Gonzalo Alonso, CEO de Ditto, alerta sobre la seguridad digital ante el aumento de ciberataques: «Las contraseñas ya no sirven, no son suficientes»

Los hackers perfeccionan cada vez más sus métodos para conseguir acceder a cuentas, robar información y suplantar identidades. El rápido avance de la inteligencia artificial, incluido el desarrollo de agentes autónomos, y el aumento de ciberataques, las contraseñas tradicionales son insuficientes para garantizar nuestra seguridad en la red. Gonzalo Alonso, CEO de Ditto, compañía especializada en ciberseguridad e identidad digital, analiza para 'ABC' los desafíos que plantea la protección de nuestros datos personales y defiende la evolución de la seguridad para hacer frente a las nuevas amenazas. —¿Qué es la identidad digital? —La identidad digital es el cúmulo de señales en línea que nos ayuda a saber cuándo un individuo tiene derecho o no a hacer algo online. Cuando la contraparte entiende eso, el círculo de verificación está cerrado. Para que eso ocurra, se necesita mucho más que señales, como una capa de seguridad y un entendimiento de ambas partes. No es lo mismo tu identidad digital en salud que en banca, porque requieren señales y seguridad diferentes. No es tu «yo» online. Algunas son muy determinísticas, como tus datos biométricos, mientras que tu nombre y apellido son señales muy débiles en comparación, porque coinciden con los de mucha gente. —¿Los recientes fallos de PHP que han afectado al 70 % de páginas web a nivel mundial han dejado nuestra identidad digital al descubierto? — PHP es la brecha de seguridad más fuerte que hemos encontrado , pero también se han encontrado muchos agentes no autorizados haciendo transacciones en nombre de usuarios en Estados Unidos o el hackeo a Capcom. Puedes ver el patrón de lo que está pasando. Cada vez que alguien roba pedazos de tu identidad de una de estas acciones va completando tu mapa de señales. Eso aumenta el riesgo de que una tercera persona pueda usar tu identidad. La tecnología es un arma de doble filo: así como le sirve a personas que quieren hacer el mal, también nos sirve para contraatacar. No nos sintamos desesperados ante esta situación, lo que ellos están haciendo nosotros lo estamos previniendo. Es una carrera de quién innova mejor y antes para pararlo. Además, la gran mayoría de estas intervenciones no es gente rompiendo dentro de los sistemas, sino que se está logueando en ellos. Es decir, ya tenían acceso de alguna forma, ahora están usando ese acceso para generar impropiedad. Por más tecnología que tengamos, tiene que haber una cultura complementaria de empresas e iniciativa pública sobre cuidar la información. —¿Cómo consiguen ese primer acceso a nuestros usuarios online? —Las contraseñas ya no sirven, no son suficientes. Primero hay que sofisticarlas y, si no las vamos a recordar, podemos tener gestores de contraseñas. Cuando sea posible, también meter los factores de doble autenticación, porque hasta las contraseñas más sofisticadas pueden ser rotas. El problema es que la confianza en línea se ha vuelto un negocio, tanto para quienes la quieren violentar como para los que nos interesa cuidarla. Hay mucho dinero e interés en ese activo particular que es la información de nuestros ciudadanos. En el mundo de la seguridad, tenemos diez pasos críticos que, si los cumples, estás eliminando entre el 70-85 % de los problemas, según mi experiencia. El problema es que la combinación de cinco factores todavía no está en la mente de las personas que quieren cuidar sus activos vitales y por aquí están viniendo los problemas de seguridad. —¿Cuáles son las credenciales que se utilizan actualmente? —Vivimos bajo el modelo donde todo el mundo le puede pedir información personal a cualquiera y la puedes guardar casi como quieras, salvo entidades reguladas como los bancos. Igualmente, no sabes bien cómo las instituciones están cuidando los datos personales. Tenemos que cambiar esta situación, donde tratamos de unificar los datos personales de ciudadanos y ponerlos en algún lugar, porque eso significa tener un panal lleno de miel que un oso quiere llevarse. Deberíamos pasar, y Europa ya lo indica por ley, a la identidad descentralizada, por la que no pedimos información personal, sino que utilizamos credenciales reutilizables y pruebas biométricas para saber si tienes derecho a hacer lo que quieres, sin necesidad de dar información personal. —¿Cuál es la propuesta de Ditto para proteger la identidad digital? —Ditto es una compañía de ciberseguridad que piensa primero en los móviles. Ha creado un ecosistema de confianza digital utilizando señales, pruebas biométricas y credenciales reutilizables para generar todo tipo de transacciones no refutables. Es decir, una vez que está hecha la transacción, hay suficiente evidencia legal para que nadie pueda refutarlo. Una transacción es cualquier paso de datos. —¿Qué tipo de datos son los que actualmente están en mayor peligro? —Los datos personales de los usuarios. Es peligroso porque pueden entrar a muchos sistemas y suplantar una identidad, que es lo más típico. En otros países, como la zona de Latinoamérica, hay jóvenes que van a abrir por primera vez una cuenta de banco a los 18 años y descubren que ya ha sido abierta y tiene crédito. Para ello, han obtenido cada vez más datos y entendimiento de la identidad de los individuos hasta tener suficiente para engañar a un banco u hospital. En muchos países, los hackers están a una línea de completar tu mapa de datos. En internet, se venden listas de datos muy baratas, a diez céntimos. —¿Cómo podemos proteger nuestro mapa de datos? —La gran mayoría de los sistemas son penetrados desde dentro, o sea, inician sesión sin romper el sistema. Simplemente pusimos mal la contraseña, le dimos un uso incorrecto a la tecnología o le pasamos nuestro teléfono a un tercero. Ahora tenemos tecnología que nos ayuda a saber si ese móvil cambió de mano, tenemos capas que contrarrestan todo eso. Hablamos de cómo la IA se ha vuelto un riesgo, pero también hemos estado haciendo tecnología para prepararnos para estos momentos y Ditto la tiene para poder proteger a tu unidad, usuario y transacción en esas tres instancias para que te asegures de que estás tratando con quién deberías y que el resultado es irrefutable. —¿Y cómo pueden las empresas proteger los datos de sus usuarios? —Primero tienen que entender la situación, ser honestas consigo mismas y reconocer el problema, ver que algunas imperfecciones ya están ahí. La seguridad suele ser un accesorio en vez de una plataforma. También tienen que aliarse con las tecnológicas que sepan trabajar muy bien en tus casos de uso. Después, deben colaborar con los socios estratégicos, delegar confianza y estrategia en ellos, y ejecutar lo más rápido posible hacia la regulación y las transacciones de más alto riesgo que tengan. Queremos asegurarnos que, cada vez que viaje esa información, sea de forma que no se pueda romper. —¿Los ataques a las instituciones públicas están relacionados con el desconocimiento sobre las nuevas tecnologías, una falta de protección adecuada? —Tanto para instituciones públicas como privadas, tenemos la capacidad de parar muchísimas imperfecciones de seguridad y no lo estamos haciendo por varias razones. La primera es que cambiar es duro, la segunda podría ser la falta de presupuestos y, honestamente, la tercera es que no lo quieren hacer. Ahí ocurren grandes problemas de seguridad y los sistemas están puestos para parar muchas cosas, nuestra capacidad como empresas y humanos para adaptarnos a estos nuevos problemas y reaccionar positivamente veo que a veces está fallando, en todos los países e industrias. —¿Nuestra protección disminuye con el rápido avance de la inteligencia artificial? —Por momentos sí y por momentos no. Ahora la IA se está moviendo muy rápido al escenario real, lo estamos viendo en cómo funciona, cómo escala y los efectos que tiene. Los ataques agénticos están funcionando rápido y tienen un gran tamaño, pero nosotros estamos reaccionando con esas mismas dimensiones y siendo capaces de parar los ataques cada vez más rápido. Y lo más importante, de prevenirlos. Ahora, ponemos un monitor que controla todas las tecnologías en tiempo real para que veas cómo van ocurriendo las cosas. Si empieza a haber un patrón, antes de que se consolide, lo puedas aislar. Esta tecnología no la teníamos hace un año, la tuvimos que desarrollar porque los agentes de IA se volvieron un problema real. De hecho, quienes encontraron el problema de PHP fue porque tienen acceso agéntico. Para eso está hecha la IA, es tan buena encontrando las correlaciones que avisa a los investigadores de seguridad. A partir de eso, te preguntas si las habrán encontrado gente mala, pero la respuesta es que no se sabe. Ante el no saber, se levanta una alerta de seguridad mundial. Sin agentes no lo hubiéramos encontrado. —Cuando un usuario ve vulnerada su identidad digital, ¿qué debe hacer para recuperarla? —Solucionar este problema es increíblemente difícil, porque tienes demasiadas identidades que conforman tu identidad a través de los sistemas. Por ejemplo, a través del ecosistema de Google puedes ir verificando tu identidad dentro de los sistemas de una forma en la que es muy difícil que alguien te la robe tu identidad y que quedes fuera de ella, aunque no sea imposible. Es porque hay un ecosistema que toma muchos tipos de señales para entender tu identidad. Pero Google ha generado su propio ecosistema y después tenemos el de Meta, Microsoft y demás. Para recuperar tu identidad digital, primero tienes que resolver el problema legal, que en todo el mundo es un proceso bastante análogo, porque el único antídoto para recuperar tu identidad digital es que puedas decirme exactamente quién eres análogamente. Cuando el Estado confirme que eres tú, tendrías que ir con esa sentencia a cada una de las plataformas para recuperar tus cuentas. —¿Qué tecnología podríamos utilizar para mantener nuestra identidad digital segura? —En todo el mundo se desarrolla con el mismo concepto de que vamos a tener pruebas biométricas que constituyen credenciales reutilizables y viven en un lugar que, en Europa, estamos llamando «carteras de identidad». En lugar de que exista la identidad de señales personales de cada persona, existe una serie de mapas criptográficos que son casi imposibles de romper. Con la cartera de identidad compartes la criptografía, no el dato, y, si el otro lado tiene la contracriptografía para entenderla, la operación se produce. Lo que pasaste por ese canal seguro no es tu información, es una manifestación matemática que solo la vas a entender si tienes el mapa. En Dito creemos que este modelo es el futuro, pero vamos a tardar un tiempo porque tenemos leyes e instituciones que necesitan un tiempo para adaptar algunos de estos conceptos. En el futuro, tener datos de los cuales no tienes ningún uso práctico va a ser algo hasta peligroso. —¿Cómo se está adaptando Europa a la protección de datos? —A la ley no le va a gustar que guardes estos datos y te va a pedir constantemente, a partir del próximo año, que lo limites, hasta el punto de que lo desechas o te haces legalmente responsable de ello. Aquí la Unión Europea es muy efectiva con sus multas, que también son reputacionales. Con esta idea, por ejemplo, los bancos del futuro que van a ganar será porque te den más confianza. La Unión Europea lleva trabajando en esto diez años, porque lo han visto venir desde hace mucho tiempo. Van a empezar las disparidades donde verás países que aseguran muy bien la información personal e identidad de sus ciudadanos y países que están haciendo un esfuerzo.