Hablando de seguridad, reputación y privacidad en el podcast «A Vista de Click»

Rocío Santamaría y David Carrasco me contactaron ya hace unas cuantas semanas para concertar una entrevista para su podcast. Y, por supuesto, acepté encantado.

En el programa estuvimos hablando largo y tendido (más de hora y media) sobre muchos temas relacionados con la privacidad y seguridad digital.

Dejo por aquí a modo de resumen algunas de las preguntas y respuestas que acabaron saliendo.

Primero de todo ¿De dónde sacas el tiempo para todo? Y ¿Pablo Iglesias o Pablo Yglesias?

Pues haciendo malabares para unir la vida personal y la profesional. De lo malo, tengo la suerte (o desgracia) que mi pareja es también mi socia, así casi podríamos decir que pasamos de sol a sol trabajando, o hablando de trabajo.

Ayuda también el hecho de que soy muy metodológico, y tengo mucha capacidad de concentración, así que tiendo a hacer las cosas muy rápido, aprovechando al máximo el tiempo :).

Sobre lo segundo, la pregunta del millón. No sabéis la de veces que me han acabado llamando Pablo Iglesias o incluso Pablo Yglesias. En prensa, e incluso en premios jajaj.

La realidad es que mi nombre es «Pablo F. Iglesias», y la marca personal es «PabloYglesias» (así, todo junto). Si queréis referirnos a mi como persona, el primero. En caso contrario, el segundo :).

Pero Pablo Iglesias o Pablo Yglesias no sé quiénes son jajaj.

¿Cuáles son las mayores amenazas digitales para un negocio? ¿Y para una persona?

Pues mira, son prácticamente los mismos: las campañas de phishing o fraude en Internet.

Es, hoy en día, el principal vector de ataque digital. Engañan a la persona (a ti o a mi), no a la máquina, y por tanto son muy sencillos de realizar y muy efectivos.

Luego ya cada ataque tiene diferentes objetivos y usará diferentes ganchos. Pero saber identificar las campañas de phishing es crítico para sobrevivir en esta jungla que llamamos Internet.

Ransomware y cifrado de datos: ¿Qué hacer? ¿Tenemos que darle los 10 millones de BTC a ese hacker ruso?

La respuesta rápida es que NUNCA hay que pagar a los cibercriminales… porque son criminales, y nada nos asegura que una vez pagado, nos den las claves de desbloqueo o nos sigan extorsionando.

Ahora bien. Esto es fácil decirlo cuando el ransomware se lo han metido a una empresa que no es tuya, y por no haber hecho una buena política de copias de seguridad, has perdido acceso a todos los activos informacionales, facturas, albaranes y todos los documentos críticos para el día a día incluidos.

¿Cuáles son los timos más típicos últimamente? ¿A qué debemos estar atentos? ¿Qué es el phishing y cómo protegernos? ¿Cómo saber si una página web es legítima y confiable?

A ver, las tipologías de phishing se repiten una y otra vez con diferentes ganchos.

Así por decirte algunos que están ahora muy activos, los ya clásicos de ofertas y sorteos (hay uno bastante activo en España que se hacen pasar por Iberia), y el fraude del chulo y las prostitutas. A CyberBrainers, de hecho, siguen llegándonos cada semana víctimas…

Para defendernos de este tipo de ataques no queda otra que saber identificarlos (conocerlos), y ser desconfiado en Internet como ya lo somos a pie de calle.

Si alguien de pronto te ofrece algo sin pedir casi nada a cambio, y además tienes que hacerlo ahora mismo o ya lo pierdes, muy probablemente sea un timo.

Y sobre cómo saber si una página es legítima, antiguamente era fácil, ya que con mirar que tenía el candadito ese en la barra de direcciones era suficiente. Hoy en día ese candadito solo nos sirve para saber que una página es privada (la comunicación que haremos va cifrada), pero puede ser una página privada de cibercriminales. Así que no queda otra que preguntarle a Google opiniones sobre esa página, copiando la URL y pegándola en Google. Si no sale nada, o lo que sale es malo, huye.

¿Podemos hacer algo si hemos sido víctimas de fraude?

Por supuesto.

• Lo primero denunciar. En España, a la Policía Nacional, o al Grupo de Delitos Telemáticos de la Guardia Civil.
• Lo segundo, si nos han robado dinero, hablar con el banco, bloquear tarjetas, cambiar contraseñas…

En Europa, en según qué casos, tenemos derecho a que el banco se haga cargo de casi todo el robo. Eso sí, hay que demostrar que ha sido un timo.

¿Cómo debemos proteger nuestro negocio digital? ¿Y protegernos a nosotros?

Lo mismo que hablábamos antes. Por resumirlo muy mucho, saber identificar los fraudes y ser cautos.

¿Qué tipo de seguridad debería tener nuestra página web? De cara a nosotros y al usuario ¿Sirve de algo el Let’s Encrypt? ¿Cloudflare sí o no? Consejos de ciberseguridad para web. Consejos de seguridad para tiendas y pagos

Vamos por partes:

• Seguridad de una web de cara al administrador: El software que usemos debe estar actualizado (el CMS, y también todos los plugins) a las últimas versiones. El servidor también usa software, por lo que también, si depende de nosotros (por ejemplo en un servidor dedicado o en un VPS) debemos mantenerlo actualizado. Lo mismo pasa con la tecnología (si usamos por ejemplo versiones obsoletas de PHP, nos jugamos que haya vulnerabilidades que nos afecten a nivel de programación). Después, por supuesto, ya no solo por privacidad, sino también por usabilidad y SEO, la página debe contar con un SSL activo. Que uses Let’s Encrypt u otro es lo de menos. Y por último, yo soy muy fan de CloudFlare, porque además de tener ese balanceador de carga y hacer las veces de gestor de DNS distribuido, tiene un sistema anti-ataque DDoS que me ha salvado a mi personalmente en más de una ocasión. Y para colmo todo gratis.
• Seguridad de una web de cara al usuario: Como consumidores, la recomendación principal es que nos fijemos siempre si la web es la original (buscándola en Google, no entrando directamente por ese email o ese DM que te ha enviado no se quién, publicidad de Instagram y Facebook incluida). Y si vamos a hacer un pago, que sea mediante PayPal, que así contamos con la garantía del consumidor de PayPal, y si es un timo, recuperaremos fácilmente el dinero.

¿Se siguen haciendo ataques de SEO negativo? ¿Podemos protegernos?

Hay negocio en ello, ¿verdad? Pues claro que sí.

De hecho no hace mucho explicaba en la página cómo era posible realizar ataques de SEO negativo mediante las Core Web Vitals.

En todo caso, la mejor defensa que tenemos contra ello es tener una buena estrategia de SEO, de forma que el impacto que tenga el ataque sea el menor posible. Luego ya vendrá Google a limpiar la mierda restante :).

¿Qué herramientas de seguridad nos podrías recomendar? ¿Cómo podemos proteger nuestros dispositivos? ¿Me vale con Panda Antivirus? ¿Y al navegar por internet?

Principalmente, tres:

• VPN: para navegar de forma privada por cualquier lado, y bajo cualquier conexión (WiFis de hoteles incluídas).
• Gestor de contraseñas: Para hacer contraseñas más robustas y no tener que recordarlas.
• Gestor de códigos 2FA: Para eliminar de un plumazo el 95% de los robos masivos de cuentas, ya que a partir de entonces, para entrar en tu cuenta además de saber el usuario y la contraseña, debes tener acceso a este gestor.

Fíjate que en ninguno de los tres te he hablado de un antivirus. Los antivirus ayudan, pero no hacen milagros. Y es más, todos los sistemas operativos actuales ya tienen antivirus activo.

Hace más que tengas bien actualizado tu sistema operativo y los programas/apps que utilizas, y que te fijes y conozcas los potenciales timos que pueden hacerte en Internet, que simplemente tengas a Panda o el antivirus que quieras en tu dispositivo.

¿Qué es una presencia digital sana?

Todo lo que tú dices de ti en Internet… con una estrategia previa, y por ende, alineado a los intereses personales/profesionales que tengas.

¿Cómo podemos proteger nuestra privacidad por internet? ¿Podemos fiarnos de las grandes corporaciones? ¿Sirven de algo los acuerdos, normativas y multas de la Unión Europea y otros organismos?

Siendo conscientes de que todo lo que pongamos en Internet queda ahí para siempre, y deja un rastro.

Por tanto, no deberíamos publicar en la Red nada que no nos gustase que lo viera nuestro peor enemigo.

Por otro lado, Internet es hoy en día un pasto de grandes corporaciones, y por ende hay que pasar sí o sí por ellas. Ahora bien, sobre su fiabilidad, tienen la principal ventaja de que ya sabemos que lo único que les mueve es el dinero. Por tanto, conscientes de ello, debemos actuar para aprovecharnos, no dependiendo de forma absolutista de una única plataforma (sea Google, sea una red social, sea lo que sea).

Lo de las multas ayuda más bien poco. A lo sumo, evita que haya mayor distancia entre los intereses del usuario y los de una corporación. Pero ese dinero al final va a parar a los políticos, y oye, a mi al menos me dan la misma o incluso menos confianza que estas empresas.

¿Por qué es importante cuidar nuestra reputación online? ¿Qué factores debemos tener en cuenta?

Porque la identidad está compuesta por dos partes:

• La presencia digital
• La reputación online.

La presencia digital es lo que nosotros decimos de nosotros mismos, y por tanto, tenemos control directo sobre ella. Mientras que la reputación es lo que los demás dicen de nosotros, y por ende, no podemos controlar directamente.

Si apenas tenemos presencia digital, y lo poco que dicen de nosotros es malo, nuestra identidad se verá gravemente dañada. Y esto puede afectarnos a la vida nuestra e incluso de nuestros amigos, compañeros de trabajo y/o familiares.

De ahí la importancia de monitorizar las redes y Google para saber qué dicen de nosotros. Y en el caso de las marcas, tener una buena política ante crisis reputacionales, para que cuando ocurra, estemos preparados y podamos mitigar el daño.

¿Recomiendas pujar en Google Ads por nuestra marca? Campañas publicitarias para usurpar la identidad de marcas

La pregunta del millón.

En su día definí esto como un fraude en sí mismo del que Google es cómplice.

Sigo sin explicarme cómo es posible que permitan a cualquiera (por ejemplo, la competencia, o unos cibercriminales) usurpar la identidad de marca de otra empresa. Bueno claro, obviando que es su modelo de negocio…

Dicho eso, en algunos casos no nos queda otra que hacerlo. Es triste. Es lamentable. Pero es el cómo funciona Internet…

El peligro de las redes sociales ¿es alarmista o de verdad hay que tener cuidado? Algunas recomendaciones. TikTok: ¿Los chinos nos espían?

Vuelvo a lo mismo que dije antes: Internet no es la barra de un bar. Todo lo que digamos queda registrado.

Teniendo en cuenta esto, hay que usar las redes sociales para lo que son, y punto.

Sobre si los chinos nos espían, por supuesto. ¿Y sabes quién también nos espía? Los estadounidenses, dueños del resto de redes sociales occidentales. Así que vamos de guate a guatepeor.

Peligros con la moda de la IA: Debido al ¡bum! de las herramientas con IA muchas personas están jugando a crear nuevas imágenes o vídeos a partir de sus fotos. ¿Esto conlleva algún tipo de peligro? ¿Alguien puede utilizar estas tecnologías para hacer daño? Deepfake

Como todo en esta vida, sí.

Un cuchillo puede servir para cortar el pan, o para matar a una persona.

¿Es el cuchillo mal? ¿Es bueno? Pues ni lo uno ni lo otro. Es una mera herramienta.

Lo mismo pasa con las redes generativas antagónicas, y con los deepfakes. Sin ir más lejos, en CyberBrainers estamos desde hace tiempo usándolas como herramienta de protección para algunos de nuestros clientes.

Pero sí, también pueden usarse para difundir supuestos vídeos porno de un famoso, o poner al político de turno a decir las burradas que se nos ocurra.

Lo que está claro es que como cualquier herramienta, va a tener malos y buenos usos. Aunque también te digo que el tiempo es sabio, y acaba poniendo todo en su lugar.