Palabra de hacker con Silvia Barrera

Aguerrida mujer de mundo. Una definición que casa muy bien con la primera protagonista con nombre de mujer en el canal de Palabra de hacker y es que no hay mejor homenaje a la mujer en la celebración del Día Internacional de la Mujer, que dar visibilidad a todas esas mujeres que día a día se esfuerzan por poner su granito de arena en este caso en el mundo de la ciberseguridad, da igual el área concreta que sea, pues aunque en porcentaje haya menos mujeres que hombres en este campo, también están día a día esforzándose por construir un mundo más seguro para todos.

Por eso aunque dar visibilidad no es cuestión de una fecha en el calendario y quien me conoce lo sabe bien, avatares del destino que no lo hizo posible antes, he querido que coincidiera con este 8 de marzo la primera intervención de una mujer en mi canal de ciberserguridad. De esta forma la primera dispuesta a pasar el cuestionario ciberseguro y a iniciar el camino de otras muchas, es Silvia Barrera una gran profesional a la que le sigo la pista desde hace mucho tiempo y de la cual admiro su capacidad natural de comunicación para hacer visible (e inteligible) la enorme labor que realiza en este caso el Cuerpo Nacional de Policía en Internet, patrullando y rastreando la red en busca de cibercriminales para parar los pies a aquellos que hacen un mal uso o un abuso de las posibilidades que ofrece Internet.

No es cuestión de mezclar asuntos pero si hoy el término mujer sale a la palestra toca aprovecharlo, y es por ello que me permito el antojo de recomendar desde aquí una cibermesa dedicada a la mujer y la marca personal que realicé hace unos meses en el cibermaratón de Marca Personal que organicé pues en este debate los términos empoderamiento femenino, visibilidad o marca mujer pueden ayudar a much@s. Ahí lo dejo. Y ahora sin más aquí está la entrevista que le he realizado a Silvia Barrera cuyo vídeo y podcast está disponible abajo.

Un hacker es… Silvia Barrera

Silvia Barrera. Twitter: @sbarrera0

Perfil profesional: Inspectora de la Policía Nacional, Jefa de la Sección de Tratamiento de Evidencias Digitales de la Unidad de Investigación Tecnológica. Representante por España en EUROPOL en materia de ciberataques. Miembro del Grupo Mundial de Expertos en Cibercrimen de Interpol y del grupo (E.C.T.E.G) European Cybercrime Training and Education Group coordinado por EUROPOL. Conferenciante en universidades, eventos sobre ciberseguridad y otras instituciones en materia de cibercrimen. Profesora colaboradora en el Grado de Criminología en la Universidad Complutense de Madrid y en el Máster de Derecho Tecnológico e Informática Forense de la Universidad de Extremadura. Escritora colaboradora para publicaciones oficiales del Ministerio del Interior, libros y artículos divulgativos sobre Ciberseguridad y para el grupo Atresmedia en la página web Tecnoxplora con su sección ‘Internet, Ciudad con Ley’. Autora de los libros: ‘Claves de la investigación en las redes sociales‘ cuya presentación online del libro tuvo lugar en Palabra de hacker y ‘Nuestros hijos en la red. 50 cosas que debemos saber para una buena prevención digital’.

«En España no hay conciencia todavía de la gravedad del cibercrimen»

¿Qué es un hacker?

Pues un hacker es un crack de la ciberseguridad. De hecho cuando escucho la palabra hacker con esa connotación negativa que queremos quitarle a la palabra en sí, yo incluso que vamos no soy hacker pero me sienta mal, entonces entiendo que la gente que lleva ya años haciendo comprobaciones en la seguridad de ordenadores, de las páginas web, entiendo el cabreo y la molestia que sienten cuando se aúnan estos dos conceptos: criminalidad y hacker. Es un experto y para mí admirable además y que algún día me gustaría, como he dicho en otras ocasiones, aparte de romper ordenadores, me gustaría también entender cómo funcionan y saber verme en ellos, en sus tripas.

¿Qué consejos darías a las personas que están empezando en el terreno de la seguridad?

Paciencia, mucha paciencia. Yo llevo ininterrumpidamente unos cinco años y nueve años prácticamente en el mundo de la ciberseguridad y he empezado a saber, a conocer y a entender la red y cuando empiezas a entender un poquito, empiezan a salir nuevas tecnologías, aplicaciones, herramientas y te agobian, te agobias muchísimo porque no das, no das a todo y sobre todo el hecho de que una persona al principio es difícil que se especialice porque no se puede saber de todo, no se puede saber de pentesting, de redes sociales, forense… Hay que especializarse y cuanto más se especialice uno, más sabrá de lo que haga.

A corto plazo, tres, cinco años ¿cuáles son tus mayores temores en seguridad?

Uffff pues hoy lo comentaba con los alumnos de la universidad y realmente primero hay un temor que a lo mejor tiene que ver o no tiene que ver con la ciberseguridad y es el tema de la privacidad. Me da mucho miedo la cantidad de información que estamos cediendo en la web, en Internet, a los buscadores, a las redes sociales, me da mucho miedo. La cantidad de información que tienes simplemente con ponerte a navegar y visitar una página web que aparezca en los anuncios, que hagan búsquedas que llevas tiempo haciendo, incluso dentro de tu correo electrónico sugerencias de páginas webs que ya has visitado y sobre todo me da miedo la poca mentalidad que tiene la gente de su privacidad, lo poco que quiere sus datos y que no sepa realmente en manos de quién está poniendo esa información.

También me da miedo lo rápido que van los criminales y lo despacio que vamos nosotros y cada vez más. Yo siempre lo digo. Aquí en España no hay conciencia todavía de la gravedad del cibercrimen y tenemos que seguir haciéndolo visible no es cuestión de alertar y no es cuestión de crear un miedo donde no lo hay, es cuestión de que se vea la realidad. Ahora se está viendo con temas de ciberbullying pero tiene que ser con temas de fraudes, con temas de ataques y sobre todo que no se sancione por ejemplo a las empresas por sufrir este tipo de cibercriminalidad. Hay que darle visibilidad, hay que buscar herramientas alternativas.

Y luego pues también me da miedo, por qué no, pues sobre todo las paranoias de que al final pues bueno según las estadísticas todos y cada uno de nosotros vamos a acabar siendo víctimas de un ciberdelito entonces yo por ejemplo en mi entorno, yo personalmente o incluso los propios usuarios, la gente que conozco, el querer advertir y el agobio de querer transmitir, concienciar de que existe, de que la gente se intente poner un poco las pilas porque tarde o temprano vamos a pasar todos por el pilón. O sea que, al final hay que estar al día y da miedo, da miedo realmente los avances que se hacen y lo atrás que nos estamos quedando.

Con esa necesidad tan grande que hay de concienciar como muy bien has dicho, ¿qué precauciones o qué recomendaciones básicas le darías a un internauta? 

Pues lo primero es que antes de ponerse a navegar por la red o de comprarse un móvil o de querer tener sus aplicaciones sus redes sociales y utilizar las cuentas de correo, que está muy bien, primero que sea un poco consciente o que se informe de qué es lo que está tratando de manejar o de adquirir. Yo sé que a un menor de nueve años que le das un móvil no le vas a empezar a hablar de privacidad y decirle ‘no, tienes que configurar‘. Es un poco difícil pero hay que hacerlo.

Lo primero de todo es que el usuario sepa lo que está haciendo, lo que está instalando y los riesgos que corre eso. Y lo segundo pues que disfruten, que disfruten que la red no es peligrosa, el uso que se le da a la red, el mal uso que se le da o le dan los cibercriminales ese es su problema. Que la gente disfrute de la red como para lo que está para lo que sirve que es para comunicarnos, para establecer relaciones para conocernos, para llegar a la gente y que no tengan miedo a usarlo pero sí que por favor antes de explotar esas posibilidades se informe bien de cómo funcionan las cosas y se lean los términos y las condiciones de las herramientas. Yo soy la primera que no lo hace, bueno sí lo hago la verdad es que cada vez más, pero por lo menos echarle un vistazo y ver si algo chirría o hay algo raro que nos chirríe pues bueno tenerlo presente.

Y luego no sé, utilizar unas medidas básicas de seguridad lo típico de sistemas operativos actualizados, aplicaciones actualizadas y tener o intentar por lo menos, por la parte técnica que nos corresponde, tener actualizadas todas esas utilidades porque vamos a evitar que por lo menos esa gran mayoría de de infecciones o de malware o peligros que corren, estén ahí. Y por último ingeniería social. Cuidado. Como decía Angelucho, lo dice mucho pero es verdad, la ingeniería social. El 85 o 89 por ciento de la gente que es víctima de estos hechos es por culpa del factor humano. Ojo, no estoy diciendo, como dicen algunos, que el ser humano es estúpido. No. Falta conocimiento, falta información y falta concienciación. El ser humano no es estúpido. Falta conciencia.

¿Qué hay que hacer Silvia para jugar en el lado del mal, siendo bueno y no cruzarlo?

Es difícil, es difícil. Al final lo que tienes que hacer, lo primero que tienes que tener claro es el juego. Saber que existen herramientas muy válidas para hacer pentesting, auditorías pero que esas herramientas se usan de una determinada manera utilizándolo con páginas webs que ya conoces o que sabes que van a ser auditadas contra las que vas a, pues no sé, a lanzar por ejemplo un ataque o hacerlo en tu propio servidor, etcétera. 

Hay una serie de herramientas que son muy poderosas y que ahora pues la verdad es que no hace falta tener unos conocimientos muy profundos para utilizarlas y hay que saber dónde están esos límites. No hay que saberse el código penal, obviamente pero sí que sabemos todos cómo detectar una vulnerabilidad se puede aprender pero sí que sabemos que hay ya ciertos pasos que son como explotar esas vulnerabilidades y acceder a información de forma no autorizada y eso no hay que cruzarlo en ningún campo ni en ningún sentido.

Desgraciadamente hay muchas personas que cruzan al otro lado del mal. ¿Cuáles son los mayores ciberdelitos que detectáis en la Unidad de Investigación Tecnológica de la Policía?

Pues en principio lo más habitual es el fraude porque bueno la gente al final no conoce bien cómo funciona la red y los estafadores de toda la vida aprovechan la ingeniería social pues para mandar los enlaces maliciosos, hacernos páginas de phishing, o cualquier típica carta nigeriana, apartamentos turísticos y no sé y que alguien pague por un servicio que no ha comprado. Eso es lo de toda la vida. Pero ¿qué está pasando? Pues cada vez más delitos cometidos a través de las redes sociales. En España somos muy activos y utilizamos muchísimo las redes sociales con lo cual la posibilidad de decir algo inapropiado o de publicar contenidos ilícitos es mayor. (Recomiendo en este punto revisar el ciberdebate sobre ‘Fraudes online. Cómo identificarlos y evitarlos‘).

Y por otra parte tenemos algo preocupante que es que claro con el avance de la tecnología tenemos herramientas ya digamos espías, los keyloggers y la posibilidad de instalar herramientas espía en dispositivos de otros usuarios que además es simplemente con buscar en Google herramientas espías para WhatsApp o para cualquier otro, simplemente buscar un dispositivo en cuestión y ya es muy fácil instalarlo, con lo cual qué es lo que pasa que somos curiosos por naturaleza, queremos saber qué están haciendo los demás y se están dando casos cada vez más casos pues bueno de espías y de troyanos y bueno malware y los ataques. Cada vez son más las empresas que utilizan la tecnología están tecnificadas y con lo cual pues hay mayor número de posibilidad de ser víctima de un ataque. No se denuncia por miedo a lo mejor a ser o tener algún tipo de responsabilidad en este caso por fallos de seguridad o por la Agencia de Protección de Datos, pero la verdad es que cada vez hay más.

Ahora que has hablado del término de denuncia que es tan importante. Dos cosas. Aconsejar a la gente que sí que denuncie cuando detecta que ha sido víctima de algún fraude porque es verdad como tú dices mucha gente pues a lo mejor por miedo, vergüenza, etcétera no lo hace. Y por otro lado ¿cómo tiene que actuar una persona que detecta a través de una red social pues un comentario, un vídeo, una imagen que puede ser delictivo? Porque hay mucha gente que tiene el dedo muy rápido como para hacer un retuit, denunciar una mención y estoy convencida de que es lo contrario de lo que hay que hacer porque se está publicando mucho más allá, se le está dando bombo.

Lo primero de todo la conservación, la conservación de esos contenidos. ¿Por qué? Porque si detectamos que alguien ha dicho algo o ha hecho algo, o nos ha amenazado y no lo capturamos con las formas que hay de forma legal, porque una captura de pantalla bueno de momento sirve pero hay formas de certificar que esos contenidos estaban ahí publicados, dejar constancia y de alguna manera capturar esos contenidos porque a lo mejor cuando volvamos o vayamos a una comisaría rápidamente a denunciar, ya no están entonces. Nos ha pasado de recibir notificaciones de usuarios que han dicho o que han hecho lo otro y luego cuando hemos ido a hacer las comprobaciones, el contenido no está porque claro ahora con las redes sociales el que pueda ser investigado a la más mínima sospecha enseguida se ponen en el punto de mira y entonces ¿qué es lo que hacen? Lo quitan. 

Lo que tenemos que hacer es salvaguardar los contenidos, certificarlos, hacer una captura de pantalla e irnos, de forma presencial, a una comisaría y denunciarlo. Luego ya se encargarán mis compañeros de Policía o de Guardia Civil de investigar los hechos. Pero no es una notificación en las redes sociales, un correo o el decir ‘mire Policía lo que me ha pasado‘. Eso no es denunciar, no es, eso es notificar. (Revisa estos consejos a la hora de denunciar los delitos informáticos que aportó Silvia a su paso por Palabra de hacker en el ciberdebate ‘Prueba digital y su validez procesal‘).

Entonces eso lo primero y luego lo segundo por ejemplo, durante el proceso seguir, tener una vigilancia de qué es lo que va ocurriendo en la red, si volvemos a ser víctimas, seguir aportando pruebas y colaborar de alguna forma con los compañeros, con los agentes que estén investigando aportando la mayor información posible: si hay nuevos perfiles, nuevos hechos que se puedan aportar, nuevos registros, lo que sea, cualquier información siempre y cuando se aporte al principio o durante la investigación, es bueno, es positivo para la investigación.

Respuesta rápida y breve, ¿la libertad de expresión lo ampara todo en las redes sociales?

No. No hay un punto medio para distinguir lo que es delito de lo que no. La libertad de expresión empieza, o termina mejor dicho, donde empiezan los derechos de la persona que cree que han sido vulnerados, es decir, que si yo hago o digo cualquier amenaza o comentario en la red será delito cuando la víctima o la persona a la que vayan dirigidos crea que está vulnerando un derecho, pues yo qué sé, a la libertad o lo que sea. Entonces ¿cuándo termina nuestra libertad de expresión? Cuando empiezan los derechos de la víctima y cree que han sido vulnerados.

Silvia eres una mujer en un doble mundo de hombres por un lado las Fuerzas y Cuerpos de Seguridad del Estado y por otro en el sector de la ciberseguridad. ¿Cómo se lleva eso y qué mensaje le darías a todas las mujeres para perder el miedo en adentrarse en ambos mundos?

Doblemente chungo (risas). Pues, no pero en realidad no sé, yo el miedo, el miedo me lo da la gente que investigo y la gente que hace las cosas que hace y por eso estoy ahí. Esos son a los que hay que tenerles miedo, a las personas malas. 

¿Qué es un mundo de hombres? Bueno pues momento es para que nos animemos o se animen las chicas, primero a bueno a entrar en la Policía porque hay muchos campos no solo la patrulla también está pues como yo, gente que estamos en la red vigilando y bueno pendientes de proteger a los usuarios que nos necesitan.

Y por otra parte, pues bueno el mundo de la ciberseguridad hay muchas chicas, yo estoy segura que tiene que haber chicas detrás de un ordenador lo que pasa es que se nos ve menos pero bueno yo creo que hay que animarse, hay que salir. Que las chicas se animen que el mundo de la ciberseguridad también es muy amplio no solo, a lo mejor es que dice no es que esto es muy técnico y el mundo forense a mí no me gusta bueno pues dedícate no sé a investigar delitos cometidos contra menores si tienes un lado más protector y más cercano por ejemplo a un menor.

O no sé a investigar estafas o a hacer pentesting o auditorías, hay muchísimo, muchísimo campo en el que trabajar y además es que no les queda otro remedio, porque es el futuro entonces al final quieras o no, vas a tener un ordenador delante, un móvil así que te vas a tener que aguantar, te vas a tener que poner las pilas y a hacer, o por lo menos saber de ciberseguridad.

Desde aquí le doy las gracias a Silvia Barrera por ser tan aguerrida y someterse al cuestionario ciberseguro para compartir este momento con Palabra de hacker.

Ella ya ha pasado la entrevista ¿quién será el siguiente?

Si te ha gustado puedes dejarme abajo un comentario y compartir la entrada, el vídeo o el podcast para que otros también puedan disfrutarlo. ¡Gracias!