¿Qué significa el icono del ojo en Chrome? Esta opción controla tu privacidad en Internet
Si tienes el navegador Google Chrome, seguro que todavía no te has percatado de que en la barra superior de búsqueda ha empezado a aparecer, tanto en la versión de escritorio como en la de móvil, un icono de un ojo. Este icono no es nada malo ni tampoco significa que te están espiando, sino que sirve para otorgarte más control sobre tu privacidad. Podría interesarle: Ciberseguridad: Los riesgos digitales que representa el uso de las Apple Vision Pro Por ello, debes de saber para qué sirve esta nueva implementación de Google y lo que puedes hacer con ella, además de que ocurre si decides activarla o desactivarla. Pero ya te adelantamos que el icono consiste en un control de cookies de terceros, que te aporta diferente información de cara a tu mayor seguridad y privacidad. El significado del ojo en Google Chrome Como decimos, este control de cookies para terceros, aparte de proteger contra este tipo de cookies, te da la información necesaria de cuantas ha tenido que bloquear en una web y que así puedas apreciar que páginas respetan en mayor o menor medida tu privacidad. Este tipo se utilizan para espiar a los usuarios y para que páginas como Google sepan tus fuera de sus páginas o servicios. Cuando aparece el ojo, significa que está bloqueando esas cookies de terceros de alguna página que estás visitando y que está velando de manera más activa de tu privacidad. Es decir, está evitando que servicios o webs te observen durante tu navegación por la red. Si pulsas sobre él, se te abrirán las opciones de la protección contra esas cookies. Ahí puedes ver cuantas cookies de este tipo se han bloqueado en la web que estés visitando y esto aparece de manera predeterminada con el ojo tachado. Puede ser que alguna web no se vea correctamente al tenerlas desactivadas, por lo que las puedes activar. De esa manera el ojo no estará tachado y permitirás que muchas de ellas te puedan espiar o rastrear. Tú eliges. FUENTE: Bordonara, Mario. »¿Qué significa el icono del ojo en Chrome? Esta opción controla tu privacidad en Internet» 20minutos.es. 17/03/2024. (https://www.20minutos.es/tecnologia/ciberseguridad/que-significa-ojo-chrome-controla-privacidad-internet-5227522/).
Ciberseguridad: Los riesgos digitales que representa el uso de las Apple Vision Pro
El gigante de Cupertino vive las mieles del lanzamiento de un dispositivo que revoluciona la era digital, las Apple Vision Pro. Las nuevas gafas VR se convirtieron en una sensación durante la primera semana de su llegada al mercado, y aunque son algo costosas, marcan un antes y un después en este tipo de dispositivos, que seguramente comenzarán a normalizarse entre los usuarios. Bajar el precio del aparato debe ser el principal objetivo de Apple, si quiere vender de forma masiva en todo el mundo. Pero además, la empresa de Cupertino debe tomar en consideración algunas vulnerabilidades de seguridad y privacidad, detectadas por ESET, firma líder en ciberseguridad en el mundo entero. Los expertos de ESET se reunieron en sus laboratorios para analizar las posibles amenazas que pueden aparecer con el lanzamiento de este dispositivo. En primer lugar, señalan que al ser un aparato nuevo, que estrena Sistema Operativo, hay vulnerabilidades en las instalaciones de las aplicaciones, uno de los lugares favoritos de los hackers para actuar. Las vulnerabilidades que ESET describe sobre Apple Vision Pro “Ya sea por características provenientes del sistema operativo o por algún eventual descuido en la composición de las aplicaciones que se instalarán en Apple Vision, es posible que ciberdelincuentes exploten vulnerabilidades en los equipos. La explotación de vulnerabilidades es uno de los trucos utilizados por los delincuentes para propagar amenazas como troyanos y ransomware”, explica la compañía en un comunicado. En el caso del ransomware, el dispositivo se verá inhibido de realizar plenamente sus funciones y las víctimas tendrán dos opciones: ponerse en contacto con Apple para obtener ayuda -ya que Vision no cuenta con una interfaz que permita la interacción directa con el sistema operativo para reinstalarlo-, o el pago del rescate, algo que desde ESET se desaconseja encarecidamente, porque quien paga el rescate financia al grupo de ciberdelincuentes y les permite atacar aún más víctimas”, detallaron desde la firma experta en ciberseguridad. En el caso de la infección con un troyano, los ciberdelincuentes pueden tener acceso a todas las cámaras y sensores disponibles en el dispositivo, viendo y monitorizando todo lo que ve la víctima. Sería como tener a un delincuente al lado durante mientras se utiliza el dispositivo, sin privacidad. La idea no es atacar el uso de las Apple Vision Pro. Esto sucede con novedades en cualquier sistema operativo, sea de iOS, Android, Microsoft o cualquier otro. Lo que se intenta explicar es que al ser un programa nuevo, los usuarios necesitan tener las alarmas más encendidas que nunca para no ser víctima de los ciberdelincuentes o hackers. FUENTE: Sandoval, Alberto. »Ciberseguridad: Los riesgos digitales que representa el uso de las Apple Vision Pro» Fayerwayer.com. 16/03/2024. (https://www.fayerwayer.com/moviles/2024/03/16/ciberseguridad-los-riesgos-digitales-que-representa-el-uso-de-las-apple-vision-pro/).
Un fallo informático global deja sin servicio varios restaurantes de McDonald’s
McDonald’s aseguró que los problemas no estaban relacionados con un ataque de ciberseguridad, sin dar más detalles. Este viernes se han reportado fallos en el sistema de McDonald’s en todo el mundo, lo que provocó el cierre de algunos restaurantes durante varias horas y generó quejas de los clientes en redes sociales, en lo que la cadena de comida rápida llamó un «fallo tecnológico» que se estaba solucionando. McDonald’s Corp., con sede en Chicago en Estados Unidos, dijo que los problemas no estaban relacionados con un ataque de ciberseguridad, sin dar más detalles sobre qué los causó. «Estamos al tanto de un fallo tecnológico que impactó a nuestros restaurantes. El problema ya se está resolviendo», dijo el gigante de hamburguesas en un comunicado. «Agradecemos a los clientes por su paciencia y nos disculpamos por cualquier inconveniente que esto pueda haber causado». Sus operaciones están temporalmente suspendidas Anteriormente, McDonald’s en Japón publicó en X, antes Twitter, que «las operaciones están temporalmente suspendidas en muchos de nuestros restaurantes en todo el país», calificándolo de «un fallo del sistema». El sitio web Downdetector también informó de un aumento de los problemas con la aplicación de McDonald’s en las últimas horas. Lea también: Ciberseguridad, el nuevo centro de preocupación para las empresas latinoamericanas Algunos restaurantes de la cadena volvieron a funcionar con normalidad después del apagón, y la gente pedía y recibía su comida en locales de Bangkok, Milán y Londres. Los medios de comunicación informaron que clientes desde Australia hasta el Reino Unido se habían quejado de problemas con los pedidos. FUENTE: Euronews. »Un fallo informático global deja sin servicio varios restaurantes de McDonald’s» Es.euronews.com. 15/03/2024. (https://es.euronews.com/business/2024/03/15/un-fallo-informatico-global-deja-sin-servicio-varios-restaurantes-de-mcdonalds).
Italia busca reforzar su ciberseguridad con mayores controles y sanciones
El Gobierno de Italia quiere reforzar la seguridad de los sistemas informáticos nacionales, en medio de un sonado caso de supuesto acceso ilícito, y este miércoles presentó un proyecto de ley dirigido a aumentar los controles y sanciones, también en medio del “actual contexto geopolítico”. El texto lleva la firma de la primera ministra, Giorgia Meloni, y de su titular de Justicia, Carlo Nordio, y ha sido presentado ante la comisión de Asuntos Constitucionales de la Cámara de Diputados, que deberá iniciar su tramitación parlamentaria. El objetivo, según se lee, es “conseguir una mayor capacidad de protección y respuesta ante las emergencias cibernéticas” en un “contexto geopolítico” actualmente marcado por “graves conflictos internacionales” que “favorece las amenazas informáticas”. El proyecto, entre otras cosas, obliga a las administraciones públicas a notificar en menos de 24 horas cualquier incidente en sus redes informáticas a la Autoridad Nacional de Ciberseguridad (ACN) y establece sanciones en caso de incumplimiento. Asimismo propone cambios en el Código Penal, sobre todo en el delito de acceso ilícito a sistema informático, que en la actualidad acarrea penas de cárcel de hasta 8 años si se entra en redes militares o estratégicas (como de Sanidad o Protección Civil). La frecuencia de los ciberataques a Italia En este caso, por ejemplo, el castigo previsto aumentará hasta los 12 años, con la introducción de agravantes. La propuesta por parte del Ejecutivo llega entre frecuentes ataques informáticos, como en otros países del mundo, pero también en medio de un polémico caso de supuestas búsquedas y filtraciones de datos sensibles. La Fiscalía italiana actualmente indaga la supuesta búsqueda de datos sensibles de decenas de políticos y personajes famosos del país por parte de un agente de policía, investigado con otras quince personas, como un magistrado y varios periodistas. Podría interesarle: Ciberseguridad industrial: protegiendo los pilares de las infraestructuras críticas En el centro del caso está Pasquale Striano, un agente de la Guardia de Finanza (policía fiscal) que prestaba servicio en la Fiscalía Nacional Antimafia y que durante meses efectuó al menos 800 accesos irregulares al banco de datos de la entidad. Entre sus búsquedas figuran numerosos miembros del actual Gobierno, como el ministro de Defensa, Guido Crosetto -de cuya denuncia partieron las pesquisas-, así como el ex primer ministro Matteo Renzi o la última novia de Silvio Berlusconi, Marta Fascina. En total están siendo investigadas 15 personas, entre los que están el fiscal sustituto de la Dirección Nacional Antimafia, Antonio Laudati, con acceso al ‘Sistema SOS’, receptor de alertas sobre operaciones tributarias sospechosas, y tres periodistas que podrían haber tenido acceso a esos datos confidenciales. Precisamente hoy el Gobierno italiano abordó esta cuestión con el gobernador del Banco de Italia, Fabio Panetta, el fiscal nacional Antimafia, Giovanni Melillo, el jefe de la Policía, Vittorio Pisani, el comandante de la Guardia de Finanza, Andrea De Gennaro, y la cúpula de los servicios de Inteligencia, entre otras autoridades. En el encuentro, según un comunicado del Ejecutivo, se acordaron “procedimientos administrativos para hacer más estricto el sistema de control, con alertas adecuadas y verificaciones periódicas”. FUENTE: »Italia busca reforzar su ciberseguridad con mayores controles y sanciones» Swissinfo.ch. 13/03/2024. (https://www.swissinfo.ch/spa/italia-busca-reforzar-su-ciberseguridad-con-mayores-controles-y-sanciones/73701232).
Ciberseguridad industrial: protegiendo los pilares de las infraestructuras críticas
Los ataques al sector industrial alcanzaron una cifra récord en el segundo trimestre de 2023, según los datos de Kaspersky, con cerca del 27% de los sistemas analizados infectados. Muchos entornos industriales son considerados infraestructuras críticas ya que prestan servicios esenciales. Las empresas deben aplicar estrategias de ciberseguridad industrial para protegerlas. Si se detiene una cadena de suministro o de logística por un ciberataque, la empresa y el resto de entidades que dependen de su operativa se enfrentarán a pérdidas que pueden ser millonarias. Si lo que se produce en esa industria está relacionado con servicios esenciales, es decir, si es una infraestructura crítica, las pérdidas se multiplican. Ante esta perspectiva, la ciberseguridad industrial cobra protagonismo: un 46% del sector industrial implementará planes estratégicos al respecto en un futuro próximo, según el Barómetro SIA 2023 de Ciberseguridad OT. A lo largo de 2023 muchas empresas de diferentes sectores del mundo industrial han sufrido ciberataques. El Instituto Nacional de Ciberseguridad (INCIBE) explica que se trata de uno de los sectores donde el nivel de ciberseguridad es considerablemente bajo y los daños que se pueden ocasionar son muy altos. ¿Qué es la ciberseguridad industrial? La ciberseguridad industrial se refiere a la protección de sistemas, redes y datos en entornos industriales y de infraestructuras críticas. Estos entornos incluyen instalaciones como plantas de energía, fábricas, infraestructuras de agua y servicios públicos esenciales. En definición, es el conjunto de prácticas, tecnologías y procesos para gestionar y controlar eficazmente el riesgo en las tecnologías de la operación (OT, por sus siglas en inglés) y en relación a su conexión con el ciberespacio y las tecnologías de la información (IT, por sus siglas en inglés) e internet, según el Centro de Ciberseguridad Industrial (CCI). La ciberseguridad industrial es crucial porque estas infraestructuras suelen depender en gran medida de sistemas de control y automatización, que están interconectados a través de redes informáticas. La creciente conectividad en entornos industriales ha aumentado el riesgo de ciberataques, que pueden tener consecuencias graves, incluyendo interrupciones en la producción, daño a equipos, pérdida de datos críticos y riesgos para la seguridad pública, como explica IEBS. Entre los sectores estratégicos que pueden verse afectados, LISA Institute destaca energía, agua, transporte, manufactura, salud, alimentación, química, investigación, tecnologías de la información y comunicación. Internet Industrial de las Cosas En una instalación industrial hay cientos de dispositivos conectados (‘routers’, máquinas, ordenadores, sensores) IDC calcula que las fábricas van a acaparar más del 30% de la inversión global en IoT este año. El siguiente paso es el desarrollo de la industria conectada, con una mayor automatización de las cadenas de producción. Para SAP, el Internet Industrial de las Cosas (IIoT) es un sistema de sistemas potenciado por inteligencia artificial (IA) que puede seleccionar, gestionar y analizar información de un extremo del negocio al otro; donde máquinas, sistemas y personas trabajan juntos en tiempo real. Cuantos más dispositivos conectados, más superficie de ataque vulnerable. Los perfiles de riesgo de muchos sistemas de IoT son elevados en comparación con los de la TI empresarial, dado el control de la IoT sobre las operaciones físicas, según McKinsey. Esta transformación del ámbito de la fabricación requerirá mejorar y aumentar las estrategias de ciberseguridad industrial. ¿Cómo reforzar la ciberseguridad industrial? Los manuales de INCIBE y UNIR recogen una serie de consejos que se enfocan en la anticipación a las amenazas y mitigación de riesgos con cuatro fases: En cuanto a las medidas técnicas o específicas de protección, emiten algunas recomendaciones clave: FUENTE: Innovación. »Ciberseguridad industrial: protegiendo los pilares de las infraestructuras críticas» Bbva.com. 15/03/2024. (https://www.bbva.com/es/innovacion/ciberseguridad-industrial-protegiendo-los-pilares-de-las-infraestructuras-criticas/).
El Parlamento Europeo aprueba la primera ley de inteligencia artificial del mundo: claves de la regulación
El Parlamento Europeo ha ratificado este miércoles la primera ley de inteligencia artificial (IA) del mundo. La normativa ha recorrido un largo camino desde la propuesta que realizó ya en 2021 la Comisión Europea para crear el primer marco regulador sobre IA. El pasado mes de diciembre, se dio otro paso con un acuerdo político entre el Consejo y el Parlamento Europeo. Los derechos humanos, en el centro de la IA El planteamiento de la ley se basa en impulsar la excelencia y la innovación tecnológica mientras asegura la protección de los derechos humanos. La Unión Europea reconoce el potencial de la inteligencia artificial para el desarrollo de las sociedades, pero defiende la necesidad de regularla para mitigar sus riesgos. Al tratarse de la primera propuesta legislativa sobre IA del mundo, aspira a convertirse en referente internacional. Su objetivo es vigilar y evitar los riesgos “para la salud, la seguridad y los derechos fundamentales”. Para ello, establece unos criterios específicos que permitan determinar cuándo un programa debe categorizarse como IA. Cuatro niveles de riesgos La Comisión plantea un enfoque basado en el riesgo. Determina cuatro niveles de riesgo para etiquetar los sistemas de inteligencia artificial: riesgo mínimo, riesgo limitado, alto riesgo y riesgo inadmisible. Los softwares de IA considerados de riesgo mínimo no tendrán obligaciones jurídicas adicionales. A esta categoría pertenecen la mayoría de sistemas de IA que se utilizan en la actualidad. La ley anima a sus proveedores a autorregularse de forma voluntaria. El “riesgo limitado” se refiere a obligaciones específicas en materia de transparencia. Algunos sistemas deberán vigilar especialmente esta cuestión, como es el caso de los chatbots, debido al riesgo de manipulación. Podría interesarle: ¿Qué es el Reglamento DORA? así ha cambiado la gestión del riesgo tecnológico en las entidades financieras Por alto riesgo, la ley entiende todos los sistemas de IA que puedan tener un impacto negativo en la seguridad o los derechos de las personas. Para identificarlos, el texto establece en un anexo una lista de sistemas de alto riesgo que sirvan como referencia. En este catálogo aparecen algunos sistemas de identificación biométrica, determinados sistemas de uso policial o de control de fronteras y ciertas herramientas enfocadas a la evaluación educativa, entre otros. La Comisión se compromete a mantener el listado actualizado para que cumpla su función también en el futuro. En último lugar, el documento considera que algunos programas presentan un riesgo inadmisible. Se trata de una cantidad mínima de usos de la IA que vulneran los derechos fundamentales y resultan especialmente nocivos. Entre ellos, se encuentran los sistemas de puntuación social, actuación policial predictiva individual y el reconocimiento de emociones en el lugar de trabajo o institución educativa, a excepción de motivos médicos o de seguridad. Datos biométricos y sesgos, entre los riesgos En los últimos días ha crecido el debate en torno a la importancia de los datos biométricos. La ley de inteligencia artificial de la UE legisla también en este sentido, prohíbe el uso de identificación biométrica remota en tiempo real en lugares de acceso público con fines policiales, a excepción de algunos delitos. Del mismo modo, tampoco se permite la identificación biométrica remota posterior sin autorización. El texto alude a la necesidad de evitar el riesgo de condenar a una persona inocente por un fallo de precisión. Otra de las cuestiones más polémicas en el ámbito de la IA es la reproducción de sesgos. La ley europea afirma que, con un diseño y uso adecuado, “los sistemas de inteligencia artificial pueden contribuir a reducir los prejuicios y la discriminación estructural”. En consecuencia, la normativa establece requisitos para que los falsos resultados no causen perjuicio a los grupos protegidos. Así, los sistemas de alto riesgo deberán entrenarse con datos representativos y será necesario que la documentación del proceso se pueda rastrear y auditar. La ley aborda también la necesidad de respetar la legislación de derechos de autor en los entrenamientos de los modelos y de especificar los contenidos generados a partir de IA. Lea también: Ciberseguridad en la agenda global Aunque de manera sucinta, el documento aborda el impacto ambiental de la IA. Entiende que la protección del medioambiente está íntimamente ligada a los demás intereses jurídicos que justifican la necesidad de esta normativa. Señala la importancia de evaluar el consumo energético y de otros recursos por parte de los sistemas de IA, así como de avanzar hacia un desarrollo más eficiente. Próximos pasos La ley se aplicará a todos los agentes públicos y privados, con independencia de su procedencia, cuando sus sistemas de IA entren en la UE o afecten a personas establecidas en ella. Su aplicación será gradual, hasta implantarse de manera definitiva en 2026. Desde su entrada en vigor, cualquier nuevo sistema de IA se someterá a una evaluación de su impacto en los derechos fundamentales. Los proveedores que deseen comercializar un sistema de alto riesgo deberán demostrar que cumple con los requisitos y aplicar sistemas de gestión de la calidad y los riesgos para lograr minimizarlos lo máximo posible. Será necesario que se registren en una base de datos pública de la UE para que se realice un seguimiento. La transparencia será un elemento fundamental para que los proveedores puedan introducirse en el mercado europeo. Para garantizar el cumplimiento de la normativa, los Estados deberán implementar sanciones “efectivas, proporcionadas y disuasorias”. Además, designarán a las autoridades nacionales competentes para su supervisión, que además representará al país en el Comité Europeo de Inteligencia Artificial. La ley establece también la creación de otros instrumentos europeos en materia de IA. La Oficina Europea de Inteligencia Artificial supervisará la aplicación de las normativas y el desarrollo de los modelos más avanzados. Por su parte, el Foro Consultivo se compondrá de representantes de las partes interesadas para asesorar al Comité y la Comisión. Además, se creará la Comisión Científica de Expertos Independientes. Uno de los principales propósitos de la UE con esta normativa es garantizar que sea pertinente a lo largo de los años, de manera que pueda actualizarse conforme evoluciona la tecnología. FUENTE: Modrón, Inés. »El Parlamento Europeo aprueba la primera ley de inteligencia artificial del mundo: claves de la regulación» Rtve.es. 13/03/2024. (https://www.rtve.es/noticias/20240313/eurocamara-vota-primera-ley-inteligencia-artificial/16011963.shtml).
Cómo prevenir y evitar los fraudes cibernéticos
En la era digital, donde nuestras vidas están cada vez más entrelazadas con la tecnología, la prevención de fraudes cibernéticos se vuelve esencial. Ya sean fraudes, suplantación de identidad u otros tipos de delitos que ocurren en internet son cuestiones que afectan a miles de personas. Tan solo en México, este tipo de delitos perjudicaron a mil 100 personas en 2022, lo cual dejó al país como el noveno territorio más impactado por este problema a nivel mundial, según datos de la empresa de ciberseguridad Surfshark. Los dos modus operandi más frecuentes en el país a lo largo del año mencionado fueron el phishing (robo de datos a través de correos, mensajes o llamadas en los que defraudador se hace pasar por una compañía fidedigna) y el fraude de inversiones, que también fue el más devastador desde el enfoque financiero, pues representó una pérdida promedio de 108 mil dólares por persona. ¿Qué son los fraudes cibernéticos? La Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef) explica que un delito cibernético son aquellas estafas que utilizan los medios digitales e internet para realizar transacciones ilícitas. Las personas que suelen ser las principales víctimas de estos delitos son aquellas que no tienen conocimiento de la tecnología, respecto a cómo cuidarse a sí mismos y a sus aplicaciones en línea, al igual que aquellos que suelen compartir demasiada información en internet, pues les dan insumos para conocer sobre ellos y tener más herramientas de un ataque. Lea también: La privacidad, clave para el acceso a los datos digitales Otros de los delitos más comunes en internet son el smishing(envío de correos o mensajes para que el usuario ingrese a una página fraudulenta) o el pharming (mensajes mediante ventanas emergentes que buscan robar información). ¿Cómo evitar un fraude cibernético? A continuación se enlistan una serie de consejos prácticos para proteger las cuentas bancarias y los activos en general en el mundo digital: Fortalece tus contraseñas – Utiliza contraseñas robustas y evita utilizar la misma contraseña para varias cuentas. – Incorpora una combinación de letras, números y caracteres especiales en tus contraseñas para aumentar la seguridad. Habilita la autenticación de dos pasos – Añade una capa adicional de seguridad activando la autenticación de dos factores siempre que sea posible. Cautela con correos electrónicos y mensajes sospechosos – No hagas clic en enlaces ni descargues archivos de correos electrónicos desconocidos. – Verifica la autenticidad de los remitentes antes de proporcionar información personal. Actualiza regularmente tu software y antivirus – Mantén tus dispositivos y programas actualizados para beneficiarte de las últimas medidas de seguridad. – Instala un software antivirus confiable para protegerte contra amenazas cibernéticas. Evita redes wi-fi públicas – Utiliza redes seguras y protegidas por contraseña, especialmente al realizar transacciones financieras en línea. Monitorea tus cuentas con regularidad – Revisa detalladamente tus estados de cuenta bancarios y tarjetas de crédito para detectar actividades inusuales. Protege tu información en redes sociales – Limita la cantidad de información personal compartida en plataformas sociales para reducir el riesgo de ingeniería social. La prevención de fraudes financieros cibernéticos implica una combinación de precaución, educación y medidas proactivas. Al adoptar estas prácticas, puedes salvaguardar tus activos en el mundo digital y disfrutar de una experiencia financiera más segura. FUENTE: González, Valeria. »Cómo prevenir y evitar los fraudes cibernéticos» Infobae.com. 11/03/2024. (https://www.infobae.com/educacion/2024/03/11/como-prevenir-y-evitar-los-fraudes-ciberneticos/).
La ciberseguridad también es clave para el Tercer Sector
El pasado mes de junio, el equipo de una ONG Acreditada se encontró con que no podían acceder a su servidor ni a toda su información. Habían sufrido un incidente de ciberseguridad, y les estaban pidiendo rescate en bitcoins. Decidieron no aceptar el chantaje y denunciar ante la Guardia Civil. Con el correo electrónico, lo guardado en la nube y lo que tenían en papel han podido retomar su actividad, aunque les ha llevado un mes de trabajo. A día de hoy han reforzado sus medidas de seguridad, y realizan hasta cuatro copias de la información en lugares diferentes. Lección aprendida para al menos minimizar daños si vuelve a ocurrir. La vulnerabilidad del más débil Porque lo cierto es que ocurre. “2023 fue un año sin precedentes en ciberamenazas” así de contundente se muestra el informe INFORME SOBRE AMENAZAS AVAST Q4/2023. Aunque podríamos pensar que los ataques se dirigen a grandes compañías e instituciones, estas seguramente están mejor preparadas y protegidas, y se lo ponen más difícil a “los malos”. Por eso, entidades más vulnerables tecnológicamente hablando se convierten en objetivo. Y en ese grupo también estamos las entidades no lucrativas. El caso real de la ONG Acreditada con la que abrimos este post es solo un ejemplo. Hay más, y en ONG de todos los tamaños. Algunos de estos ciberataques, por afectar a grandes organizaciones no lucrativas de ámbito nacional e internacional, se han hecho públicos. Otros no llegan a conocerse pero no por ellos sus consecuencias son menos graves. Los riesgos de la digitalización La realidad es que el Tercer Sector ha avanzado enormemente en digitalización, y eso es una buena noticia. La tecnología permite agilizar procedimientos y optimizar la gestión. Pero al mismo tiempo, también se multiplican las brechas de seguridad y los riesgos. Además, en muchos casos las entidades gestionan datos sensibles de donantes y de beneficiarios. Por ello, es fundamental ser conscientes de la necesidad de proteger la información. Según el informe Nonprofit Tech for Good 2023, el 27% de las ONG a nivel mundial han sufrido un ciberataque. Desde Fundación Esplai, a través de su iniciativa Gestión Tercer Sector, que entre otras cosas ofrece asesoramiento en el ámbito tecnológico, recuerdan la regla del ‘zero trust’. La mejor manera de prevenir un ciberataque es ser conscientes de que nos puede ocurrir, y sospechar de todo aquello que nos suene extraño. Incluso si viene de personas o entidades de confianza. Tipos de ciberataques Una de las formas que puede adoptar un ataque cibernético es la suplantación de identidad. Parece que nos escribe alguien que conocemos o en quien confiamos, pero en realidad no es así. Utilizan la técnica del phishing y nos piden que hagamos algo (facilitar unos datos, una contraseña …). Es conveniente desconfiar de cualquier mensaje “raro”. Es frecuente recibir mensajes por correo electrónico o SMS, un aviso de recogida de un paquete, nos ha tocado un premio. También más sofisticados y camuflados en el entorno laboral: un documento para firmar digitalmente, una factura para descarga …Si abrimos esos mensajes en un dispositivo de la asociación o fundación en la que trabajamos, estaremos poniendo en peligro a toda la organización. Lea también: La próxima amenaza de ciberseguridad son los gusanos informáticos de IA Otro tipo de ciberataque, denominado BEC, consiste en que el estafador utiliza el correo profesional para hacerse pasar por alguien vinculado a la organización. Y de ese modo, incluso simulando ser “el jefe”, puede solicitar el pago de una factura falsa o pedir determinados datos bancarios. Y como muestra, mientras preparamos este artículo a varios compañeros les ha llegado un correo “supuestamente” de nuestra directora, un claro intento de fraude. El empleado, principal elemento de prevención Por otro lado, conviene también tener en cuenta la técnica del malware, que consiste en infectar un ordenador o un servidor con un software malicioso. De este, modo, el atacante puede acceder a toda su información, ya sea para utilizar esos datos de forma fraudulenta o para “secuestrarlos” (ransomware) y pedir un rescate económico. Acceder a una web falsa, descargarse un archivo, una app o un programa de origen dudoso, abrir un adjunto de un e-mail fraudulento… Cualquiera de estas acciones puede hacer que ese software se instale en nuestro dispositivo. Por eso, es muy frecuente que el ciberataque que sufre una entidad haya entrado a través de un dispositivo de un empleado. Esto quiere decir dos cosas: que es fundamental que nuestros sistemas estén dotados de medidas de protección. Y que la mejor prevención es la sensibilización y formación a cada persona de la organización. Cómo plantear la estrategia de ciberseguridad Hemos preguntado a David Merino, responsable Infraestructura y Seguridad de Unicef España, qué pasos debe seguir una ONG para determinar sus necesidades de ciberseguridad. Nos ha explicado que ellos toman como referencia el marco de seguridad del Instituto Nacional de Estándares y Tecnología (NIST) de Estados Unidos, que se basa en cinco pilares: Medidas básicas de prevención en el día a día También hemos consultado con un experto en ciberseguridad qué medidas básicas debe adoptar una ONG en su día a día para prevenir ciberataques. Jorge Sanz, director del Máster en Ciberseguridad del Centro Universitario U-tad, nos da cinco sencillas pautas que no requieren grandes desembolsos ni conocimientos técnicos avanzados: FUENTE: »La ciberseguridad también es clave para el Tercer Sector» Fundacionlealtad.org. 11/03/2024. (https://www.fundacionlealtad.org/la-ciberseguridad-tambien-es-clave-para-el-tercer-sector/).
La próxima amenaza de ciberseguridad son los gusanos informáticos de IA
A medida que los sistemas de inteligencia artificial (IA) generativa como ChatGPT de OpenAI y Gemini de Google se hacen más avanzados, también crece el interés por ponerlos a trabajar. Startups y empresas tecnológicas están construyendo agentes y ecosistemas de IA sobre los sistemas que pueden realizar tareas aburridas por nosotros, como hacer automáticamente reservas de calendario y, potencialmente, comprar productos. Pero a medida que se da más libertad a estas herramientas, también aumentan las posibilidades de que sean atacadas. Ahora, en una demostración de los riesgos de los ecosistemas de IA conectados y autónomos, un grupo de investigadores ha creado lo que describen como el primer gusano informático de inteligencia artificial generativa, que puede propagarse de un sistema a otro, con la posibilidad de robar datos o desplegar malware en el proceso. “Básicamente, significa que ahora existe la capacidad de llevar a cabo o realizar un nuevo tipo de ciberataque que no se había visto antes”, dice Ben Nassi, investigador de Cornell Tech que está detrás de la investigación. Morris II, el primer gusano de inteligencia artificial Nassi, junto con sus colegas Stav Cohen y Ron Bitton, creó el gusano, bautizado Morris II, como un guiño al gusano informático Morris original que causó el caos en internet en 1988. En un documento de investigación y un sitio web compartido en exclusiva con WIRED, los investigadores muestran cómo el gusano de IA puede atacar a un asistente de correo electrónico de IA generativa para robar datos de los correos electrónicos y enviar mensajes de spam, rompiendo en el proceso algunas protecciones de seguridad de ChatGPT y Gemini. La investigación, que se llevó a cabo en entornos de prueba y no contra un asistente de correo electrónico disponible públicamente, se produce en un momento en que los grandes modelos de lenguaje (LLM por sus siglas en inglés) son cada vez más multimodales, capaces de generar imágenes y video además de texto. Aunque todavía no se han detectado gusanos de IA generativa, varios investigadores afirman que constituyen un riesgo para la seguridad que debería preocupar a las nuevas empresas, los desarrolladores y las compañías tecnológicas. Lea también: Inteligencia artificial y ciberseguridad, retos de las fintech para 2024 La mayoría de los sistemas de IA generativa funcionan mediante instrucciones de texto que ordenan a las herramientas que respondan a una pregunta o creen una imagen. Sin embargo, estas instrucciones también pueden convertirse en un arma contra el sistema. A través de «jailbreaks”, instrucciones diseñadas para que el sistema revele información sobre sí mismo o rompa sus propias reglas de programación, se puede hacer que un sistema haga caso omiso de sus normas de seguridad y emita contenidos tóxicos o que inciten al odio, mientras que los ataques de inyección de instrucciones pueden dar instrucciones secretas a un chatbot. Para crear el gusano de IA generativa, los investigadores recurrieron a lo que se conoce como “prompt autorreplicante adverso”, que provoca que el modelo de IA generativa emita, en su respuesta, otro prompt, explican los investigadores. En resumen, se le dice al sistema de IA que produzca un conjunto de instrucciones adicionales en sus respuestas. Esto es muy similar a los ataques tradicionales de inyección SQL y desbordamiento del búfer, dicen los investigadores. ¿Cómo funciona el gusano de IA? Para demostrar cómo puede funcionar el gusano, los investigadores crearon un sistema de correo electrónico que podía enviar y recibir mensajes utilizando IA generativa, conectándose a ChatGPT, Gemini y el LLM de código abierto, LLaVA. A continuación, encontraron dos formas de explotar el sistema: utilizando un mensaje autorreplicante basado en texto e incrustando un mensaje autorreplicante en un archivo de imagen. En un caso, los investigadores, actuando como atacantes, escribieron un mensaje de correo electrónico que incluía el mensaje de texto adverso, que “envenenaba” la base de datos de un asistente de correo electrónico utilizando la generación aumentada por recuperación (RAG), una forma que tienen los LLM de extraer datos adicionales de fuera de su sistema. Cuando el correo electrónico es recuperado por la RAG, en respuesta a una consulta del usuario, y se envía a GPT-4 o Gemini Pro para crear una respuesta, “rompe el servicio GenAI» y, en última instancia, roba datos de los correos electrónicos, dice Nassi. “La respuesta generada que contiene los datos sensibles del usuario más tarde infecta nuevos hosts cuando se utiliza para responder a un correo electrónico enviado a un nuevo cliente y luego se almacena en la base de datos del nuevo cliente”, explica. Artículos relevantes: La ciberseguridad se disputa con la IA el protagonismo en la inversión En el segundo método, según los investigadores, una imagen con un aviso malicioso incrustado hace que el asistente de correo electrónico reenvíe el mensaje a otros. “Al codificar el aviso autorreplicante en la imagen, cualquier tipo de imagen que contenga spam, material abusivo o incluso propaganda puede reenviarse a nuevos clientes después de que se haya enviado el correo electrónico inicial”, afirma Nassi. En un video de demostración de la investigación, puede verse al sistema de correo electrónico reenviando un mensaje varias veces. Los investigadores también afirman que pueden extraer datos de los correos electrónicos: “Pueden ser nombres, números de teléfono, números de tarjetas de crédito, números de seguro social, cualquier cosa que se considere confidencial”, dice Nassi. Esto es solo una advertencia… Por ahora Aunque la investigación rompe algunas de las medidas de seguridad de ChatGPT y Gemini, los investigadores afirman que el trabajo es una advertencia sobre el “mal diseño de la arquitectura” dentro del ecosistema de la IA en general. No obstante, informaron de sus hallazgos a Google y OpenAI. “Parece que han encontrado una forma de explotar vulnerabilidades del tipo prompt-injection basándose en entradas de usuario que no han sido comprobadas o filtradas”, afirma un portavoz de OpenAI, que añade que la empresa está trabajando para que sus sistemas sean “más resistentes” y afirma que los desarrolladores deberían «utilizar métodos que garanticen que no están trabajando con entradas dañinas». Google declinó hacer comentarios sobre la investigación. Los mensajes que Nassi compartió con WIRED muestran que los investigadores de la compañía solicitaron una reunión para hablar del tema. Aunque la demostración del gusano tiene lugar en un entorno en gran medida controlado, varios expertos en
