Envíale esto a las personas que te importan. Cualquiera que use internet, o sea básicamente todo el mundo, necesita saber qué está pasando y qué puede hacer para protegerse.
En este momento, mientras lees esto, es probable que enjambres de agentes de IA estén intentando entrar a los sitios web que usas. No uno solo. Muchos.
Estamos en medio del momento de ciberseguridad más grande de los últimos años. Algunos expertos ya lo están llamando Octubre Negro.
No escribo esto para asustarte. Mucho de esto escapa de tus manos. Pero hay cosas sencillas que puedes hacer para protegerte, y cualquier cosa que hagas es mejor que nada.
Cada hora de esta semana ha salido a la luz otro ataque. Para cuando termines de leer esto, probablemente habrá uno más.
Así que esto es lo que está pasando y lo que deberías hacer al respecto.
Qué está pasando ahora mismo
Si por ahora es demasiada información, siéntete libre de saltar directo a qué hacer al respecto. Pero de verdad te recomiendo leerlo todo.
Ayer se reveló una falla grave en PHP, el software detrás de aproximadamente el 70 % de los sitios web.
Piénsalo así: alguien descubrió que millones de edificios en el país tienen la misma cerradura rota, y ahora todos saben cómo abrirla. El fabricante de la cerradura envió un arreglo, pero cada dueño de edificio tiene que instalarlo por su cuenta, y muchos todavía no lo han hecho.
Dos horas después de la noticia, los atacantes ya estaban probando esa cerradura cientos de miles de veces, según el CEO de Cloudflare. Ahora son millones. Amazon dice que alguien ya lo estaba intentando cuatro días antes de que se anunciara, y su jefe de seguridad afirma que la falla "ahora está siendo explotada ampliamente en la naturaleza". (Eso es Amazon dando la alerta, no Amazon siendo hackeado). Hasta ahora, nadie ha confirmado haber logrado entrar con éxito por ahí, pero los atacantes lo están intentando en todas partes. Como medida de precaución, la organización que administra Wikipedia apagó algunos de sus sistemas, y gobiernos de Países Bajos, Finlandia, Alemania, Francia y otros lugares desconectaron sitios web.
Esa es solo una historia, y apenas es la punta del iceberg. Te comparto algunas de las más grandes. Si enumerara todo, estarías leyendo durante horas.
- Un grupo de hackers alineado con el Estado chino usó una herramienta de hackeo con IA para intentar infiltrarse en más de 2,000 organizaciones a través de un servicio de respaldo del que dependen las empresas de TI, según Microsoft.
- Una plataforma en la nube usada por unos dos millones de desarrolladores dijo que las claves secretas de los clientes podrían haber sido accedidas. A un amigo mío le vaciaron la cuenta con una de ellas esta mañana.
- El banco más grande de India dijo que los datos personales de casi 3,900 clientes fueron expuestos en la dark web.
- Una banda criminal usó herramientas de IA para atacar más de 400 bancos y empresas financieras en toda América Latina.
- Hackers entraron a 16 empresas financieras en Corea del Sur, incluidos bancos importantes.
- El gobierno de Japón les pidió a las empresas reforzar sus defensas tras filtraciones que podrían haber expuesto los datos de decenas de millones de personas.
- Los sitios web y apps de Stop & Shop, Hannaford y Food Lion estuvieron caídos por más de una semana.
- El FBI, la NSA y otras tres agencias advirtieron que hackers que usan scripts de ataque escritos con IA están explorando los sistemas que controlan plantas de agua, energía y manufactura.
Los gobiernos vieron venir esto. En junio, Estados Unidos y sus aliados más cercanos advirtieron sobre el hackeo impulsado por IA: "El plazo no es de años, es de meses". Cuatro meses después, aquí estamos.
La versión original de esta publicación está disponible aquí.
Por qué esto es diferente
Llevas años escuchando sobre hackeos. Esto es lo que cambió.
Todo edificio tiene puntos débiles: una ventana que no cierra bien, una puerta trasera con una cerradura barata. El software es igual. Está lleno de puntos débiles ocultos. Durante décadas, encontrarlos requería personas muy poco comunes y altamente capacitadas, y no había muchas. Esa era nuestra protección. No buenas cerraduras, sino simplemente una escasez de ladrones.
Esa escasez se acabó. Acaban de pasar tres cosas al mismo tiempo.
Primero, la IA ahora puede encontrar los puntos débiles. La falla de PHP fue encontrada con ayuda de la IA, y las herramientas de IA están encontrando miles de errores que pasaron desapercibidos durante años.
Segundo, la IA ahora puede entrar por su cuenta. Sin necesidad de un hacker experto. Una persona les dio a agentes de IA instrucciones más cortas que un tuit, menos de 100 caracteres chinos, y los dejó trabajar prácticamente solos. Entraron a sitios web de más de 100 empresas, incluida John Deere, con un costo estimado de $50 por intrusión. No duermen ni se aburren. Solo siguen intentándolo hasta encontrar la forma de entrar.
Tercero, los defensores corren para alcanzarlos. Cada punto débil todavía tiene que arreglarse, probarse e instalarse en millones de sistemas administrados por personas que ya están al límite. Incluso para los errores más graves, toma alrededor de dos semanas en promedio tan solo sacar un arreglo, y muchísimos sitios web nunca llegan a parchearse. La firma de seguridad Cisco estima que cerca de la mitad de los servidores conectados a internet que ejecutan ese software son demasiado viejos para recibir el arreglo oficial.
Junta todo eso y tienes un juego del gato y el ratón donde los atacantes solo necesitan ganar una vez. Esa brecha entre atacantes y defensores es lo que vas a ver desarrollarse en las noticias durante los próximos días.
Esto va a seguir pasando, y va a empeorar
Esta no es una mala semana. Es el comienzo de algo para lo que todos debemos estar preparados.
Solo mira los números. La firma de seguridad CrowdStrike dice que los ataques que observa y que probablemente involucran agentes de IA se duplicaron con creces en agosto, y luego se volvieron a duplicar en septiembre. Y si esta semana sirve de indicio, solo está acelerándose. La IA sigue mejorando cada pocos meses mientras se vuelve más barata de operar. Las herramientas que los hackers usan hoy son las peores que tendrán jamás.
Las herramientas también ya andan sueltas. Cuando una herramienta de hackeo con IA se vinculó a ataques contra bancos coreanos, su creador dejó de publicarla y bajó la página de descarga. Pero no importó. Cualquiera que ya la hubiera descargado todavía puede usarla.
La buena noticia, sin embargo, es que los defensores también tienen IA, y está encontrando y arreglando puntos débiles más rápido que nunca. Eventualmente, será mucho más difícil entrar al software de lo que es hoy. Pero ahora mismo, el ataque va por delante de la defensa, y podría quedarse así por un tiempo.
Qué significa esto para ti
Ahora mismo, los principales bancos de EE. UU., incluidos JPMorgan, Bank of America y Wells Fargo, están encontrando agentes de IA no autorizados dentro de cuentas de clientes, según Axios. Algunos fueron configurados por los propios clientes, pero muchos bancos no pueden distinguir cuáles actúan en nombre del cliente y cuáles no. Los directivos bancarios describieron la situación como "aterradora". Axios no reportó dinero robado.
Pero para la mayoría de la gente hoy, el peligro mayor sigue siendo de tres tipos. Tu información se filtra, así que los estafadores saben tu nombre, cumpleaños, dirección y banco, y sus llamadas y mensajes suenan reales. Tus cuentas son tomadas a través de algún sitio que usaste una vez, hace años, con la misma contraseña que usas en todas partes. Y las cosas de las que dependes, como una app, una farmacia o el sitio web de una tienda, dejan de funcionar por días.
Para ser claro: esto está en curso, pero los peores escenarios que más asustan a la gente no han ocurrido. Espero que nunca ocurran. Pero es mejor prevenir que lamentar, especialmente porque esto va a seguir pasando.
Qué hacer hoy
Primero, mantente alejado de los sitios que no conoces hasta que pase la tormenta. Quédate con los grandes y conocidos: tu banco, Amazon, Google. Los sitios pequeños son los menos propensos a haber aplicado el parche, y no puedes saberlo desde afuera. Durante las próximas semanas, no escribas contraseñas ni números de tarjeta en nada que no te resulte familiar.
Segundo, actualiza todo: tu teléfono, tu computadora, tu tablet y tu navegador web. Cuando la propia Configuración de tu teléfono o computadora diga que hay una actualización disponible, instálala. Esa es tu cerradura. Haz lo mismo con tu router, y si es tan viejo que ya no recibe actualizaciones, cámbialo. Pero nunca instales una "actualización" desde una ventana emergente en un sitio web o un enlace en un mensaje o correo. Esa es una estafa común. ¿No sabes cómo hacer algo de esto? Aquí tienes una guía sencilla paso a paso.
Tercero, cierra las puertas que no estás usando. Desconecta los dispositivos inteligentes que no necesitas y borra las apps que no usas. Cada cosa conectada es otra vía de entrada.
Cuarto, protege tu cuenta bancaria. Si alguien te llama, te manda un mensaje o un correo y te pide tu contraseña o un código que acaba de llegar a tu teléfono, es una estafa. Siempre. Esos códigos son solo para que tú los ingreses en la app o el sitio web de tu propio banco. Trata cada llamada, mensaje o correo sobre tu banco como sospechoso hasta que lo verifiques tú mismo: no hagas clic en sus enlaces y no devuelvas la llamada al número que te dan. Cuelga y llama al número que aparece al reverso de tu tarjeta. Si de verdad era tu banco, podrán ayudarte.
Solo escribe tu usuario y contraseña bancarios en la app o el sitio web de tu propio banco. No se los des a nadie más, incluyendo un asistente de IA u otra app, sin importar cuán útil parezca. Chase recomienda no dárselos a nadie. Activa el inicio de sesión en dos pasos para tu correo y tu banco (aquí te explicamos cómo), y deja de reutilizar contraseñas. Un administrador de contraseñas lo hace fácil, y tu iPhone o teléfono Android ya trae uno integrado.
Si quieres ser extra cuidadoso, guarda un poco de efectivo en casa, lo suficiente para comprar comida por unos días, además de algo de alimentos y agua. Ese es un kit de emergencia normal, y vale la pena tenerlo de todos modos.
Lo que yo no haría es sacar tu dinero del banco. El pánico es exactamente con lo que cuentan los estafadores. Si un banco quiebra, los depósitos en bancos asegurados por la FDIC están protegidos hasta por $250,000 por persona, por banco. Ese seguro no cubre dinero robado de una cuenta hackeada. Pero las reglas federales generalmente limitan lo que pierdes por transferencias no autorizadas si las reportas rápido, así que revisa tus cuentas seguido y llama a tu banco de inmediato si algo se ve raro. El dinero que te engañan para que envíes tú mismo es mucho más difícil de recuperar, por eso las llamadas de estafa son el peligro mayor.
Los próximos días van a ser raros. Vienen más anuncios. Mi esperanza es que la mayoría de las cosas sigan funcionando. Solo haz lo básico y aburrido hoy.
Envíale esto a las personas de tu vida ahora mismo. Tus padres, tus abuelos, tus amigos, tus chats grupales. Cualquier persona conectada a internet, o sea literalmente todo el mundo, necesita saber qué está pasando. Quienes menos probabilidades tienen de enterarse de esto son quienes más probabilidades tienen de salir lastimados.
La versión original de esta publicación está disponible aquí.
