La identidad digital, ante un escenario de amenazas crecientes
Los ciberdelincuentes perfeccionan sus técnicas para entrar en cuentas, sustraer información y suplantar identidades. En este contexto, marcado por el avance acelerado de la inteligencia artificial, incluidos los agentes autónomos, las contraseñas tradicionales ya no bastan para garantizar la protección en internet.
Gonzalo Alonso, CEO de Ditto, empresa especializada en ciberseguridad e identidad digital, analiza los desafíos de proteger los datos personales y reclama una evolución de los mecanismos de seguridad frente a las nuevas amenazas.
Qué es la identidad digital
Según Alonso, la identidad digital está formada por el conjunto de señales en línea que permiten determinar si una persona tiene o no derecho a realizar una acción en internet. Para cerrar ese proceso de verificación no son suficientes las señales: también se requiere una capa de seguridad y que ambas partes comprendan el proceso.
El directivo subraya que la identidad digital no es idéntica en todos los ámbitos. La requerida en el sector sanitario no es la misma que la necesaria en la banca, ya que cada caso exige señales y niveles de seguridad distintos. Además, aclara que no equivale al «yo» online: mientras que los datos biométricos son señales muy determinísticas, el nombre y los apellidos tienen menos valor identificativo porque pueden coincidir con los de muchas personas.
Filtraciones, accesos indebidos y datos personales
Alonso considera que los recientes fallos de PHP, que han afectado al 70 % de las páginas web en todo el mundo, representan la brecha de seguridad más importante detectada. No obstante, cita también la aparición de agentes no autorizados que realizan transacciones en nombre de usuarios en Estados Unidos y el hackeo a Capcom como ejemplos de un patrón creciente.
Cada vez que alguien obtiene fragmentos de la identidad de una persona, puede completar progresivamente su mapa de señales. Esto eleva el riesgo de que un tercero pueda utilizar esa identidad. Para Alonso, la tecnología tiene una doble vertiente: puede emplearse con fines delictivos, pero también para prevenir y combatir los ataques.
El responsable de Ditto advierte de que gran parte de las intrusiones no se producen rompiendo los sistemas, sino iniciando sesión en ellos con accesos que ya existían. Por ello, sostiene que la tecnología debe ir acompañada de una cultura de protección de la información tanto en las empresas como desde la iniciativa pública.
Por qué las contraseñas ya no bastan
«Las contraseñas ya no sirven, no son suficientes», afirma Alonso. Recomienda hacerlas más sofisticadas y utilizar gestores de contraseñas cuando no sea posible recordarlas. También aconseja activar los factores de doble autenticación, dado que incluso las claves más complejas pueden ser vulneradas.
En su experiencia, existen diez pasos críticos de seguridad que, si se cumplen, permiten eliminar entre el 70 % y el 85 % de los problemas. Sin embargo, señala que la combinación de cinco factores todavía no forma parte de la mentalidad de muchas personas y organizaciones que buscan proteger sus activos vitales.
Hacia una identidad descentralizada
Alonso cuestiona el modelo actual, en el que prácticamente cualquier organización puede solicitar y almacenar información personal, salvo determinadas entidades reguladas como los bancos. A su juicio, los ciudadanos no siempre saben cómo protegen sus datos las instituciones.
La alternativa pasa por evitar la concentración de datos personales en un único lugar, que compara con un panal lleno de miel que atrae a un oso. En su lugar, propone avanzar hacia una identidad descentralizada, un modelo que Europa ya contempla legalmente y que utiliza credenciales reutilizables y pruebas biométricas para demostrar que una persona está autorizada a realizar una acción sin entregar sus datos personales.
La propuesta tecnológica de Ditto
Ditto se define como una empresa de ciberseguridad con una estrategia centrada en los móviles. La compañía ha desarrollado un ecosistema de confianza digital basado en señales, pruebas biométricas y credenciales reutilizables para generar transacciones no refutables.
Esto implica que, tras efectuarse una transacción —entendida como cualquier intercambio de datos—, existe evidencia legal suficiente para que no pueda ser refutada.
El riesgo de la suplantación de identidad
Los datos personales de los usuarios son actualmente los más expuestos, según Alonso, porque permiten acceder a numerosos sistemas y suplantar identidades. Menciona casos de jóvenes de Latinoamérica que, al intentar abrir una cuenta bancaria por primera vez a los 18 años, descubren que ya existe una cuenta abierta a su nombre y con crédito.
Para cometer este tipo de fraude, los atacantes recopilan cada vez más datos y señales sobre las personas hasta contar con información suficiente para engañar a entidades como bancos u hospitales. Alonso afirma que, en muchos países, los hackers están a una sola línea de completar el mapa de datos de una víctima y que en internet se comercializan listas de datos por apenas diez céntimos.
La mayoría de los sistemas, añade, son comprometidos desde dentro mediante inicios de sesión, no mediante la ruptura directa de sus defensas. Esto puede producirse por una contraseña introducida incorrectamente, por el mal uso de la tecnología o por entregar el teléfono a un tercero. Frente a ello, existen tecnologías capaces de detectar si un móvil ha cambiado de manos y de aplicar capas de protección.
Empresas e instituciones ante el desafío de la seguridad
Para proteger los datos de sus usuarios, las empresas deben entender su situación, reconocer las imperfecciones ya existentes y dejar de tratar la seguridad como un accesorio en lugar de como una plataforma, sostiene Alonso.
También deben colaborar con compañías tecnológicas que conozcan sus casos de uso, apoyarse en socios estratégicos, delegar en ellos confianza y estrategia, y actuar con rapidez sobre la regulación y las transacciones de mayor riesgo. El objetivo, explica, es que la información circule de una forma que no pueda ser vulnerada.
Respecto a las instituciones públicas y privadas, Alonso cree que ya existe capacidad para evitar muchas deficiencias de seguridad, pero identifica tres frenos principales: la dificultad de cambiar, la falta de presupuesto y, en algunos casos, la falta de voluntad. A su juicio, la capacidad de empresas y personas para adaptarse a los nuevos problemas y responder de manera positiva está fallando en distintos países e industrias.
La inteligencia artificial como amenaza y herramienta defensiva
El avance de la IA puede reducir la protección en algunos momentos, aunque también ofrece recursos para reforzarla. Alonso indica que los ataques agénticos operan con rapidez y a gran escala, pero que la defensa está respondiendo en esas mismas dimensiones y logra detener y prevenir ataques con mayor velocidad.
Entre las nuevas herramientas menciona monitores que supervisan tecnologías en tiempo real. Cuando detectan un patrón antes de que se consolide, permiten aislarlo. Esta capacidad, señala, no existía hace un año y tuvo que desarrollarse ante la conversión de los agentes de IA en un problema real.
De hecho, explica que el problema de PHP fue detectado gracias al acceso agéntico. La IA es capaz de encontrar correlaciones y alertar a los investigadores de seguridad. Aunque se desconoce si actores maliciosos ya habían identificado esas vulnerabilidades, la falta de certeza lleva a activar alertas de seguridad globales.
Cómo recuperar una identidad digital vulnerada
Recuperar una identidad digital comprometida es un proceso especialmente complejo porque una misma persona posee múltiples identidades distribuidas entre diferentes sistemas. Alonso pone como ejemplo el ecosistema de Google, que reúne numerosos tipos de señales para verificar la identidad y dificultar que otra persona la robe y expulse al usuario de sus propias cuentas, aunque reconoce que no es imposible.
Sin embargo, existen ecosistemas separados, como los de Google, Meta o Microsoft. Para recuperar la identidad digital, el primer paso consiste en resolver el problema por la vía legal. Según Alonso, el único antídoto es demostrar de manera presencial o análoga quién es la persona. Una vez que el Estado lo confirme, el afectado deberá acudir con esa sentencia a cada plataforma para recuperar sus cuentas.
Carteras de identidad y protección de datos en Europa
El modelo que se desarrolla internacionalmente plantea el uso de pruebas biométricas convertidas en credenciales reutilizables y almacenadas en las llamadas carteras de identidad en Europa. En vez de compartir señales personales, el sistema funcionaría mediante mapas criptográficos casi imposibles de romper.
Con estas carteras se comparte la criptografía, no el dato. Si la otra parte cuenta con la contracriptografía necesaria para interpretarla, se produce la operación. Lo que viaja por el canal seguro no es la información personal, sino una manifestación matemática que solo puede entenderse con el mapa correspondiente.
Alonso considera que este será el modelo del futuro, aunque anticipa que su implantación llevará tiempo debido a la necesidad de adaptar leyes e instituciones. En su opinión, conservar datos sin una utilidad práctica llegará a ser incluso peligroso.
La Unión Europea, añade, exigirá desde el próximo año limitar la conservación de estos datos, hasta el punto de eliminarlos o asumir responsabilidad legal por mantenerlos. Destaca además la eficacia de las multas europeas, que tienen consecuencias económicas y reputacionales.
En este escenario, Alonso cree que los bancos que triunfen serán los que transmitan mayor confianza. La Unión Europea lleva una década trabajando en esta materia y, a su juicio, comenzarán a apreciarse diferencias entre los países que protegen de forma sólida la información personal y la identidad de sus ciudadanos y aquellos que todavía están realizando esfuerzos para hacerlo.
Deja una respuesta