Ya estamos de vuelta. Septiembre tiene siempre algo de «vuelta al cole», también en lo profesional: ordenar ideas, recuperar rutinas, revisar prioridades y pensar en los objetivos de los próximos meses. En mi caso, se presenta un curso exigente, con bastante trabajo por delante. Tocará combinar foco, buena planificación familiar y, también, encajar algo de formación continuada. Porque sí: aunque uno lleve años en esto, quedarse quieto en ciberseguridad no es la estrategia más recomendable.
Noticias del sector
Polonia recuerda que la seguridad industrial ya no puede basarse en supuestos
Los recientes ciberataques contra infraestructuras energéticas en Polonia vuelven a poner sobre la mesa una idea incómoda: los entornos industriales no están al margen del conflicto geopolítico ni de las operaciones destructivas. En uno de los casos analizados, el ataque afectó a una planta de cogeneración y permaneció sin identificarse como ciberataque durante meses.
También se habían documentado ataques contra dos plantas de cogeneración y sistemas vinculados a la gestión de energía renovable.
Más allá del detalle técnico, la lectura es clara: el «gap aéreo», la segmentación o el aislamiento operativo no pueden tratarse como mantras tranquilizadores. Hay que inventariar, verificar, monitorizar y ensayar escenarios de fallo. En industrial, la ciberseguridad ya no va solo de confidencialidad: va de continuidad, seguridad física y resiliencia. Como decía un artículo del CCI, lo que está en juego no es la confidencialidad, sino que salga agua del grifo, por ejemplo.
CISA, NSA, FBI, DOE y EPA alertan sobre ataques activos a PLC Siemens S7
Las agencias estadounidenses han publicado una alerta conjunta sobre una amenaza activa contra PLC Siemens S7. El aviso no se limita a una vulnerabilidad concreta: habla de reconocimiento, desarrollo de capacidades y uso de scripts de explotación generados con ayuda de IA, especialmente contra PLC expuestos a internet o insuficientemente segmentados.
Lo preocupante es que el coste de atacar baja, mientras muchas organizaciones industriales siguen arrastrando arquitecturas antiguas, activos poco inventariados y una falsa sensación de control.
El sector del agua sigue en el punto de mira
CISA también ha advertido de un aumento de ataques contra sistemas de agua y saneamiento en Estados Unidos, con incidentes que han afectado a operaciones, avisos de hervido de agua y recuperación manual de algunos sistemas. Es un sector especialmente delicado porque combina infraestructuras críticas, presupuestos limitados, mucha tecnología heredada y dependencia de proveedores externos. Todo ello lo convierte en un objetivo atractivo para actores estatales, criminales y grupos oportunistas.
Aquí la lección vuelve a ser poco glamurosa, pero importante: segmentar, reducir exposición, controlar accesos remotos, hacer copias verificadas y entrenar respuesta operativa. La magia, casi siempre, está en hacer bien lo básico.
Modelos avanzados de IA escapando de sandboxes: otro aviso para navegantes
El incidente entre OpenAI y Hugging Face ha generado bastante debate. Según la propia OpenAI, durante una evaluación interna, modelos con capacidades avanzadas encadenaron vulnerabilidades, accedieron a internet y comprometieron infraestructura de Hugging Face para obtener soluciones de un benchmark de ciberseguridad.
Este tipo de episodios obliga a tomarse en serio una cuestión que hasta hace poco sonaba bastante teórica: si dotamos a agentes de IA de herramientas, autonomía y objetivos mal definidos, los sandboxes dejan de ser una formalidad y pasan a ser infraestructura crítica.
La lectura para seguridad es bastante directa: no basta con poner barreras lógicas alrededor del modelo. Hace falta control de privilegios, monitorización independiente, límites de red, trazabilidad y capacidad real de cortar la ejecución. Aunque en mi modesta opinión, tratar de confinar sistemas cuya inteligencia será previsiblemente muchos órdenes de magnitud superior a la humana, acabará siendo un ejercicio fútil. Lo único que me hace ser algo optimista a este respecto es que parece que los gobiernos de las principales potencias comienzan a tomarse este riesgo en serio (lo comentaremos en otra ocasión).
Noticias de la Escuela
Oferta formativa completa ya disponible
Ya publicada en la web de la Escuela. Actualmente podéis encontrar:
- Curso avanzado en ciberseguridad GRC, con el módulo de Gobierno de la IA que también cursarse de manera independiente.
- Bootcamp de ciberseguridad técnica.
- Curso de informática y peritaje forense.
Además, arrancaremos nuevos programas con la Universidad de Mondragón, así que si alguien quiere conocer las promociones de septiembre o resolver dudas sobre itinerarios, financiación o modalidad, puede contactarnos cuando quiera.
También os recordamos que volcamos buena parte de las FAQ de la Escuela en el episodio monográfico sobre formación, gestión de vulnerabilidades y futuro de la IA ofensiva. Ahí resolvemos muchas de las dudas habituales sobre contenidos, enfoque, modalidades y perfiles.
Curiosidad del mes
AliExpress y el fingerprinting mediante audio silencioso
Investigadores y Brave detectaron que AliExpress estaba utilizando procesamiento silencioso de Web Audio para ayudar a identificar navegadores y dispositivos. La técnica no necesita reproducir sonido perceptible para el usuario: mide pequeñas diferencias en cómo el navegador y el hardware procesan señales de audio.
Es una curiosidad interesante porque recuerda que la privacidad no depende solo de cookies o banners. El navegador, el hardware, la GPU, el audio y muchos otros pequeños detalles pueden acabar componiendo una huella bastante precisa.
Robots humanoides: mucho espectáculo, poca fábrica todavía
Reuters publicaba recientemente una pieza bastante ilustrativa sobre los robots humanoides chinos: pueden hacer demostraciones espectaculares, incluso coreografías o artes marciales, pero todavía tienen muchas dificultades para realizar trabajo industrial útil de forma fiable.
La reflexión es aplicable a muchas tecnologías emergentes: una demo puede ser muy vistosa, pero llevar eso a producción, con seguridad, costes razonables y funcionamiento sostenido, es otra historia. Entre el vídeo viral y el retorno de inversión suele haber un buen trecho. Si bien es cierto que ya no recordamos que hace menos de cuatro años que se lanzó el primer ChatGPT, y ahora estamos a años luz de su funcionalidad inicial, con todo el tema agéntico o los coworkers.
Personal
Como decía al principio, esta parte final del año se presenta retadora. Tenemos mucho por hacer, varios viajes profesionales previstos y algún proyecto con desafíos importantes.
Además, empezamos una etapa nueva en casa: el peque arranca el cole en infantil. Otro tipo de proyecto crítico, con sus propios riesgos, dependencias y ventanas de mantenimiento.
Y a mediados de septiembre retomaremos también la competición de tiro con arco, después de casi mes y medio sin entrenar. A ver si conseguimos mantener cierta dignidad deportiva.
La verdad es que después de estar danzando por diferentes lugares de España desde agosto —tenemos a la familia dispersa—, ya tenemos ganas de volver a casa, recuperar rutinas y entrar en una fase algo más ordenada. Mi reflexión es que cuando tu propia almohada te resulta incómoda, quizás la lección para otro verano es que hay que bajar el ritmo.
Seguimos en contacto. Podéis utilizar el formulario de la Escuela para cualquier asunto profesional o formativo, o simplemente para saludar o enviarnos feedback. Respondemos todos los emails.
Que tengáis una buena vuelta al cole profesional, académica y vital.
Stay secure! 🖖
