Este 21 de octubre, distintos agentes de inteligencia artificial descubrieron dos vulnerabilidades de seguridad críticas en el sistema PHP, un lenguaje de programación que se utiliza en el 70% de los sitios web del mundo... y esto incluye a Costa Rica.
Por eso, La Nación contactó a dos especialistas para conocer qué medidas de prevención y seguridad pueden tomar los usuarios costarricenses.
Creado a principios de la década de 1990, PHP es un lenguaje de programación informática que sirve de “andamiaje” para que la internet funcione. Es “la columna vertebral de la web”, según la empresa de ciberseguridad Wiz Research, que afirma haber utilizado la IA para detectar vulnerabilidades ocultas en PHP desde hace más de diez años. Estos fallos podrían permitir el acceso remoto a servidores.
Según explicó a este medio el vicepresidente de la Cámara Costarricense de Tecnologías de Información y Comunicación (Camtic), Hernando Segura, las dos nuevas vulnerabilidades detectadas por la IA permitirían a los atacantes entrar a páginas web sin tener contraseñas u otras restricciones.
“Esta búsqueda de vulnerabilidades las hizo un grupo de agentes de inteligencia artificial controlados por organizaciones con buenas intenciones. Por eso, cuando las encontraron, las anunciaron al resto del mundo para atenderlas. Pero debemos preguntarnos, ¿qué pasa con los actores de amenaza que utilizan la IA para buscar vulnerabilidades con malas intenciones?“, recalcó Segura.
Entonces, ¿qué hacemos?
El vicepresidente de Camtic explicó que cuando un atacante aprovecha las vulnerabilidades del sistema PHP, puede intentar (y en algunos casos lograr) acceder a bases de datos donde haya información de costarricenses, ingresar a la red interna de las empresas o sustraer información sensible.
“Hace apenas unas semanas vimos cómo un atacante sutrajo información de una agencia crediticia en Costa Rica, información que puede ser utilizada para estafas o ataques de ingeniería social. Entonces, el tico de a pie puede esperar que la información robada sirva para alimentar los intentos de estafa”, alertó Segura.
Por tanto, el especialista sugirió a los usuarios intensificar los mecanismos de protección personal.
Los costarricenses deben ser desconfiados con las llamadas y correos electrónicos que reciben solicitando información o presentándose como empleados de empresas o instituciones públicas. Estas son parte de las técnicas de “ingeniería social”.
Con frecuencia, los estafadores que lo contacten tendrán la capacidad de mencionar algunos de sus datos personales para ganarse su confianza. Por ejemplo, podrían citar la dirección de su casa, sus números de tarjeta, el nombre de miembros de su familia y la ubicación de alguna de sus propiedades.
Además, los estafadores intentarán generarle un sentido de urgencia: “Tiene que pagar el impuesto a la propiedad, y tiene que hacerlo hoy, si lo deja para mañana, aumentarán al doble”. El atacante sabe que el usuario, ante la urgencia, baja la guardia.
“Lo que el ciudadano debe hacer es extremar las precauciones frente a una estafa. Si recibo una llamada o correo que me urge a hacer algo, yo sospecho de inmediato.
“Lo otro que debo hacer cuando reciba un contacto de estos es utilizar un canal alterno para confirmar; es decir, si recibo una llamada de la municipalidad o de un banco, yo tengo que decir ‘muchas gracias, yo contactaré directamente al banco o a la muni’, ahí cuelgo y corto con la cadena”, destacó Segura.
Finalmente, en el caso de los correos electrónicos, don Hernando recordó verificar con mucho cuidado la dirección de correo de la cual llegó el mensaje, porque un cambio ligero puede ser casi imperceptible pero crucial. Por ejemplo, los atacantes pueden escribir “Banc0″ en lugar de “Banco” para suplantar identidades.
“Sé que estas tres prácticas suenan repetitivas y las hemos dicho muchas veces, pero son lo único que puede hacer un ciudadano”, dijo Segura.
Verificación de dos pasos
El método de verificación de dos pasos sigue siendo una herramienta importante para protegerse ante posibles ataques.
Este consiste en que, cuando usted intenta entrar a su cuenta bancaria, además de proporcionar su cédula y contraseña, debe aportar un código que le llega a su número de teléfono o correo. Así, aunque el atacante tenga los dos primeros datos, la falta de este último pondrá fin a sus pretensiones.
“Para las empresas también hay implicaciones riesgosas, es necesario actualizar el PHP para arreglar las brechas, pero no todas las empresas saben hacerlo o ni siquiera se han enterado. No es que la verificación multifactor (o de dos pasos) sea suficiente por sí sola, pero es una buena práctica”, dijo Segura.
Plataformas como Facebook, Instagram, X, Whatsapp o las aplicaciones de los bancos ya tienen la posibilidad de implementar un factor de verificación adicional.
“Los ataques cibernéticos son cada vez más sofisticados, y este es muy, muy sofisticado, pero la prevención y el conocimiento de las personas, junto con la implementación de la verificación multifactor, son muy buenas prácticas para evitar que yo sea la próxima víctima”, agregó el informático.
El Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) emitió un aviso técnico el 21 de octubre para advertir sobre los riesgos y las medidas de prevención.
“Son miles de millones de sistemas en el mundo, con solo que el 5% falle en la actualización, ya hay vulnerabilidades abiertas para que un atacante tome control de los sistemas. Este puede ser el disparador de los ataques cibernéticos más grandes de la historia, porque la implicación global es enorme”, concluyó Hernando Segura.