"El riesgo cero de sufrir un ciberataque en la Región no existe"

Dado su bagaje en ciberseguridad, ¿cuáles considera que son las principales amenazas que pueden afectar a los ciudadanos de a pie a día de hoy?

Las principales amenazas son múltiples. No todo el mundo tiene que ser experto en ciberseguridad, pero sí es cierto que hay una falta de concienciación y de formación en materias básicas. Yo siempre digo que la fortaleza de una cadena es la fortaleza de su eslabón más débil, y en el 95 % de los ciberataques ese eslabón es el factor humano. ¿Qué ocurre? Que los que nos dedicamos a la ciberseguridad podemos diseñar la solución más segura del mundo, pero si al final el usuario emplea la contraseña ‘1234’ o utiliza una contraseña compleja y luego la escribe en un post-it y la pega en la pantalla… pues estamos vendidos. El principal riesgo es, por tanto, esa falta de alfabetización no solo digital, sino específica en ciberseguridad.

¿Cuáles son los ciberataques que podemos sufrir?

Hay muchos, pero los más frecuentes son los de tipo ‘phishing’: recibes un mensaje -por correo electrónico, SMS, aplicaciones de mensajería o incluso por voz-, el atacante se hace pasar por otra persona o entidad y te pide que pinches en un enlace. Este es el caso más básico; hay muchas variantes. Al clicar, tu dispositivo puede quedar infectado, y el atacante accede al equipo para filtrar información sensible o cifrar tus datos con un ransomware (software malicioso que secuestra tu información y te exige un rescate). Los expertos recomendamos no pagar nunca ese rescate -para no incentivar el crimen- y mantener siempre copias de seguridad actualizadas.

¿Hasta qué punto están expuestos nuestros datos personales?

Los datos que publicas y que sean accesibles públicamente pueden ser consultados y utilizados para crear tu perfil. Esto se conoce como inteligencia de fuentes abiertas: recopilar información de Facebook, LinkedIn, X (antes Twitter), etcétera, para averiguar dónde vives, cómo te llamas o quiénes son tus contactos. Con ese perfil, el atacante puede lanzar un ataque dirigido, más convincente porque trata de temas que sabe que te interesan.

Una spin-off para formar en ciberseguridad

¿Cómo se organizan los ciberdelincuentes en la actualidad?

Tenemos que dejar de pensar en hackers como figuras encapuchadas en una habitación oscura. Hoy en día, muchos visten traje y forman parte de organizaciones estructuradas, con departamentos de ventas, recursos humanos u operaciones. El cibercrimen es el negocio ilícito más lucrativo que existe.

Existe la preocupación de que con una simple llamada puedan robar tu voz y replicarla con inteligencia artificial. ¿Hasta qué punto esto es real?

Conozco herramientas que, con apenas tres segundos de grabación, pueden emular tu voz. Estos ataques ya se están produciendo.

¿Qué podemos hacer para protegernos mejor?

Lo más sensato es aplicar el sentido común: no compartas en redes sociales información sensible. Aunque la filosofía de las redes sea exponerse, se trata de ser consciente de lo que haces público. ¿Publicarías el número de tu tarjeta de crédito? ¿Tu dirección exacta? Probablemente no. Incluso el código postal puede usarse para inferir tu posible afiliación política o tu nivel de renta. Así que, de nuevo: sentido común.

Y respecto a la Región de Murcia, ¿están los organismos preparados para afrontar este tipo de ataques?

Me consta que hay grandes profesionales y que muchos organismos públicos (la Universidad de Murcia, la Comunidad Autónoma, los grandes ayuntamientos) cuentan con equipos, infraestructuras y procedimientos adecuados. Pero el riesgo cero no existe: quién nos iba a decir que íbamos a tener una pandemia o un apagón, como el de hace unos días. La pregunta no es si te van a atacar, sino cuándo, y si estarás preparado. Recibirás ciberataques seguro, tarde o temprano, y lo importante es saber cómo responder. Ahí entra nuestra empresa, Scorpion Cybertechnologies, cuyo objetivo es formar a la gente para que esté lista ante estas situaciones.

Y el tejido empresarial de la Región, ¿está lo suficientemente formado en ciberseguridad?

Al igual que con los ayuntamientos, las grandes empresas suelen estar mejor preparadas (y tienen activos más valiosos). El problema está en las pequeñas y medianas empresas, que no pueden permitirse un equipo interno de ciberseguridad. Si sufren un ataque grave, cierran la persiana y se acaba el negocio. Los cibercriminales lo saben y se centran en ellas.

La Región quiere posicionarse en tecnologías duales de seguridad y Defensa, por ejemplo, con el programa Caetra. ¿Ve necesarias estas inversiones?

Sí. Aún no se ha aclarado la causa del apagón del lunes; oficialmente no fue un ciberataque, aunque no se descarta. Ojalá no lo fuera, porque habría sido una declaración de guerra. Dependiendo de la zona, estuvimos unas doce horas sin electricidad; hubo incluso fallecidos. Imagina un ataque similar que durase una semana. No es imposible. ¿Hay que invertir en ciberdefensa? Por supuesto. ¿Y en defensa en general? También. En la Universidad de Murcia y ahora con nuestra empresa colaboramos con el Ministerio de Defensa. He conocido a muchos militares y te aseguro que ninguno quiere morir. No se trata de buscar guerra, sino de contar con capacidades disuasorias.

Al hilo del apagón de esta semana, ¿cree usted que los operadores de infraestructuras críticas en España están preparados frente a ciberataques?

En la guerra entre Rusia y Ucrania ya se han atacado infraestructuras críticas con graves consecuencias. Nuestro apagón fue eléctrico, pero un ataque a una planta de potabilización de agua podría envenenar a la población. Centrales eléctricas o nucleares también son objetivos: todos son sistemas críticos y cuentan con protecciones especiales. Aun así, el riesgo cero no existe. Hay que estar preparados y saber reaccionar si ocurre un incidente.

¿Y por qué es tan importante?

No soy experto en restablecer redes eléctricas, pero dicen que hacerlo en doce horas fue una respuesta muy rápida. Debemos prepararnos no solo para evitar que un ciberataque tenga éxito, sino para recuperarnos si lo tiene. A menudo se suele dedicar más atención a la prevención y a la detección -ser consciente de que te atacan-, y menos a la reacción y recuperación.