de manos. Estamos ante el inicio de curso más complicado para alumnos y profesores, marcado por la pandemia del coronavirus. Toca aprender, pero también toca evitar contagios. Más allá de los resultados académicos, los padres están más pendientes que nunca de lo que pasa en el colegio. Dos días después de que arrancase el curso escolar, solo en Catalunya se han registrado 17 aulas confinadas, 70 casos positivos confirmados en profesionales y 45 en alumnos. Estos contagios han supuesto el aislamiento de 275 profesionales y 338 alumnos. Las autoridades destacan que son cifras menores, aunque advierten que esta será la tónica general del curso. Evitar canales de debate Ante esta situación, la comunicación con el centro educativo es vital. “Es imprescindible reforzarla, no solo en tiempos de pandemia. Sería recomendable crear una figura encargada de esta tarea. Un responsable de comunicación que se encargue de gestionar las relaciones con padres, docentes y administraciones educativas. Ha tenido que llegar una pandemia para evidenciar que lo necesitamos, ahora más que nunca”, explica el director del curso Experto Universitario en Marketing Educativo y Comunicación de UNIR, Pedro Javier Millán. La premisa es clara: desterrar los grupos de Whatsapp como vía de comunicación. “No puede ser un entorno oficial por el que se comunique el centro. Ahí se ponen de manifiesto opiniones, celos y otro tipo de emociones que conviene dejar aún lado. Da pie al debate y eso difumina nuestro mensaje. Además, no es recomendable dar nuestros números de teléfono por la Ley de Protección de Datos y tampoco el centro puede obligarnos a hacerlo”, argumenta Millán. “Si se termina utilizando, porque creemos que Whatsapp es un canal ágil y rápido, cuanto menos diálogo haya mejor. Así no contribuimos a generar ruido. Es recomendable que sean grupos unidireccionales, en el que no haya posibilidad de respuestas. En este sentido, la aplicación Telegram tiene estas dos ventajas: unidireccional y no precisa de nuestro número de teléfono, basta registrarse como usuario”, sigue este experto. Claves para una buena comunicación ¿Cómo mejorar entonces la comunicación entre centros educativos y padres? Millán deja algunas recomendaciones que se pueden poner en práctica. La primera, a falta de un responsable de comunicación, el colegio puede plantearse que esa tarea lo asuma otro profesional de su plantilla, como pudiera ser el secretario del centro. “Es importante que la comunicación de informaciones relevantes, como la notificación de un positivo por coronavirus, sea clara y se haga a través de canales oficiales y siempre unidireccionales. Nunca por redes sociales. No es el momento para establecer debates. En este sentido, el mejor sitio sería la página web. Si no, también podemos hacerlo a través de una lista de correo electrónico, siempre siendo cuidadosos con la privacidad. Las aplicaciones móviles tampoco son mala opción”, aconseja Millán. Una vez escogido el canal de comunicación, cabe preguntarse cada cuánto tiempo es recomendable que se produzca ese intercambio de información: “Esto lo tendrá que determinar cada centro educativo, según sus necesidades u objetivos. No solo tenemos que informar de un contagio, también podemos dar parte de las novedades semanales: limpieza de las aulas, comprobación de la temperatura, nivel de cumplimiento de las reglas por parte de los alumnos… Así mantenemos el canal abierto”. Fuente: https://www.lavanguardia.com/vida/formacion/20200916/483512893574/vuelta-al-cole-coronavirus-comunicacion-padres-colegios-canales-oficiales-whatsapp-sitio-web.html
Ciberseguridad – Colombia, blanco predilecto de los ciberdelincuentes
Durante los meses de pandemia los ciberataques crecieron más de un 50 por ciento. ¿Cuáles son los sectores más afectados? La pandemia trajo consigo una mayor conectividad, hoy 35 millones de personas en nuestro país están conectadas a internet, esto representa un 69 por ciento de penetración y estas mismas cifras aplican para usuarios de redes sociales; dos de cada 10 colombianos mayores de 15 años con acceso a internet, realizan compras y pagos en línea; eso representa a cerca de 19 por ciento de la población. Aunque las transacciones virtuales han tenido un crecimiento estable durante los últimos 4 años, durante los ocho meses de aislamiento tuvieron un ascenso de 174,7 por ciento, con más de 110 millones de operaciones, lo que nos hace más vulnerables, los ciberataques que crecieron en Colombia en un 59 por ciento con respecto al 2019. Al tiempo que aumentaron estos casos, el accionar de los ciberdelincuentes también cambió, ahora operan mediante “phishing”, aprovechando que la gente busca todo el tiempo información sobre el virus, entran a las redes, así, hemos sufrido más 4,4 billones de intentos de ciberataques» dijo Miguel Ángel Díaz, presidente de la Confederación Nacional de Empresas de Vigilancia Privada, CONFEVIP. El dirigente gremial dijo que en Latinoamérica, Colombia es uno de los países predilectos de los cibercriminales en el sector empresarial, ya que al haber entrado en el modelo de teletrabajo, las empresas se han vuelto más vulnerables porque muchos no han tomado medidas tecnológicas propias para blindar a sus empleados. «Hoy el fraude BEC (Business Email Compromise ) se ha convertido en uno de los preferidos de los ciberdelincuentes, porque con este “phishing” -que es más sofisticado que los tradicionales- engañan a la gente para que les entreguen información empresarial y/o personal de carácter confidencial», explicó. Agregó que “previo a esto, los ciberdelincuentes estudian las páginas de las empresas, al mismo tiempo, analizan las redes sociales de los empleados, así, el ataque es convincente y se hacen a información vital de las empresas que generalmente tienen repercusiones económicas y reputacionales de la empresa, comprometiendo inclusive, la situación laboral y jurídica de los implicados”. Por último, Miguel Ángel Díaz dijo que “afortunadamente en Colombia existen empresas especializadas en proteger los sistemas corporativos e implementan estrategias de seguridad integrales que mantienen seguras las redes empresariales, la información que se sube a la nube y los correos electrónicos”. “Estas compañías además capacitan a los empleados permanentemente en informática y también, cómo prevenir amenazas cibernéticas, les enseñan a ser más observadores, cuidadosos y desconfiado frente a correos en los que se solicitan cambios inesperados y urgentes de pagos de facturas, pero también, hay que habilitar la autenticación de factor múltiple y hacer cambios periódicos de contraseñas”, puntualizó. Fuente: https://www.semana.com/tecnologia/articulo/colombia-blanco-predilecto-de-los-ciberdelincuentes/202026/
Ciberseguridad – El malware ‘Joker’ ataca de nuevo: se ha detectado en hasta 6 apps de Android
El virus informático ‘Joker’, que según la propia Google empezó a hacer sus primeros pinitos a principios de septiembre, está de vuelta. Este malware está dirigido a la tienda de aplicaciones Play Store y es conocido por su alta peligrosidad y su tenacidad en la infección de dispositivos Android. La firma de ciberseguridad Pradeo asegura que este programa malicioso está activo de nuevo y que ha infectado hasta 6 apps de Google Play Store, que representan casi 200.000 instalaciones. “Joker es un bot malicioso (categorizado como Fleeceware) cuya actividad principal es simular clics e interceptar SMS para suscribirse a servicios premium de pago no deseados sin el conocimiento de los usuarios”, explican los expertos de Pradeo. Según la compañía “Joker genera una huella muy discreta” ya que usa “la menor cantidad de código posible” y lo oculta “por completo”, por lo que puede ser “difícil de detectar”. Se aconseja a los usuarios que eliminen inmediatamente de su dispositivo para evitar actividades fraudulentas las siguientes aplicaciones: Paquete Safety AppLock : applock.safety.protect.apps Convenient Scanner 2: com.convenient.scanner.tb Push Message-Texting & SMS: sms.pushmessage.messaging Paquete de papel tapiz Emoji: tw.hdwallpaperthemes.emoji.wallpaper Paquete de escáner de documentos separado: sk.pdf.separatedoc.scanner Fingertip GameBox: com.theone.finger.games Fuente: https://www.20minutos.es/noticia/4366004/0/el-malware-joker-ataca-de-nuevo-se-ha-detectado-en-hasta-6-apps-de-android/?autoref=true
Protección de Datos – Cada persona en la Tierra genera 1,7MB de datos por segundo, ¿qué se puede hacer con toda esa información?
Los datos son ahora el activo de mayor valor y cada vez se desarrollan más herramientas para analizarlos, pero para poder darles sentido es necesario anticipar cómo almacenarlos y cómo gestionarlos, contando para ello con la infraestructura correcta. Anualmente, la firma de software en la nube DOMO publica un informe sobre la cantidad de datos recopilados en cada minuto y, como parece presumible, los números aumentan año tras año. El informe de 2019, ‘Data Never Sleeps 7.0’, afirma que este año habrá 40 veces más bytes de datos que estrellas hay en el universo observable. En el gráfico de 2018, se afirmaba que “se crean más de 2,5 quintillones de bytes de datos todos los días” y que se estima que cada persona en la Tierra genera 1,7MB de datos por segundo. Somos 7.75 billones. El 88% de los directivos a nivel mundial considera la inversión en big data e inteligencia artificial como una necesidad prioritaria, según un estudio de NewVantage Partners, firma tecnológica especializada en la transformación empresarial basada en datos. En España, este mercado tech está siendo uno de los que más rápida y sólidamente está creciendo. Solo teniendo en cuenta la frenética actividad de los 4.500 millones de usuarios de internet que hay aproximadamente en el mundo parece lógico pensar que se hace necesario tener las soluciones y la infraestructura adecuadas para poder almacenar y gestionar toda la información que esas personas generan. No hablamos solo de redes sociales o de ocio: cada minuto se envían 188 millones de correos electrónicos, se hacen alrededor de 4,5 millones de búsquedas en Google y más de 200.000 llamadas de Skype. Y estos datos hacen referencia al panorama previo a la crisis sanitaria, puesto que son de 2019.
Protección de Datos – ¿Darías permiso a una multinacional para que te leyera el pensamiento?
Conforme se generaliza el desarrollo de tecnologías que pueden acceder a los datos cerebrales y manipularlos se plantean cuestiones sobre cómo permitir el acceso de terceros a nuestros pensamientos y emociones y si podemos impedirlo Imagina a Lorenzo. Es un tipo cualquiera, de veintimuchos, al que le gusta jugar a videojuegos online, meditar y hacer deporte. Lo que lo diferencia del resto es que utiliza interfaces cerebro-máquina que monitorizan su actividad cerebral y que recopilan datos sobre él todo el tiempo, acerca de su estado y sus emociones. Estos microchips que Lorenzo tiene implantados en el cerebro también le ayudan en una labor mucho más importante que ganar partidas: rastrean información que indica que va a sufrir un episodio maniaco. Porque Lorenzo tiene un trastorno bipolar y utiliza la tecnología para manejar mejor sus crisis. Este escenario, aunque parece ficción, está mucho más cerca de lo que pensamos. Pero antes de que el uso de los dispositivos cerebrales llegue a generalizarse, expertos de todo el mundo abogan por la necesidad de resolver cuestiones de privacidad como quién tendrá acceso a las ondas cerebrales que codifican nuestros pensamientos, qué margen de decisión tendrá el usuario sobre los datos que genera su cerebro y cómo pueden protegerse su voluntad e identidad cuando hay microchips leyendo y escribiendo sobre sus ondas cerebrales. “Me imagino que, si estos dispositivos se usan de manera positiva, pueden recopilar información que indique que va a sufrir un episodio maniaco”, explica sobre el hipotético caso de Lorenzo Amanda Pustilnik, profesora de Derecho y Neurociencia en la Universidad de Maryland en el informe Neurociencia, más allá del cerebro de la Fundación Bankinter. “Esta información se podría usar para alertarle a él o las personas de su círculo a las que haya autorizado y que puedan adelantarse y ayudarle, o al menos intervenir a tiempo para mitigar los efectos del episodio”, explica Pustilnik. Quizá también pueda comunicarse directamente con los profesionales sanitarios que le tratan. Pero también se puede usar esta información tan sensible de forma negativa. Si se le vende a un bróker de datos, por ejemplo, que después la pone a disposición de otras empresas como producto o servicio, puede que Lorenzo comience a ver anuncios para apostar en línea, comprar artículos de lujo o contratar productos financieros de alto riesgo: impulsos a los que será mucho más propenso durante un episodio maníaco y que podrían, de hecho, precipitar o agravar sus crisis. De esta forma, el mal uso de la información obtenida del cerebro puede tener consecuencias negativas relacionadas directamente con la salud mental de los usuarios, y no solo son una cuestión ética de falta de privacidad. Por el momento, el modelo de protección de la privacidad que conocemos es que los usuarios den su consentimiento para utilizar sus datos, tal y como hacemos al descargar una aplicación en el móvil. Pero cuando hablamos de datos cerebrales este sistema no sirve. “Ahora mismo no tenemos modelos jurídicos buenos para abordar este asunto”, señala Pustilnik. Pero se está trabajando en ello. Hay algunas iniciativas internacionales que llevan años dando la voz de alarma y que ya describen la falta de privacidad de los datos cerebrales como un problema de derechos humanos. Es el caso del proyecto estadounidense BRAIN, que busca promover e impulsar el desarrollo de nuevas tecnologías para aumentar el conocimiento sobre el cerebro y encontrar cura para distintas enfermedades cerebrales. Su máximo responsable, Rafael Yuste, es también promotor de la iniciativa Neuroderechos del Centro de Neurotecnología de la Universidad de Columbia. “Nos preocupa muchísimo la falta de privacidad de los neurodatos”, explica Yuste. Por eso, hace tres años se reunió con expertos de todo el mundo y establecieron los neuroderechos, que sientan las bases de cómo debe protegerse a los usuarios para que se respete su privacidad mental y personal y su libertad para tomar decisiones, entre otros. ¿Quién tiene el control sobre mí? Además de afectar a la salud mental de los usuarios, la falta de una regulación adecuada podría hacer que la tecnología difumine la línea entre la conciencia de una persona y la influencia de la máquina. Los usuarios podrían llegar a dudar de quién tiene el control final sobre sus decisiones: llegará un punto en que no podamos saber si queremos algo de forma genuina o si es por influencia de las neurotecnologías. “Nuestra opinión es que los datos cerebrales obtenidos del registro de las neuronas deben ser tratados legalmente como si fuesen un órgano del cuerpo, así que se aplicaría la misma legislación que regula los trasplantes de órganos”, explica Yuste. En Chile ya han hecho una enmienda a la Constitución para incluir los neuroderechos. Promover leyes para proteger la información cerebral es una de las primeras opciones que los expertos del proyecto BRAIN manejan para defender a los ciudadanos. Otras soluciones técnicas podrían ayudar a resolver el problema yendo un paso más allá del consentimiento del usuario. “Hablamos del aprendizaje federado, es decir, que si tienes un iPhone que recoge tu actividad cerebral, los datos no salgan nunca de tu dispositivo, sino que se comparta solo lo que se ha aprendido de ellos”, propone Yuste. También comenta la opción de tener una privacidad diferencial: que a cada dato que venga del cerebro le demos una etiqueta y le otorguemos un grado de privacidad concreto dependiendo de cómo de sensible sea. Del uno al diez: que estés vivo o no requiere una privacidad mínima, que vivas en un país determinado, un punto; cómo te sientes, diez puntos… “Esto permitiría a las compañías seguir ganando dinero sin que dañen los derechos humanos”, asegura Yuste. “Esperamos que podamos llegar a tiempo antes de que estos productos lleguen al mercado”. Fuente: https://retina.elpais.com/retina/2020/08/28/tendencias/1598608299_456093.html
Autenticación Digital – Sistema financiero dejará en el pasado la firma y la huella en el papel para acceder a los productos
La Superfinanciera presentó una nueva normativa que simplifica y agiliza el proceso de vinculación a entidades del sector financiero Por el avance de las tecnologías de la información y la dinamización que han tenido los canales digitales como consecuencia de la pandemia, la Superintendencia Financiera emitió una nueva versión del Sistema de Administración del Riesgo de Lavado de Activos y de la Financiación al Terrorismo (Sarlaft 4.0.), en el que se da un cambio de enfoque en la forma de medir el riesgo. De acuerdo con el superintendente Financiero, Jorge Castaño, esta reglamentación introduce cinco cambios concretos, entre los que se encuentran la posibilidad de adquirir productos del sector financiero sin necesidad de dar la firma física ni la huella o de rellenar extensos formularios. “No es que se rebajaron los estándares, sino que hoy en día hay información y otros elementos que han permitido gestionar el riesgo de una manera más eficiente y menos costosa”, explicó. Uno de los cambios generados por el Sarlaft 4.0. es que los parámetros mínimos de vinculación de cliente por producto financiero, que casi que definía cada banco y que terminaban generando barreras y excepciones, se acaba. De ahora en adelante, en términos de procedimientos para vincular a los consumidores financieros, existen dos formas: el simplificado y el ordinario. El primero es para clientes que tienen un perfil de riesgo bajo en términos de lavado de activos, pues no tienen operaciones de comercio exterior y sus operaciones son sencillas. “Se le piden tres o cuatro datos que se puedan validar con fuentes fiables del Gobierno, como la Registraduría o Migración Colombia, o con las bases propias que el consumidor quiera reconocer, como su voz”, señaló Castaño. El proceso ordinario es para consumidores financieros más sofisticados, como empresarios o compañías, que hacen operaciones en el exterior y de las que se requiere mayor nivel de conocimiento. El segundo cambio tiene que ver con el formulario de vinculación de clientes, pues se acaba el formato que la Superfinanciera establecía y cada entidad, dependiendo del producto y del perfil de riesgo del cliente, entre otros factores, diseñará su propio esquema de vinculación. “Eso ya se ve hoy a través de las apps, en las que algunos bancos tienen cuatro o cinco datos de validación, y le dan una respuesta automática al cliente”, resaltó el superintendente financiero. El tercer cambio está relacionado con la importancia de la entrevista en el proceso de vinculación a una entidad financiera, un paso que desde las recomendaciones internacionales siempre se había considerado como una buena práctica. “La entrevista está pasada de moda, porque hoy hay múltiples formas que le permiten a la entidad conocer y entender si esa persona es quien dice que es”, subrayó Castaño, quien agregó que esta ya no es obligatoria y que las entidades podrán implementar otros esquemas. El cuarto cambio es la eliminación de la firma física y la huella en los procesos de acceso. De acuerdo con el Superfinanciero, para la autenticación de la entidad se puede utilizar el reconocimiento facial y la voz, pues son elementos que no son manipulables y dan certeza de que la persona es quien dice ser. Por último, con el Sarlaft 4.0., se permite que las entidades financieras compartan la información entre ellas, lo que antes estaba prohibido, si el usuario permite que una le suministre los datos a otra. El incremento de la inclusión financiera De acuerdo con el superintendente Castaño, la simplificación de los procesos para acceder a productos y servicios del sistema financiero podría aumentar la inclusión financiera en el país, pues se abre la posibilidad de darles acceso a personas que eran excluídas por los procesos de vinculación. Si bien no garantizan que todo el mundo entre, brinda mayores herramientas para que las entidades tengan información de estas personas y las vinculen de una manera efectiva. Alfredo Barragán, experto en banca, mencionó que al diseñar formularios para cada producto y autenticar mediante biometría, habrá más posibilidades de acceso para inmigrantes. Fuente: https://www.larepublica.co/finanzas/el-sistema-financiero-dejara-en-el-pasado-la-firma-y-la-huella-en-papel-3054368
