Daniel González, experto en ciberseguridad: "La IA no inventa el fraude, pero lo hace más rápido, más barato y más difícil de detectar"

Daniel González Fernández (Barcelona, 1975), experto en ciberseguridad, avisa de que los ciberdelincuentes acceden a los niños en un 72 por ciento de los casos a través de los móviles de sus padres. Este especialista que ha trabajado para Toshiba, Fujitsu, BlackBerry o Samsung, entre otras multinacionales, advierte de que "la IA no inventa el fraude, pero lo hace más rápido, más barato y más difícil de detectar". E indica que "es importante que no marquemos la casilla de 'conectarse automáticamente la próxima vez' para ninguna red wifi, ni siquiera para la de nuestra casa: estamos activando una vulnerabilidad que podrá ser utilizada por cualquier ciberdelincuente".

-Habla de vulnerabilidades en aplicaciones dirigidas a niños menores de seis años. ¿De qué estamos hablando?

-No estamos diciendo que todos los juegos para niños sean peligrosos. Hablamos de algo más concreto: aplicaciones aparentemente inocentes que pueden recoger más datos de los necesarios, mostrar publicidad inadecuada, pedir permisos excesivos o conectarse con servidores externos sin que los padres sean realmente conscientes. El problema es que un niño pequeño no sabe distinguir si una aplicación le está pidiendo acceso a la cámara, al micrófono, a la ubicación o a los contactos. Para el niño es solo un juego. Pero detrás puede haber recopilación de datos, perfiles de comportamiento o publicidad dirigida. En el peor caso, un ciberdelincuente que quiere entrar al móvil de un adulto en el que instalamos un juego para el niño. Cuidado con esto último. En España, es casi el 72% de los casos. Apps de niños instaladas en móviles de padres y madres.

-¿Cómo puede frenarse esta amenaza?

-Para empezar, con responsabilidad de las tiendas de aplicaciones y de los fabricantes. Segundo, con controles parentales reales. Y tercero, con una regla muy sencilla para los padres: instalar pocas aplicaciones, siempre desde tiendas oficiales, revisar los permisos que se solicitan en el proceso de instalación y desconfiar de las apps gratuitas que piden demasiados permisos. Normalmente, cuando la App es gratis, muchas veces el producto somos nosotros; y eso, con niños, es especialmente delicado.

-¿Qué riesgos hay con la wifi? ¿Puede estar la gente corriente tranquila?

-Puede estar razonablemente tranquila si usa redes conocidas y toma unas precauciones básicas. El problema aparece con las redes wifi públicas o abiertas: aeropuertos, cafeterías, hoteles, centros comerciales. En esos entornos, un atacante puede crear una red falsa con un nombre muy parecido al legítimo, o intentar interceptar parte de la comunicación. Hoy muchas páginas y aplicaciones ya cifran la información, y eso ha mejorado mucho la seguridad. Pero no conviene confiarse. Mi recomendación para cualquier persona es muy simple: no hacer operaciones bancarias importantes en redes wifi públicas, no aceptar avisos extraños del navegador, mantener el móvil actualizado y, si se puede, usar los datos móviles, la línea del operador de telefonía móvil, para tareas sensibles. No se trata de vivir con miedo, sino de aplicar sentido común digital. Igual que no dejamos la cartera encima de una mesa en una estación, tampoco deberíamos usar cualquier red abierta para acceder a nuestra vida digital. Por otro lado, lo que mostramos durante la ponencia. Es importante que no marquemos la casilla de “conectarse automáticamente la próxima vez” para ninguna red wifi, ni siquiera para la de nuestra casa. Con ese simple acto, estamos activando una vulnerabilidad que podrá ser utilizada por cualquier ciberdelincuente.

-¿Qué otros mecanismos utilizan los hackers para infiltrarse?

-El método más frecuente sigue siendo el engaño. El ciberdelincuente no siempre necesita romper una cerradura; muchas veces consigue que la propia víctima le abra la puerta. Los mecanismos más habituales son mensajes SMS falsos, correos que imitan a bancos o empresas de paquetería, llamadas telefónicas suplantando a una entidad conocida, enlaces por WhatsApp, códigos QR manipulados o aplicaciones falsas. También hay ataques más sofisticados, como el spyware, que puede espiar un dispositivo, o los ataques a vulnerabilidades desconocidas, que son los más peligrosos porque el usuario no tiene forma sencilla de detectarlos. Pero para la mayoría de los ciudadanos, el principal riesgo sigue siendo el mismo: pinchar en un enlace, introducir una contraseña donde no debe o instalar una aplicación que no debería instalar. Pensemos que la limitación del tamaño de la pantalla de un móvil y el momento en el que lo utilizamos (casi siempre en movimiento) hacen que no nos fijemos en pequeños detalles que pasan desapercibidos y que nos hacen cometer errores que quizás no haríamos al utilizar un ordenador.

-¿Cómo está afectando la IA a la seguridad, tanto de particulares como de corporaciones?

-La inteligencia artificial tiene dos caras, como cualquier avance o tecnología. La IA, bien utilizada, ayuda muchísimo: permite detectar fraudes, analizar comportamientos extraños, responder antes a un ataque y proteger mejor a empresas y ciudadanos. Pero en manos de delincuentes también está multiplicando el problema. Antes un correo fraudulento tenía faltas de ortografía y era fácil detectarlo. Ahora la IA permite escribir mensajes perfectos, en buen español, adaptados a cada víctima. También permite crear audios falsos, vídeos manipulados, páginas web falsas muy convincentes y ataques mucho más personalizados. En las empresas el riesgo es mayor porque un ataque bien diseñado puede llegar a un empleado, robar sus credenciales y abrir la puerta a sistemas internos. Para los particulares, el peligro es que la estafa sea cada vez más creíble. La IA no inventa el fraude, pero lo hace más rápido, más barato y más difícil de detectar.

-¿Cómo puede utilizarse de forma fraudulenta algo tan habitual como los mensajes de voz?

-Un mensaje de voz puede parecer algo privado e inofensivo, pero hoy una voz también es un dato biométrico. Con suficientes minutos de audio, la tecnología puede imitar la voz de una persona de forma bastante convincente. Eso puede utilizarse para engañar a familiares, empleados o incluso servicios de atención telefónica. Imaginemos un mensaje que parece venir de un hijo pidiendo dinero urgentemente, o de un jefe pidiendo una transferencia. Hace unos años sonaba a ciencia ficción; hoy es una amenaza real.

-¿Se puede proteger?

-Sí, pero no solo con tecnología. Hace falta una cultura de verificación. Si recibimos un audio extraño pidiendo dinero, datos o una acción urgente, no debemos responder en caliente. Hay que llamar por otro canal, hacer una pregunta que solo esa persona conozca o confirmar antes de actuar. La regla es sencilla: cuando haya urgencia, dinero o datos personales, hay que verificar. Durante la ponencia explicamos el riesgo inminente que vemos con el robo de mensajes de voz en whatsapp. Con la manipulación de menos de 5 minutos de ficheros o mensajes de voz y el uso de la IA, podemos llegar a recibir un mensaje de voz que parece auténtico pero que se ha construido con IA. Debemos establecer un mecanismo de comprobación con nuestros familiares más cercanos por si esto ocurre. Algo que nos permita comprobar si la voz es de una IA o si es de una persona real.

-¿Llegará un momento en que no sepamos distinguir contenidos reales de los generados por la IA?

-En muchos casos, ese momento ya ha llegado. Hay imágenes, audios y vídeos generados por IA que una persona normal no puede distinguir a simple vista. Y eso va a ir a más. La solución no puede ser confiar solo en nuestros ojos o nuestros oídos. Vamos a necesitar sistemas de verificación, marcas de autenticidad, trazabilidad del contenido y educación digital. Igual que aprendimos que no todo lo que sale en internet es verdad, ahora tendremos que aprender que no todo lo que vemos o escuchamos ha ocurrido realmente. El gran cambio cultural será pasar de “lo he visto, luego es verdad” a “lo he visto, pero necesito saber de dónde viene, necesito comprobar antes de actuar”.

-Los ciberataques son cada vez más frecuentes, perpetrados incluso por algunos Estados. ¿Hasta qué punto pueden hacer daño? ¿Somos conscientes del peligro?

-Pueden hacer mucho daño. Un ciberataque ya no consiste solo en robar una contraseña. Puede paralizar un hospital, afectar a una administración pública, interrumpir servicios esenciales como la energía, las comunicaciones, el suministro de agua, robar información de ciudadanos, espiar comunicaciones o condicionar decisiones políticas y económicas. Cuando detrás hay grupos organizados o incluso Estados, el objetivo no siempre es ganar dinero. A veces buscan información, influencia, desestabilización o ventaja estratégica. Por eso la ciberseguridad ya no es solo un asunto técnico: es un asunto económico, social y de seguridad nacional. Creo que la sociedad empieza a ser consciente, pero todavía vamos por detrás del problema. Seguimos pensando que “eso le pasa a otros”. Y el móvil ha cambiado las reglas: todos llevamos en el bolsillo una puerta de entrada a nuestra vida personal, profesional y financiera. Debemos empezar a pensar que, si estoy un gran porcentaje del día con el móvil, deberé dedicar cada vez más tiempo a saber más sobre cómo protegerme.

-¿Qué permite la criptografía postcuántica?

-La criptografía postcuántica busca proteger la información frente a una nueva generación de ordenadores: los ordenadores cuánticos. Estos ordenadores, cuando alcancen suficiente madurez, podrían romper algunos sistemas de cifrado que hoy protegen comunicaciones, banca, administraciones y empresas. Dicho de forma sencilla: la criptografía actual es como una caja fuerte muy resistente frente a los ordenadores actuales. Pero los futuros ordenadores cuánticos podrían abrir ciertos tipos de cajas fuertes mucho más rápido. La criptografía postcuántica consiste en diseñar nuevas cerraduras preparadas para ese futuro que es casi inminente. Y hay un punto muy importante: no hay que esperar a que el ordenador cuántico esté plenamente disponible. Ya existe el riesgo de “robar ahora y descifrar después”. Es decir, alguien puede capturar información cifrada hoy y guardarla para intentar descifrarla dentro de unos años, cuando existan los ordenadores cuánticos. Por eso muchas organizaciones ya están empezando a prepararse. Europa ya ha lanzado recomendaciones para la administración pública y las empresas de infraestructuras críticas. Y hablan del 2030. Nos quedan algo menos de 4 años.

-¿Qué son las Amenazas Persistentes Avanzadas? ¿Amenazan solo a las grandes compañías?

-Un APT o Amenaza Persistente Avanzada, es un ataque muy preparado, prolongado en el tiempo y normalmente dirigido a un objetivo concreto. No es el típico virus que intenta infectar a cualquiera. Es más parecido a un espionaje silencioso: entrar, permanecer oculto, observar y extraer información poco a poco. Suelen asociarse a grandes empresas, gobiernos, defensa, energía, sanidad o infraestructuras críticas. Pero no amenazan solo a las grandes compañías. A veces el objetivo real es una empresa pequeña que trabaja para una grande, un proveedor, un despacho profesional o incluso una persona concreta con acceso a información sensible, un político, una persona famosa, un alto cargo o directivo… El atacante busca el eslabón más débil. Y muchas veces ese eslabón no está en el gran servidor de una compañía, sino en el móvil de una persona.

-¿Están suficientemente dotados los cuerpos y fuerzas de seguridad para luchar contra el ciberdelito?

-Los cuerpos policiales han avanzado muchísimo y en España hay unidades muy preparadas. La Policía Nacional, la Guardia Civil, los Mossos, la Ertzaintza y otros cuerpos tienen especialistas de gran nivel. El problema es que el ciberdelito crece a una velocidad enorme y tiene una característica muy complicada: no entiende de fronteras. Un delincuente puede atacar desde otro país, usar servidores en varios continentes, mover dinero en segundos y cambiar de identidad digital constantemente. Eso exige medios técnicos, formación continua, muchísima cooperación internacional y agilidad judicial. Diría que hay buenos profesionales, pero necesitan más recursos, más especialización y más colaboración con empresas tecnológicas. La ciberseguridad no se puede combatir solo desde la policía, ni solo desde las empresas, ni solo desde los ciudadanos. Tiene que ser una responsabilidad compartida. España lidera desde hace años la lucha contra la ciberdelincuencia a nivel europeo, pero sin colaboración, no podremos contra las grandes redes internacionales de ciberdelincuentes.

-¿Cuál sería su mensaje final?

-El mensaje más importante es que el móvil se ha convertido en el centro de nuestra vida digital. Ahí tenemos el banco, las fotos, los mensajes, la ubicación, el correo, las redes sociales, los contactos, los audios y, en muchos casos, el acceso a muchas herramientas y sistemas de nuestro trabajo. Por eso la nueva ciberseguridad empieza en el dispositivo móvil. No para asustar a la gente, sino para que entendamos que proteger el móvil hoy es casi tan importante como proteger la casa, la cartera o las llaves.

Suscríbete para seguir leyendo