Seguimos
con la siguiente presentación de Adrián Nicolás Marchal González,
que lo tenemos aquí.
Bienvenido.
Él es doctor en Derecho
y actualmente director del Departamento de Seguridad
y Defensa de la Universidad Antonio de Nebrija,
así como director del Grado en Criminología y Ciencias Forenses
en la misma universidad desde 2020.
Cuenta con una sólida formación en el ámbito jurídico y tecnológico,
con títulos como el máster universitario en ciberseguridad,
máster en derechos fundamentales,
licenciaturas en derecho y criminología
y una amplia experiencia profesional como abogado penalista
y perito judicial en informática forense.
Además, está habilitado por el Ministerio del Interior
como director y jefe de seguridad.
Y el título de su ponencia de hoy es El factor humano en ciberseguridad.
Dos puntos.
El eslabón más importante y su explotación
a través de la ingeniería.
Cuando quiera.
Muchas gracias.
Lo primero, agradecer de verdad
al Instituto por la aceptación de la propuesta de la comunicación,
así como a los organizadores, a Clara en específico,
que ha estado ayudándome en que esta ponencia
de hoy sea posible, y como a todos ustedes
que formáis parte del Instituto.
Como ya se ha hablado estos días, se ha hablado también
por las compañeras que me han procedido a la palabra,
El objetivo de mi ponencia es intentar compartir un conocimiento
que aporte algo diferente, porque en la actualidad
nos estamos centrando mucho en la tecnología, en ciberseguridad,
en el día de ayer en la inteligencia artificial,
pero detrás de todo esto siempre hay un humano,
siempre hay un factor humano.
Y en ocasiones, aunque Mercedes,
la primera ponente en el día de hoy, lo ha comentado,
de que hay que refortalecer el factor humano,
pero nos estamos olvidando de este factor humano.
Entonces, aquí es donde me quiero centrar en mi presentación.
Siempre me interesa dar un poco de contexto,
aunque ya mis compañeras han ofrecido un contexto muy interesante, ¿no?
Pero estamos viviendo un momento de conflictos armados.
Estos conflictos dejan una evidencia
o dejan, evidentemente, una huella en nuestro entorno físico, ¿verdad?
Y esto es muy fácil de ver.
Antes de ayer se produjo,
hemos visto ya los primeros misiles entre India y Pakistán
y estamos viendo cómo se está dando cobertura a los medios,
cómo se está produciendo un deterioro en el entorno físico,
pero el problema es que estamos hablando de ciberespacio.
Y el problema de hablar del ciberespacio es precisamente, bueno,
esto es un vídeo que he intentado que sea lo más reciente posible
cuando tuve que enviar la presentación,
donde Kaspersky, que es una solución de ciberseguridad,
pues todos aquellos dispositivos que la tienen instalada,
cuando reciben un ciberataque lo alertan.
Y esto es en tiempo real, es una aplicación
que muestra en tiempo real el número de ciberataques
que se están produciendo en estos dispositivos.
Esto es otro mapa en tiempo real que establece
las botnets que hay activas y cómo van haciendo peticiones
hacia diferentes servidores.
Y es más, en lo que dura esta mesa redonda,
en lo que dura esta conferencia, en España se van a producir más
de 100 ciberataques.
Esto suena muy fácil decirlo,
pero estos ciberataques van a dejar sin servicio a pymes,
van a dejar fuera de servicio y van a producir
que un negocio no pueda continuar con su actividad.
Y por lo tanto, creo que merece ser tratado con esa dimensión,
pero que como no deja una huella en un espacio físico,
no nos llegamos a dar cuenta de la misma.
Un ataque en un dominio físico.
Una central eléctrica, se puede ver perfectamente.
Esto es en otra central que estaba siendo víctima de un malware
que estaba provocando que los sistemas de energía
se deteriorasen poco a poco.
Y el problema es que no se supo nunca llegar a concretar
de dónde fue el origen, desde cuándo,
qué han llegado a producir.
En el primer ataque en el dominio físico, evidentemente,
la opinión internacional se pone en contra.
En el segundo, no se sabe.
Este es el verdadero problema que estamos teniendo
con el ciberespacio.
Esos ataques de bandera falsa, que no se sabe desde cuándo,
no se sabe por dónde han podido entrar,
qué tienen acceso, qué no.
Y por último, y también muy importante,
es que como no se puede llegar a atribuir,
pues se está potenciando muchísimo más estos tipos de ataques.
Y hace que nos encontremos en una zona gris.
No estamos en guerra, pero tampoco estamos en paz.
Y esto tiene que cambiar, por supuesto,
nuestro concepto de la situación.
Y aquí es donde vengo a reforzar ese factor humano, ¿no?
En ciberseguridad hay una frase que siempre se ha dicho
de que el eslabón más débil es el factor humano.
A mí me gusta transformarla en positivo porque si la cambiamos
y decimos que en vez de ser el factor más débil
decimos que es el factor más importante,
le dejamos de responsabilizar, de dar esa culpa
y le transformamos en un protagonista.
Entonces, ¿cómo los ciberdelincuentes,
que no hackers.
Estamos leyendo continuamente noticias de un grupo de hackers,
normalmente rusos.
Un grupo de hackers,
eso no son hackers, eso son ciberdelincuentes.
Ciberterrorismo, como lo queramos llamar.
¿De qué se aprovechan?
Principalmente de algo tan sencillo,
de verdad, además traigo un ejemplo
en tiempo real de cómo se realiza un ataque de phishing,
de algo tan sencillo como es la ingeniería social.
Que esto no es algo nuevo, como también se ha comentado,
que parece que ahora todo lo que se hace en la desinformación
es un fenómeno nuevo, ¿verdad?
, que se lleva aplicando muchísimo tiempo,
este tipo de ataques, los ataques de bandera falsa,
en idéntico sentido, ¿no?
Pues esto es igual.
La ingeniería social se lleva aplicando muchísimo tiempo.
Yo, por ejemplo, he traído un caso real
de cómo se aplica de toda la vida.
Por ejemplo, imaginémonos que una persona quiere buscar pareja.
Y es este señor de aquí.
Según el público femenino al que he consultado,
este es un actor, William Levy, creo que es el llamado, sí,
es conocido.
Y a la derecha tenemos a otro actor, Pepón Nieto,
un actor español.
Os aseguro que son de la misma especie,
de la especie humana, ambos.
William Levy, el de la izquierda,
me han dicho que no va a necesitar grandes dotes,
ni hablar, ni estudios,
ni literatura, ni viajes,
nada.
Pero en cambio, Pepón Nieto, si va a querer buscar pareja,
pues va a tener que demostrar una serie de habilidades,
le tiene que gustar el teatro, el cine, la lectura, viajar,
para que así la persona objetivo le encuentre.
Activo, le encuentre con cierto interés
y por lo tanto consiga el éxito en su misión.
En cambio el de la izquierda no va a ser necesario.
Esto es ingeniería social,
aplicado evidentemente a un entorno conocido,
aplicado de forma muy simple,
pero ahora lo vamos a llevar al ámbito de la ciberseguridad.
Los ataques más comunes son, por ejemplo, ya lo sabemos,
el phishing, el baiting,
voy a hablar de ellos más específicos,
el impersonation, esto está afectando muchísimo sobre todo
a altos directivos, Y el honey trap,
que esto está afectando también a una escala más operativa,
pero que tiene muchísima efectividad.
Con el phishing,
a mí siempre me gusta cuando hablo de,
cuando vengo a hablar de términos así, sobre todo en inglés,
como podéis observar,
porque da mucho más nivel hablar de estos ataques,
se pueden traducir en castellano, pero bueno,
siempre esto te eleva mucho más, ¿no?
Pues mirad, yo he creado un vídeo, ¿eh?
He creado un vídeo de cómo es sencillísimo
hacer un ataque de phishing.
Para ello hay que simular un entorno y en ese entorno tenemos
que crear una apariencia falsa.
Entonces, esto es en tiempo real.
Un menú en una aplicación.
Quiero hacer un ataque a ingeniería social.
El 1.
Ahora quiero hacerlo a través de una web.
El 2.
Ahora voy a pulsar el 3, que es robar credenciales.
Y voy a clonar un sitio web.
Voy a pulsar la opción número 2.
Pulso la opción número 2.
Aquí podría hacer un comando tipo squatting,
pero no quiero.
Y voy a copiar una URL.
Como la ponencia de hoy es en el Instituto Universitario Gutiérrez
Mellado, pues me voy a venir al Instituto General Gutiérrez Mellado.
Me vengo aquí y me voy a ir al campus.
En este campus,
lo que hago es voy a copiar esta URL de las credenciales,
donde las personas que trabajan en la institución,
alumnos, profesores, tienen que meterse en esta URL
y la voy a copiar.
Automáticamente la pongo aquí, ya me lo ha copiado.
Y ahora, si me meto en la IP que he creado,
esto habría que ofuscarlo,
habría que crear una serie de sistemas,
generar un registro de un dominio, pero para hacerlo rápido,
simplemente voy a copiar esa IP y se la voy a pasar a mi víctima.
En email.
Se la paso a mi víctima
y fijaros, yo no he puesto la URL de la cutie remillada,
he puesto esa dirección IP.
Ha copiado exactamente la página, en segundos,
pongo mi usuario, a marchar al arroba correo punto es,
pongo mi contraseña, en ese momento pues me la invento,
le doy a enviar.
La víctima ha dicho, oye, no ha funcionado.
¿A cuántos de nosotros nos ha pasado que muchas veces
hemos metido el usuario de contraseña y no nos ha funcionado?
Y ahora le lanza la URL oficial y ahora entraría
y aquí no ha pasado nada.
Pero yo por detrás tengo el usuario, lo estoy subrayando y la contraseña,
que en ese momento puse mi password.
Ya está.
Sencillo.
Este ataque fue, por ejemplo, el que se ha servido,
seguro que lo conocen,
un ciberdelincuente que se hace llamar Al-Khasek,
el que se sirvió del punto neutro judicial o la base de datos
de policía.
No fue ningún tipo de ataque a una base de datos aprovechándose
de unas exposiciones comunes o un zero-day.
No, fue esto, el factor humano.
Ya está.
Entonces, esta sería una forma sencillísima
de cómo se hace un ataque phishing.
Evidentemente que obtenen información, ahora hablaré al final
de cómo es esa huella digital.
El baiting, imaginémonos en todos,
en nuestra puerta de nuestro trabajo,
en la entrada, un USB,
una memoria en el suelo con una pegatina
del logo de nuestra empresa
y que pone nóminas 2024.
Bien.
Lo cogeríamos, ¿verdad, hombre?
Esto de saber lo que gana el de al lado y el jefe
o esta gente del consejo, pues es interesante, ¿no?
Esto, evidentemente, a lo mejor, como estamos en el entorno
en el que estamos, tenemos algo más de concienciación,
pues, evidentemente, no, no, no lo utilizaría.
Bueno, esto ha pasado en Alemania,
se le puso a un ministro precisamente este anzuelo,
picó y se entró y se vulneraron datos confidenciales.
O sea, que esto es,
estamos todos expuestos, pero todos es todos, de verdad,
cualquier persona, personal, administración, investigador,
docente, alumnos, todo el personal que entre,
salga en esta empresa.
Porque.
Por ir terminando y rápidamente, la impersonation también es otra.
Y luego el funny trap.
Esto está funcionando muy bien.
Es, al final, el crearse un perfil falso.
Fijaros, no es técnico al 100% este tipo de ataques.
Se crean un perfil falso, por ejemplo, en Tinder.
Vilma, 20 años.
Y cierto tipo de personas,
trabajadores de todo tipo de instituciones.
Oye, conocen a Vilma.
Una persona, 20, 30 años.
Nunca nadie me ha escrito,
nunca nadie se han interesado por mí,
pero de repente aparece Vilma.
Y la pregunta que nos mata a todos los españoles, ¿y si?
¿Y si?
¿Y si esto es verdad?
¿Y si es cierto?
Venga, voy a empezar a escribir.
Y empiezas a escribir y Vilma te entiende.
Bueno, te lee como un libro.
Te escucha como nunca nadie te ha escuchado.
Claro, la persona.
Vivima me entiende, claro.
Y Vivima te empieza a preguntar, oye, ¿dónde estáis hoy?
Pues mira, hoy estamos desplegados en tal zona,
hoy estamos en no sé dónde, ahora me voy con el barco
a tal sitio.
Esto está pasando.
Tristemente también se dice, no, pero ahora en televisión.
Pedir documentación oficial.
Bueno, esto es una documentación digital.
Muy burda, una falsificación totalmente absurda,
pero ya existen páginas que pagando con cierto tipo
de criptomonedas te generan de forma digital una documentación,
carnet de conducir, pasaporte y documento de nacionalidad
de cualquier país.
Entonces,
pues hay que tener muchísimo cuidado con este tipo de ataques.
Obvio, Todo esto se fomenta con una huella digital.
Es sencillísimo sacar información solamente desde el ordenador
con este tipo de herramientas.
Con Google Docs,
Sodan, que es el Google de los dispositivos,
Maltego, Lampire.
Es terrible, pero terrible,
de la cantidad de huella y perfilación que se puede hacer.
Y esto lo fomentamos con otro tipo de ataques
y la garantía de éxito aumenta.
Lampire, pues pongo aquí el correo electrónico de una persona
y me dice todo.
Todo.
Se ha dado de alta en una página de buceo,
ha sido filtrado sus datos en una filtración
de una gestoría que hubo en Alicante,
por lo tanto ya sé que tiene que ser de la zona de Alicante,
que se le llama el gestor esta persona.
Simplemente poniendo un email,
o sea que no hace falta este conocimiento técnico
que se podía llegar a entender sobre el ámbito ciber.
Y muchísimo más, esto es el perfilado de otra persona también,
de un objetivo que estuvimos investigando.
Con Google Docs,
pues con cierto tipo de comandos.
Pues accedo a servidores y en esos servidores
pues empresas suben cédulas de identidad o documentos
de nacionalidad, que es interesante que todos monitoricemos
porque no somos conscientes de la cantidad de información.
Si en la autoescuela de los hijos o en medio de alta
en no sé qué, en una escuela de inglés
y me han pedido esta documentación o en hoteles,
que está pasando también.
Pues ese hotel, ese ordenador está conectado a internet
y es perfectamente accesible con este tipo de comandos.
A mí se me ponen los pelos de punta porque en muchas filtraciones,
pues miembros y fuerzas de seguridad, fuerzas del Estado,
se dan de alta en servicios con su email corporativo.
Aquí es un ejemplo de cómo un email corporativo,
tenemos la cuenta seña y el email corporativo.
Y entonces, si aquí vengo a hacer la misma pregunta,
¿cuántos de ustedes tienen la misma contraseña y usuario
para los mismos servicios?
Pues, respondida la pregunta,
yo creo que es evidente la vulnerabilidad.
Y luego, en Sodam, por ejemplo, es que se pueden acceder
cuando una persona conecta en su router un disco duro
y así tiene una nube privada, pues se puede rastrear ese disco duro
y se puede acceder a las carpetas que tiene, fotografías, etcétera.
Es verdaderamente terrible.
Y esto es a nivel doméstico, pero bueno,
también haciendo cierto tipo de comandos
se puede llegar incluso a la Agencia Espacial Europea,
que está totalmente accesible.
Yo ya lo he reportado muchísimas veces,
sigo poniendo el mismo ejemplo
porque sigue estando accesible con este tipo de comandos.
Pero bueno, entonces, por cerrar,
cuando hago este tipo de presentaciones,
muchas veces las respuestas que me encuentro en.
En jóvenes o en más corporativo, es oye, si yo no tengo nada malo,
si yo no tengo nada, ¿cómo se van a interesar por mí?
Pero creerme de verdad que todos somos importantes
porque somos la llave de acceso,
por ejemplo, a nuestra institución, a nuestra empresa,
o porque también tenemos una cosa que estamos perdiendo cada vez
más por estar constantemente compartiendo, que es esa intimidad,
que son esos derechos fundamentales.
Que tristemente, ¿no?
No sé por qué hay una tendencia hoy a sobrecompartir todo
y cada vez que compartimos todo, pues perdemos un superpoder que es
esa invisibilidad, esa cosa más inherente nuestra, ¿no?
Entonces, creerme de verdad que esto está siendo un problema,
que se ha hablado en conferencias anteriores,
que desde Europa se está hablando ya
de la alfabetización mediática temprana,
para que nuestros jóvenes sean conscientes
de lo que conlleva el ser conscientes de su huella digital,
porque luego les afecta a nivel laboral,
les afecta en su trabajo, les rastra para siempre.
Y con esto termino mi presentación.
Muchísimas gracias y estaré atento al turno de preguntas
para fomentar ese debate.
Muchas gracias, Adrián.
Muy interesante.