Envíale esto a las personas de tu vida. Cualquiera que use internet, es decir, prácticamente todo el mundo, necesita saber qué está pasando y qué puede hacer para protegerse.
Ahora mismo, mientras lees esto, es probable que enjambres de agentes de IA estén intentando entrar por la fuerza en los sitios web que usas. No uno solo. Muchos.
Estamos en medio del momento de ciberseguridad más importante de los últimos años. Algunos expertos en seguridad ya lo están llamando Octubre Negro.
No escribo esto para asustarte. Gran parte de esto escapa a tu control. Pero hay cosas sencillas que puedes hacer para protegerte, y cualquier cosa que hagas es mejor que nada.
Cada hora de esta semana ha salido a la luz un nuevo ataque. Para cuando termines de leer esto, probablemente habrá otro.
Así que esto es lo que está pasando y lo que deberías hacer al respecto.
Qué está ocurriendo ahora mismo
Si te resulta demasiado por ahora, siéntete libre de saltar directamente a qué hacer al respecto. Pero de verdad te recomiendo leerlo todo.
Ayer se reveló un agujero grave en PHP, el software que hace funcionar aproximadamente al 70 % de los sitios web.
Piénsalo así: alguien descubrió que millones de edificios del país tienen la misma cerradura rota, y ahora todo el mundo sabe cómo abrirla. El fabricante de la cerradura ha enviado una solución, pero cada dueño del edificio tiene que instalarla por su cuenta, y muchos aún no lo han hecho.
Dos horas después de conocerse la noticia, los atacantes ya estaban probando esa cerradura cientos de miles de veces, según el CEO de Cloudflare. Ahora son millones. Amazon afirma que alguien ya lo estaba intentando cuatro días antes de que se anunciara, y su responsable de seguridad dice que el agujero "ahora está siendo explotado ampliamente en la naturaleza". (Eso es Amazon dando la alarma, no Amazon siendo hackeado). Hasta ahora, nadie ha confirmado haber logrado entrar con éxito por ahí, pero los atacantes lo están intentando en todas partes. Por precaución, la organización que gestiona Wikipedia apagó algunos de sus sistemas, y los gobiernos de Países Bajos, Finlandia, Alemania, Francia y otros países desconectaron sitios web.
Esa es solo una historia, y apenas la punta del iceberg. Te comparto algunas de las más grandes. Si enumerara todo, estarías leyendo durante horas.
- Un grupo de hackers alineado con el Estado chino utilizó una herramienta de hacking con IA para intentar infiltrarse en más de 2.000 organizaciones a través de un servicio de copias de seguridad del que dependen las empresas de TI, según Microsoft.
- Una plataforma en la nube usada por unos dos millones de desarrolladores informó de que las claves secretas de sus clientes podrían haber sido accedidas. A un amigo mío le vaciaron la cuenta esta mañana usando una de ellas.
- El banco más grande de India dijo que los datos personales de casi 3.900 clientes quedaron expuestos en la dark web.
- Una banda criminal usó herramientas de IA para atacar a más de 400 bancos y empresas financieras en toda América Latina.
- Los hackers entraron en 16 empresas financieras de Corea del Sur, incluidos bancos importantes.
- El gobierno de Japón pidió a las empresas que reforzaran sus defensas tras brechas que podrían haber expuesto los datos de decenas de millones de personas.
- Los sitios web y aplicaciones de Stop & Shop, Hannaford y Food Lion estuvieron caídos durante más de una semana.
- El FBI, la NSA y otras tres agencias advirtieron que los hackers que usan scripts de ataque escritos con IA están explorando los sistemas que gestionan plantas de agua, energía y manufactura.
Los gobiernos vieron venir esto. En junio, Estados Unidos y sus aliados más cercanos advirtieron sobre el hacking impulsado por IA: "El plazo no es de años, es de meses". Cuatro meses después, aquí estamos.
La versión original de este artículo está disponible aquí.
Por qué esto es diferente
Llevas años escuchando sobre hackeos. Esto es lo que cambió.
Todo edificio tiene puntos débiles: una ventana que no cierra bien, una puerta trasera con una cerradura barata. Con el software pasa lo mismo. Está lleno de puntos débiles ocultos. Durante décadas, encontrarlos requería personas muy poco comunes y altamente cualificadas, y no había muchas. Esa era nuestra protección. No eran buenas cerraduras. Solo la escasez de ladrones.
Esa escasez se acabó. Acaban de ocurrir tres cosas a la vez.
Primero, la IA ahora puede encontrar los puntos débiles. El agujero de PHP se encontró con ayuda de la IA, y las herramientas de IA están encontrando miles de errores que pasaron desapercibidos durante años.
Segundo, la IA ahora puede entrar por sí sola. Sin necesidad de un hacker experto. Una persona dio a unos agentes de IA instrucciones más cortas que un tuit, menos de 100 caracteres chinos, y los dejó trabajar prácticamente solos. Entraron en sitios web de más de 100 empresas, incluida John Deere, por un coste estimado de 50 dólares por intrusión. No duermen ni se aburren. Simplemente siguen intentándolo hasta encontrar una forma de entrar.
Tercero, los defensores corren para mantener el ritmo. Cada punto débil sigue teniendo que arreglarse, probarse e instalarse en millones de sistemas gestionados por personas que ya están al límite de su capacidad. Incluso para los errores más graves, se tarda una media de unas dos semanas solo en publicar una solución, y muchísimos sitios web nunca llegan a parchearse. La empresa de seguridad Cisco estima que cerca de la mitad de los servidores conectados a internet que ejecutan ese software son demasiado antiguos para recibir la solución oficial.
Junta todo eso y obtienes un juego del gato y el ratón donde los atacantes solo necesitan ganar una vez. Esa brecha entre atacantes y defensores es lo que vas a ver desarrollarse en las noticias durante los próximos días.
Esto va a seguir pasando, y va a empeorar
Esta no es una mala semana. Es el comienzo de algo para lo que todos debemos estar preparados.
Solo mira los números. La empresa de seguridad CrowdStrike dice que los ataques que detecta y que probablemente involucran agentes de IA se duplicaron con creces en agosto, y luego se volvieron a duplicar en septiembre. Y si esta semana sirve de indicio, la cosa solo se está acelerando. La IA mejora cada pocos meses mientras se vuelve más barata de ejecutar. Las herramientas que los hackers usan hoy son las peores que tendrán jamás.
Además, esas herramientas ya andan sueltas por ahí. Cuando una herramienta de hacking con IA se vinculó a ataques contra bancos coreanos, su creador dejó de publicarla y eliminó su página de descarga. Pero no importó. Cualquiera que ya la hubiera descargado puede seguir usándola.
La buena noticia, sin embargo, es que los defensores también tienen IA, y está encontrando y corrigiendo puntos débiles más rápido que nunca. Con el tiempo, será mucho más difícil infiltrarse en el software de lo que es hoy. Pero ahora mismo, el ataque va por delante de la defensa, y podría seguir así durante un tiempo.
Qué significa esto para ti
En este momento, los principales bancos de EE. UU., incluidos JPMorgan, Bank of America y Wells Fargo, están encontrando agentes de IA no autorizados dentro de las cuentas de sus clientes, según Axios. Algunos fueron configurados por los propios clientes, pero muchos bancos no pueden distinguir cuáles actúan en nombre del cliente y cuáles no. Los directivos bancarios describieron la situación como "aterradora". Axios no reportó que se hubiera robado dinero.
Pero para la mayoría de la gente hoy, el mayor peligro sigue resumiéndose en tres cosas. Tu información se filtra, así que los estafadores saben tu nombre, fecha de nacimiento, dirección y banco, y sus llamadas y mensajes parecen reales. Tus cuentas son secuestradas a través de algún sitio que usaste una vez, hace años, con la misma contraseña que usas para todo. Y las cosas de las que dependes, como una app, una farmacia o la web de una tienda, se caen durante días.
Para ser claros: esto está en curso, pero los peores escenarios que más asustan a la gente no han ocurrido. Espero que nunca ocurran. Pero más vale prevenir que curar, especialmente porque esto va a seguir pasando.
Qué hacer hoy
Primero, mantente alejado de los sitios que no conoces hasta que pase la tormenta. Limítate a los grandes y conocidos: tu banco, Amazon, Google. Los sitios pequeños son los que menos probabilidades tienen de haber aplicado el parche, y desde fuera no puedes saberlo. Durante las próximas semanas, no escribas ninguna contraseña ni número de tarjeta en nada que no te resulte familiar.
Segundo, actualiza todo: tu teléfono, tu ordenador, tu tablet y tu navegador web. Cuando la propia sección de Configuración de tu teléfono u ordenador diga que hay una actualización disponible, instálala. Esa es tu cerradura. Haz lo mismo con tu router y, si es tan viejo que ya no recibe actualizaciones, cámbialo. Pero nunca instales una "actualización" desde una ventana emergente en un sitio web o un enlace en un mensaje o correo. Es una estafa muy común. ¿No sabes cómo hacer todo esto? Aquí tienes una guía sencilla paso a paso.
Tercero, cierra las puertas que no estás usando. Desconecta los dispositivos inteligentes que no necesites y borra las apps que no uses. Cada cosa conectada es otra vía de entrada.
Cuarto, protege tu cuenta bancaria. Si alguien te llama, te escribe o te envía un correo pidiéndote tu contraseña o un código que acaban de mandar a tu teléfono, es una estafa. Siempre. Esos códigos son solo para que tú los introduzcas en la app o web oficial de tu banco. Trata cualquier llamada, mensaje o correo sobre tu banco como sospechoso hasta que lo compruebes tú mismo: no hagas clic en sus enlaces y no devuelvas la llamada al número que te den. Cuelga y llama al número que aparece en el reverso de tu tarjeta. Si de verdad era tu banco, podrán ayudarte.
Introduce tu usuario y contraseña bancarios únicamente en la app o web oficial de tu banco. No se los des a nadie más, ni a un asistente de IA ni a otra app, por muy útil que parezca. Chase recomienda no dárselos a nadie. Activa el inicio de sesión en dos pasos para tu correo y tu banco (aquí te explicamos cómo), y deja de reutilizar contraseñas. Un gestor de contraseñas lo hace muy fácil, y tu iPhone o teléfono Android ya trae uno integrado.
Si quieres ser precavido de más, guarda un poco de efectivo en casa, lo suficiente para comprar comida durante unos días, además de algo de comida y agua. Es un kit de emergencia normal, y de todos modos vale la pena tenerlo.
Lo que yo no haría sería sacar tu dinero del banco. El pánico es exactamente con lo que cuentan los estafadores. Si un banco quiebra, los depósitos en bancos asegurados por la FDIC están protegidos hasta 250.000 dólares por persona y por banco. Ese seguro no cubre el dinero robado de una cuenta hackeada. Pero las normas federales generalmente limitan lo que pierdes por transferencias no autorizadas si las reportas rápido, así que revisa tus cuentas a menudo y llama a tu banco de inmediato si algo parece raro. El dinero que te engañan para que envíes tú mismo es mucho más difícil de recuperar, y por eso las llamadas fraudulentas son el mayor peligro.
Los próximos días van a ser raros. Vendrán más anuncios. Mi esperanza es que la mayoría de las cosas sigan funcionando. Hoy, simplemente haz lo básico y aburrido.
Envíale esto ahora mismo a las personas de tu vida. Tus padres, tus abuelos, tus amigos, tus grupos de chat. Cualquiera que esté conectado a internet, es decir, literalmente todo el mundo, necesita saber qué está pasando. Las personas con menos probabilidades de enterarse de esto son las que más probabilidades tienen de salir perjudicadas.
La versión original de este artículo está disponible aquí.
