UNIR Revista
Analizamos el impacto que tienen en la sociedad herramientas como Pegasus y las buenas prácticas que todo ciudadano debe de conocer para evitar las intrusiones y ciberataques.
La periodista Mari Gómez habla con destacados expertos sobre los retos que surgen.
Escuchamos y vemos continuamente noticias sobre la existencia de un software a través del cual se están detectando casos de espionaje, con gran repercusión nacional e internacional. Son muchas las dudas, las incertidumbres y los misterios que lo rodean.
Para profundizar en esta atractiva e importante cuestión hablamos con tres destacados expertos que participaron en la openclass de UNIR Pegasus o el fin de la privacidad: retos forenses de la sociedad actual. Mari Gómez, periodista freelance, entrevista a Juan José Delgado Sotés, director del Experto en Peritaje Informático e Informática Forense de UNIR e IT manager, CCO y cofounder de ILM Forensics; a Daniel Vénere, profesor del Máster en Security Operation Center de UNIR y chief compliance officer en ITCqure; y a Carlos Álvarez, consultor SOC con más de 10 años de experiencia en el ámbito de la ciberseguridad.
Analizamos el panorama actual, el impacto que tienen en la sociedad herramientas como Pegasus y, sobre todo, las buenas prácticas que todo ciudadano debe de conocer para evitar las intrusiones y ciberataques a los que estamos sometidos de manera constante.
Como expertos en el sector, ¿qué es realmente Pegasus?
Carlos Álvarez (C.A.) Es una herramienta o solución de ciberespionaje y ciberinteligencia de ámbito comercial, líder en el mundo, que permite a las agencias de inteligencia acceder a la información de cualquier dispositivo móvil.
Has mencionado ‘ámbito comercial’, nos resulta muy interesante conocer más acerca esta cuestión. ¿Qué diríais al respecto?
Daniel Vénere (D.V.) El objetivo de la herramienta es claramente comercial, lo que plantea el dilema ético de cómo son de ortodoxas determinadas prácticas en los estados.
Juan José Delgado Sotés (J.D.) Efectivamente es una empresa, que dice que trabaja de manera exclusiva solo para gobiernos y amparado en la ley. Quizás, sobre todo, parte de ahí la polémica de la privacidad.
Daniel Vénere es docente del del Máster en Security Operation Center de UNIR.
¿Desde cuándo se vienen utilizando estas prácticas? ¿Es tan nuevo su uso como parece?
D.V. En realidad la empresa israelí se consolida en el año 2010 y las primeras evidencias son de 2016, cuando tuvo lugar el asesinato del periodista Jamal Khashoggi, el cual tenía el móvil interceptado por esta aplicación.
¿Cómo podemos aprender a convivir con este tipo de sistemas?
J.D. En este caso estamos hablando de una solución Ceroclick, que nos ataca sin que nosotros tengamos que interactuar con nuestro teléfono. Es muy fácil trasmitirlos y difícil evitarlo. Ante esto, lo que podemos hacer es no tener miedo, pues al ser una herramienta cara no es usada con particulares. Pero las empresas, sí deberán ejecutar análisis forenses periciales periódicos para determinar si alguno de ellos ha sido infectado por este tipo de malware. En este sentido, Amnistía Internacional publicó en el 2021 una guía bastante detallada de cómo buscar evidencias de Pegasus en los terminales.
C.A. Se usa desde que los gobiernos, los ejércitos o las agencias de inteligencia decidieron intervenir las comunicaciones. La guerra fría sin ir más lejos. Se llamaba de otra manera, pero servicios de inteligencia y contrainteligencia han existido siempre. Lo que cambia son los métodos, las antiguas malas prácticas también cambian y evolucionan.
Carlos Álvarez consultor con más de 10 años de experiencia y profesor de UNIR.
¿Cuáles son las malas prácticas y las buenas? Siendo una herramienta que lleva años usándose, ¿cuál es el buen uso que se le puede dar a esas herramientas y cuáles las malas praxis?
C.A. Beneficios hay muchos. Un gobierno es capaz de recopilar mucha información protegiendo al propio estado. Esos datos son valiosísimos para la lucha contra el terrorismo o los delitos en general. Pero si se hace un mal uso de esta herramienta el impacto es imposible de dimensionar.
J.D. Efectivamente, estas herramientas siempre han estado ahí. La bonanza de Pegasus es la facilidad de uso. Antiguamente para poder hacer algún tipo de intervención de escucha debían pedir unos permisos y desplegar una infraestructura compleja, que Pegasus facilita totalmente.
C.A. Las cifras ofrecidas por Pegasus, reveladas por el propio fabricante, señalan que llegan a 50.000 teléfonos intervenidos en todo el mundo, 15.000 en México.
D.V. Lo que destaca de Pegasus es la inteligencia de consolidar todo lo que las grandes compañías tenían de manera dispersa. Pegasus la intercepta, la recoge y la usa. Sabemos que hay medios que nos escuchan, como el móvil o Alexa; sin embargo, hay que plantearse la parte ética y poner el límite para saber dónde se está traspasando la línea.
Juan José Delgado Sotés, director del Experto en Peritaje Informático e Informática Forense de UNIR.
¿Cómo condiciona la libertad de expresión una herramienta como esta?
J.D. Pegasus no se inventa nada que no exista, nosotros somos responsables de nuestros actos y debemos conocer el uso que hacemos de nuestros terminales. Ciertamente, desde entidades internacionales, ha habido denuncias en nombre de periódicos como Le Monde o The Guardian que habían sido atacados por Pegasus. Pero el afán de controlar a la prensa siempre ha existido. Pegasus lo facilita o permite un mayor control, pero no inventa nada.
C.A. Compromete la privacidad y la intimidad, pero no la libertad de expresión.
¿Se utiliza en cualquier ámbito o solo en gobiernos y estados?
J.D. Pegasus es uno de cientos o miles de programas de spyware que atacan diariamente nuestros terminales, pero existen muchos. Cuando pensamos en herramientas que condicionan nuestra privacidad, debemos saber que muchos otros programas están atacando los terminales para muchísimas extorsiones. En general, la ciberseguridad juega un papel imprescindible para hacer sean menos vulnerables. Se recomienda siempre tener actualizado el móvil con las últimas versiones, ya que los técnicos y especialistas en ciberseguridad trabajan de manera constante y rápida para crear versiones que protejan mejor.
C.A. Debemos tener educación, conciencia y formación. Es obligatorio integrar el dominio ciber en la cultura del ser humano.
Hablando de educación, en los últimos años los casos de ciberdelincuencia se han triplicado, ¿qué podemos estudiar para poder formarnos como profesionales que logren paliar los efectos de esta ciberdelincuencia?
J.D. Titulaciones como el Experto en Peritaje informático o el Máster en Security Operation Center de UNIR, son ya estudios imprescindibles. Es un área en la que necesitas estar en contaste actualización, una formación que nunca se acaba.
D.V. Hay un espacio de talento e investigación sin completar que es la gestión del riesgo humano. Si la educación en buenas prácticas de seguridad informática se extendiese al entorno social desde los más pequeños, se ayudaría muchísimo a paliar los efectos de la ciberdelincuencia.
C.A. En la ciberseguridad deberíamos tener especialidades, para formar profesionales expertos en diversas disciplinas. Hoy hay mucha oferta y variada, pero si se abarcan muchas disciplinas la efectividad del conocimiento es menor.
J.D. Una de las cosas que comentamos en el Experto en Peritaje es aconsejar una especialización, pues abarcando todo no se va a lograr el buen trabajo.
Pegasus se centra en las escuchas telefónicas, pero afecta a coches o cualquier otro dispositivo digital inteligente que se nos pueda ocurrir. ¿Hay nuevos retos además de herramientas como Pegasus?
D.V. El Metaverso es otro gran reto que tomará más relevancia. Vamos a dejar de ser personas para ser avatares, pero se seguirá manejando información personal como transacciones económicas, datos entre personas, etc. Las empresas que ofrezcan productos y servicios en el Metaverso podrán acceder a estos datos y es un gran desafío. Todavía no tenemos la madurez suficiente en ciberseguridad, sobre todo en Latinoamérica, para poder hablar de cloud y metaverso. Cuando aún no controlamos una parte, entran nuevos desafíos o retos en el panorama tecnológico.
Es imprescindible la concienciación de la gente para paliar los efectos de los ataques a nuestra privacidad y seguridad
Como comentáis, los cambios se producen demasiado deprisa. ¿Cómo se puede afrontar esto?
J.D. En el caso del Metaverso, ahora mismo vamos tarde, pues se ha creado el uso sin crear la seguridad que lo sustenta.
D.V. Los profesionales de la seguridad informática siempre van un paso por detrás de los ciberataques o de los desarrollos tecnológicos, ya que hay menores presupuestos, menos tiempo, menos equipos… Las empresas aún no han tomado conciencia de su relevancia.
C.A. A raíz de lo que hemos comentado del crecimiento de la ciberdelincuencia, cuando mi equipo hizo el informe Lazarus en Chile en el 2018, se extrajo una conclusión muy llamativa. En ese momento, el cibercrimen ya superaba con mucha diferencia al tráfico de armas, al de drogas o a la trata de personas. Su negocio es eso, y su foco de inversión.
¿Esa puede ser la razón de cada vez las empresas inviertan más en ciberseguridad, ya que no tener una buena red de seguridad está generando muchísimo caos? ¿Creéis que ya ha habido en muchas entidades ese cambio cultural o aún queda mucho camino por recorrer?
J.D. Las grandes empresas tienen la ciberseguridad dentro de su ADN, pero en la PYME escasea. Recursos hay, pero todavía no existe la conciencia y suele llegar cuando son atacados. Pero la buena noticia es que hay recursos, los SOC (Centro de Operaciones de Seguridad), que permiten a cualquier tipo de empresa tener una infraestructura de ciberseguridad.
C.A. Sí, hay empresas que ya tienen asumido que la ciberseguridad es un elemento más de su negocio. Hay otras que lo tienen considerado, aunque no desplegado, o que están interesadas. También debemos señalar una división entre el público, hablando del consumidor y del facilitador de servicios. Incluir hoy las palabras internet segura o correo seguro facilita y habilita el negocio. Pero mientras nos dirijamos a un grupo consumidor desconocedor de qué es tráfico limpio o urls maliciosas es complicado, porque consumirá en base a lo que le propone el sistema. Pero los que nos dedicamos a esto tenemos la obligación de seguir abriendo oportunidades de entrenamiento, formación, conciencia y capacitación, con estudios como los que propone UNIR. La cibernética es una necesidad en la que hay que formarse.
¿Cuál es la mejor forma de garantizar nuestra privacidad en internet? ¿A qué herramientas debe recurrir?
D.V. Higiene cibernética, mantenimiento, sistemas operativos actualizados, mantener al día los parches, revisar y tener cuidado al descargar aplicaciones (siempre previa validación de fabricante), cuidado con los correos electrónicos de desconocidos, mensajes de texto, etc…
C.A. Sentido común. Para ello es bueno tener una buena base de conocimiento y estar preparado, conectarse a redes confiables, cerrar sesiones siempre… buenas prácticas en general. Nosotros no seremos objetivos de Pegasus, pero todos hemos sido atacados para intentar robarnos los datos de una tarjeta. Por lo tanto, precaución, buen criterio, un buen antivirus…
J.D. En efecto, el primer vector de ataque es la ingeniería social. La gente es el gran problema, ya que al recibir los mensajes interactúan rápidamente. Es imprescindible la concienciación de la gente para paliar estos efectos.
En este campo hay trabajo, demanda y no para de crecer. El reto es cubrir con talento y conocimiento
A modo de conclusión y haciendo honor al título del artículo, los retos forenses, claramente hay uno que ha sido nombrado, la concienciación o educación. Pero ¿cuáles son los grandes retos a los que se enfrentan los profesionales?
D.V. La poca capacidad que habrá, cada vez más, de detectar trazas, que es la base del forense.
C.A. Mantener el equilibrio frente al desarrollo tecnológico.
J.D. El horizonte es cada vez más amplio. El avance es más rápido, hay nuevos retos, hay ayudas como la Inteligencia Artificial, pero también se trabaja en contra, haciendo que los ataques sean más complejos.
Para finalizar, ¿qué aporta para alguien que se quiera adentrar en el mundo de la ciberseguridad estudiar el Experto en Peritaje Informático o el Máster en Security Operation Center?
J.D. Lo que queda claro es que en este campo hay trabajo, demanda y no para de crecer. El reto es cubrir con talento y conocimiento. En el caso del Experto en Peritaje Informático, el objetivo es salir especializado en análisis forense que hoy, como hemos visto, es muy demandado en el mercado laboral.
Algo en lo que coinciden Daniel Vénere y Carlos Álvarez. Para ambos formarse en Ciberseguridad es ofrecer futuro. Y el Máster en Security Operation Center es el taller donde todos los especialistas aprenderán mediante casos reales y con destacados profesores que atesoran una gran experiencia.
De cuestiones tan interesantes como las que hemos recogido en este artículo se hablaron durante la openclass de UNIR Pegasus o el fin de la privacidad: retos forenses de la sociedad actual.
