Ángel Ochoa: "Vivimos en una ciberguerra pero no somos conscientes"

P: En su charla en Soria promete “crear un sistema de vigilancia automática” y hackear dispositivos en directo… ¿Conoceremos los secretos más íntimos de los asistentes?

R: Yo preguntaré si alguien quiere ser hackeado para hacer allí una prueba en directo con todos, pero todo controlado, claro, cuando ellos no quieran que mostremos más imágenes o contenidos pararemos ahí. ¿Qué son susceptibles de que les saquemos información? Por supuesto, simplemente por estar allí o instalando una APK, podemos hackear un dispositivo y conocer toda la información que contenga.

P: ¿Qué puede conocer una persona con tus conocimientos de otra elegida al azar mediante un hacekeo?

R: Todo depende de la configuración de seguridad que tengan ellos. Yo por ejemplo veo a una persona y veo que tiene un IPhone, si está conectado a una red wifi seguramente me ponga “IPhone de Jesús” por ejemplo. Con el nombre y el dispositivo podríamos sacar el Faccebook, las imágenes que tiene subidas, con quien se relaciona, si está casado o no… También podríamos saltar a Linkedin ver su formación, saber en qué trabaja… y podríamos ir trazando un perfil. Hay incluso herramientas gratuitas en internet que permiten tracear a una persona.

Y todo sin infectar el dispositivo, si lo infectamos su móvil podríamos tracearle, ponerle un mapa cada 5 minutos y tener geolocalizado. Podríamos saber por dónde se mueve, si va andando, en coche, qué lugares visita… Podríamos saberlo prácticamente todo sobre él.

P: ¿Cuál es la reacción de la gente cuando ven su nivel de exposición?

R: Por lo general es; miedo. Miedo por el desconocimiento. Nosotros en las charlas intentamos concienciar a la gente de que esto es posible, que nadie está libre de que hackeen, que te saquen información, que te sigan… Hay países en los que eso se hace muchísimo. Yo sé que esta persona va a estar de vacaciones, porque lo ha puesto en Facebook, y sé que va a estar de vacaciones de tal día a tal día. Entonces la gente lo que hace es aprovechar esos días para entrar a robarle. La gente cuando ve los peligros reales que puede tener esto lo que siente es miedo pero siempre damos ciertos consejos para estar protegidos que es de lo que realmente se trata en estas charlas.

P: ¿Cuáles serían esos 3 consejos fundamentales para estar protegidos?

R: Primero si tienes un equipo portátil en tu casa, no solamente protege tu equipo, protege todos los equipos de tu casa; los móviles, el portátil de tu pareja… Si tienes un niño controla donde se mete, si se descarga cosas… Simplemente habiendo un dispositivo infectado vulnerable o comprometido dentro de una casa te pueden sacar información o atacar cualquier otro dispositivo conectado a la misma red wifi, por ejemplo.

La segunda es tener un antivirus y tener también actualizados todos los programas que tengas en tu ordenador. Y lo más importante es tener cabeza, usar internet con cabeza, por ejemplo no descargarse todo. Por ejemplo, en la charla veremos que si recibes un correo con un Excel de alguien que no conoces, o incluso de alguien que conoces, y tú simplemente al abrir ese archivo quedas infectado. Tienes que comprobar si es un email válido… si el email viene de una rusa (bromea) eso no es un email válido. En la charla vamos a hacerlo en directo con Excel pero puede ser también un powerpoint de gatitos.

P: ¿Cuál es el perfil buscado por los hackers?

R: El perfil depende mucho, hay hackers contratados por grupos terroristas o por ladrones pero también hay hackers que se dedican únicamente a fisgar. Hace unos meses fue muy sonado un caso, “The Fappening” que un hacker logró infectar los equipos de algunas famosas y accedió a fotos comprometidas suyas. Hay diferentes tipos de hackers con diferentes tipos de objetivos; unos quieren entrar a robar, otros seguir a un cargo político y saber lo que hace o simplemente hacerse famoso hackeando a una personalidad.

P: ¿Lo de las famosas nos podría pasar a cualquiera o las personas normales no somos tan interesantes?

R: Yo soy de la creencia de que todos tenemos algo que no queremos mostrar al mundo entonces si alguien es capad de sacar esa información es capad de chantajearle. Chantajearle con su familia pero también con su trabajo y ya no digamos si tiene un cargo político. Por lo general no se suele atacar a la gente normal de a pie porque no interesa, suelen ser ataques dirigidos, que no solo te ataco a ti, ataco a toda su familia. Por ejemplo, si tú eres el sobrino de un cargo político te pueden atacar a ti porque a través de ti tiene acceso a él. Hay un caso muy conocido que fue el del Dalai Lama que salió en una foto con un Mac y el reto de muchos era hacekar ese dispositivo. Lo intentaron de muchas formas posibles pero estaba muy protegido, entonces lo que hicieron fue infectar todos los dispositivos de sus allegados y le mandaban correos infectados y una vez que abrió uno de esos correos quedó infectado. Entonces los objetivos suelen ser o muy dirigidos o masivos para robar algo que sea realmente útil, por ejemplo las credenciales bancarias.

P: Te defines como un hacker ético… ¿Qué es un hacker ético?

R: Es algo complicado, nosotros nos definimos como hackers, simplemente hackers. Lo de hacker ético se ha creado para que las empresas se sientan tranquilos a la hora de contratar a un hacker para las empresas, les sonaba muy mal lo de decir “voy a contratar un hacker para mi empresa”. Un hacker ético se dedica a comprobar las vulnerabilidades de las empresas e indicar a la empresa cómo puede estar más segura.

En internet todo depende de la persona, es como los Sith y los Jedi, ambos pueden utilizar la fuerza pero unos la usan para hacer el bien y otros para hace el mal. Cuando tú ves a un hacker no puedes decir si es bueno o malo, quizá sea un persona muy buena pero un día encuentre una vulnerabilidad en un sitio muy sabroso y la aproveche en su beneficio.

Ciberseguridad

P: Otra de sus especialidades es la ciberguerra y los ciberataques… dos palabras que a la mayoría de la población nos suenan a ciencia ficción. ¿Estamos viviendo una ciberguerra y no lo sabemos?

R: Sí, estamos viviendo una ciberguerra pero como no se ven explosiones y no hay gente muerta pues no nos damos cuenta. En el concepto de ciberguerra entran la ciberdefensa, el ciberespionaje y la ciberdefensa. China, Estados Unidos… generan mucho ciberespionaje e incluso ya se han dado caso de ciberataques. Por ejemplo Estonia, estuvo un día entero sin internet. Desde Rusia lanzaron un ciberataque a sus servidores y se interrumpió todo, fue un día de caos.

P: ¿Qué se ataca en una ciberguerra?

R: Depende de si es un ataque militar o un ataque tipo Anonymous que simplemente reivindica algo que no le gusta para protestar por ello, es como salir a la calle. Por ejemplo, si protestan contra los desahucios se unen todos los Anonymous para tumbarle la web a ese banco. Las empresas muchas veces sea atacan entre ellas, por ejemplo en un día de muchas compras una cadena puede tirar la web de la competencia para llevarse ella a los clientes. La última opción será entre estados, con el ejército. Muchos ejércitos ya tiene su división de infantería, aérea, naval y ciberejército con hacker especializados en ciberataques y ciberespionaje a otros países. Eso hoy en día existe y se da mucho más de lo que pensamos.

P: ¿Y los terroristas?

R: Por ejemplo los yihadistas no han usado el ciberespacio pero otros grupos sí. Los objetivos siempre suelen ser los mismos, los bancos para que la gente no pueda sacar su dinero, servicios públicos, centrales hidroeléctricas… Por ejemplo, un ciberataque al pc de una persona que controla una presa por control remoto desde su casa podría abrir las compuertas e inundar una ciudad, y lo mismo pasa con otros servicios críticos.

P: ¿Es gracias a internet más fácil influir en la opinión pública?

R: Sí, por supuesto. Hay gente especializada, por ejemplo, en realizar virales (los vídeos, fotografías o montajes que se propagan en Facebook o Whatsapp) y eso es influencia. Hay una rama de la psicología que tiene que ver con la publicidad y eso se está potenciando mucho. Cuando salen `memes´ políticos la mayoría de las veces no es una persona que lo ha hecho en su casa, está todo organizado. Es un nuevo trabajo que consiste en saber cómo se mueve la información, saber qué mensaje lanzar, que meme crear en cada momento para influir en la sociedad.

Consulta todas las actividades del foro tecnológico de Soria.

“Los hackers rusos ofrecen su trabajo en la red”

Rusia es, junto a Estados Unidos y China, la mayor potencia del ciberespacio. Ángel señala que “hay muchos hackers rusos muy buenos, de los mejores del mundo” pero que no se puede afirmar que el Gobierno del Kremlin esté detrás de ellos. Muchos venden sus servicios.

“España no está preparada, vamos bastante retrasados”

Aunque señala que estamos amparado por Europa, Ángel señala que hace falta más inversión del Estado y de las empresas. “Al ciberejército no se apunto ningún hacker bueno porque ofrecían poco dinero”. Y sentencia: “No son chavales para hacer cosas en internet, son expertos en ciberseguridad”.