La IA y el desarrollo de la tecnología avanzan con rapidez, con, como siempre, sus pros y sus contras. Y es que al igual que Internet ha permitido una capacidad de comunicación e información sin precedentes, hay quienes utilizan estas nuevas herramientas para delinquir.
En esta entrevista hablamos con Jose Ardisana, experto en esta materia, y una de las muchas personas que trabajan para reducir las amenazas en la web. Empezó su carrera formándose en criminología, y su capacidad innata para el análisis y los detalles lo terminaron de acercar al mundo de la Ciberinteligencia y la Ciberseguridad.
Ha trabajado en equipos pertenecientes a la RNS (Red Nacional de Centros de Operaciones de Seguridad), del Centro Criptológico Nacional del CNI, entre otras labores profesionales.
Pregunta: La Dark Web es muy conocida en el campo de la Ciberdelincuencia, pero, ¿qué es exactamente?
Respuesta: Imagina que Google, los buscadores, la web en la que andamos, son como España y su sistema de carreteras. Eliges un destino en Google Maps y hay una carretera que te lleva, porque está todo indexado. La web superficial, por así decirlo, tiene unas arañitas que se llaman crawlers, que básicamente se dedican a rastrearlo todo y hacer como un mapa, un mapa gigantesco. Eso te permite que si buscas restaurantes en Google, te aparecen un montón de restaurantes, porque todas esas «arañitas» han ido localizando todo lo que hable de restaurantes en Internet.
La Dark Web es como si comparamos ahora España con toda África, que está abajo. Imagínate que en África no hay carretera y que solo hay desierto. Evidentemente no es así, pero bueno. Y también en Asia y América, todo desierto. Eso es la Dark Web. ¿Qué pasa si tú le dices a Google Maps, «oye, busca restaurantes aquí»? No te lo va a buscar porque directamente no pasaría una frontera; no hay carreteras, no hay nada, no pueden ir por ahí a enseñarte nada. Entonces ahí funciona otro método diferente. Tienes que conocer la dirección, códigos enormes de letras, símbolos y cifras. Por eso no es tan fácil navegar ahí y por mucho que te metas muchas veces no sabes dónde vas a acabar, no sabes dónde ir, no sabes qué hacer.
P: Entonces, si por ejemplo, busco restaurantes en la Deep Web, no me va a salir un listado, ¿no? Porque no está indexado.
R: No tendrías ni dónde buscar porque no existe un motor de búsqueda. Es muy extraño, un mundo muy diferente.
P: Hace poco también me vi un documental que hablaba sobre una red enorme de pedofilia que fueron destapando equipos que colaboraban a lo largo de todo el mundo y explicaba cómo iban encontrando a esos usuarios. Pero claro, esa gente muchas veces no son expertos en nada de informática, pero de alguna forma sí que consiguen acceso a todos esos foros. Entonces supongo que a través de esos foros se intercambiarán las direcciones.
R: Exactamente, muchas veces es relativamente fácil encontrar alguna dirección. Lo raro es que no haya una filtración todos los días en la que salgan todos nuestros datos porque han entrado dentro de Telefónica, en Amazon, en mil sitios. Y todos nuestros datos están ya en la red, aunque no queramos. En la Dark Web no, la Dark Web es mucho más segura, te permite comunicarte con alguien sin que nadie lo sepa. Si tienes información que no quieres que se sepa tus propios datos, es mucho más fácil mantener tus datos seguros en la en Dark Web hoy en día que en la web superficial.
¿Qué pasa? Que lo peor de lo peor de lo peor está allí también y llama mucho más la atención en eso, pero bueno. Y es innegable que un porcentaje enorme de gente la usa para cosas malas. Eventualmente la fama le viene por algo, aunque no sea solo eso.
P: ¿Cuál ha sido tu experiencia destapando grupos o personas que sí que hayan utilizado este lado de la web para delinquir?
R: Mi trabajo no va tanto orientado a destapar grupos o destapar este tipo de conductas sino que yo accedo a la Deep Web y miro credenciales filtradas; miro información sensible que afecte tanto a la empresa para el trabajo como a los clientes.
Mi empresa es una empresa de software y de ciberseguridad para otras empresas y para otros organismos, tanto públicos como privados: hay ayuntamientos, diputaciones, grandes empresas, hay un poco de todo. Lo que hago es buscar en foros de la web y en registros información filtrada o información sensible, que a la empresa no le interese que esté por ahí. Y sobre todo, credenciales. Un nombre de usuario con una contraseña asociada a un dominio, a una URL…
Por medio de palabras claves encuentro personas que las hayan mencionado, y así encuentro filtraciones, repositorios, comentarios. ¿Por qué se suelen publicar? Porque hoy en día, lo típico de alguien que te roba la contraseña para entrar en tu cuenta se sigue haciendo mucho. Pero son bastante más preocupantes los delincuentes que entran en un sitio, sacan millones de cuentas, millones de credenciales y los publican para venderlos.
Yo me dedico a detectar esas filtraciones a tiempo, sacar esas credenciales y comunicárselo rápido a la empresa o al usuario. Les doy recomendaciones como cambiar rápido las contraseñas, mirar el doble factor de autentificación, comprobar los consejos básicos que se dan en estos casos… Entonces, es un poco preventivo. Y no, porque ya se ha dado el robo, pero es tratar de prevenir que esas credenciales se lleguen a usar. Pararlo antes de tiempo mientras todavía se está defendiendo.
P: Además, los métodos para acceder a esta información personal van cambiando y mejorando.
R: Ahora, de hecho, hay una técnica de una empresa israelí, que, simplemente al entrar en página donde se te muestra un anuncio, simplemente con empezar a reproducirlo, automáticamente por detrás del ordenador ya se te ha descargado el malware. O buscas algo de Netflix en Google y, por encima del resultado de Netflix legítimo, te sale otra página que ha clonado Netflix. Entras y te pide acceder como siempre. Metes tus datos de acceso y se los estás dando a los atacantes. Esto puede pasar con la página del banco, con la página de tu supermercado, con la página del teléfono, con cualquier cosa. Por cualquier anuncio, por cualquier correo, te pueden colocar un enlace falso. Como tengas esa contraseña para todo pues te han entrado en todos los sitios.
«Siempre digo que hay que partir de la base de que seas consciente que con todo lo que pongas en Internet, la pregunta no es si se va a filtrar, sino cuándo»
P: ¿Qué opinas tú sobre toda esta guerra actual de información y desinformación relacionada también con tu campo de ciberseguridad?
R: Creo que puede ir a peor, los ciberdelincuentes siempre tienen más tiempo y más recursos que los defensores, porque un defensor siempre tiene tiene que estar del lado de la ley. Los recursos que te da un gobierno, que siempre son menores, tienen que estar de parte de la moralidad y seguir unos códigos éticos. Los ciberdelincuentes tienen más recursos y más tiempo. Es decir, los defensores tienen un abanico más amplio de cosas a las que prestar atención; un delincuente que quiere hacer algo, dedica todo su tiempo a hacer solo esa cosa, está centrado. Por eso van un paso por delante con las campañas de ataque, las campañas de explotación, el tema de malware, el tema de la desinformación… Porque es mucho más fácil hacer eso que defenderse de todo a la vez.
Con la IA ahora, ¿qué pasa? Estoy viendo que con cosas más minuciosas tampoco ayuda tanto, es decir, un buen malware o una buena campaña, las buenas cosas construidas a fuego lento y con mucha lógica, a la IA a veces se le escapan. La IA comete más fallos que una persona y una persona, ya sea en el lado bueno o en el lado malo, cuanto más experiencias sepa, cuanto mejor lo sepa hacer va a trabajar mucho mejor. (…) Entonces, bueno, es un poco lo que veo por noticias y demás, por lo que me voy informando, pero tampoco te lo puedo decir al 100%, es una impresión personal.
P: ¿Crees que la IA nos llegará a superar algún día?
R: Ahora mismo es imposible que la IA llegue a superar a la mente humana, porque la IA es muy buena en procesos lógicos. Puede llegar a algún razonamiento que a mí me sorprende, pero no puede crear cosas nuevas, nunca va a inventar algo que no exista, no tiene esa capacidad. No sabe si una canción es buena o mala.
La IA solo se basa en lo que dice la gente, pero no tiene criterio, te puede crear algo partiendo de cosas que ya existen, las mezcla o las varía, pero nunca va a crear algo que no existe. Lo dicho, tal como la entendemos ahora, el hipotético día que imagino que llegará en el que la IA sea de verdad una mente aparte con capacidad creativa y capacidades, pues eso en el futuro todo se verá, pero hoy en día eso no existe ni va a existir de momento.