Juan José Nombela: “Jamás debemos ceder al ataque de un ciberdelincuente y pagar un rescate”

Juan José Nombela es ingeniero de sistemas, profesor del Máster en Gobierno de la Ciberseguridad de la Universidad Politécnica de Madrid (ETSIT – ISMS Forum) desde 2007, profesor del Máster de Seguridad de la Información de la Universidad Pontificia de Salamanca hasta 2009. Es autor de dos libros sobre seguridad informática y coautor de cuatro libros sobre internet y ciberseguridad. Y actualmente es coordinador académico en la Universidad Internacional de La Rioja.

El extenso currículum de Nombela podría resumirse en una frase: “es uno de los grandes expertos en ciberseguridad de España”. Empezó a familiarizarse con ella cuando nadie sabía muy bien en qué consistía y mucho menos cómo ponerla en práctica.

Nombela creó los primeros antivirus que conocimos en España, así como programas de detección de peligros informáticos. Todos ellos eran gratuitos en tiempos en los que un antivirus era un objeto de lujo. Corrían entonces los años 80, concretamente el año 88. La mayoría de los ciudadanos no tenía siquiera ordenador.

Pero entonces él ya comenzó a divulgar, a avisar de lo que estaba por llegar y de los riesgos a los que nos enfrentaríamos en unos años. Lo ha estado explicando en colegios y también a usuarios de internet ya mayores.

¿Cuáles son las mayores carencias que tienen hoy los jóvenes en cuanto a seguridad?

La mayor es el desconocimiento de los riesgos y que muchas veces no son conscientes de que hay gente en la red que es mala. Todo eso se cura con vigilancia de los padres.

¿De verdad hay tanta gente adulta y peligrosa en las redes con intenciones de hacer daño a menores?

Lo cierto es que a los casos que hay no se les da demasiada difusión, tal vez por voluntad de las familias. Pero también he de decir que estamos trabajando muy bien en labores de prevención, y eso se nota. Se hacen muchas campañas que son muy buenas, se trabaja mucho en los colegios también. Creo que los expertos damos buenos consejos y estamos llegando a la juventud. Los chavales no quieren que haya gente que se cuele en sus redes y tienen cuidado.

¿Nos das algunas claves para mantener la seguridad informática en nuestros dispositivos?

Hay que tener en cuenta que los riesgos van cambiando y que los ciberdelincuentes buscas nuevas formas de atacar, por eso tenemos que estar informados de los riesgos. Sin embargo, hay recomendaciones que son planas, como tener cuidado con dar información personal o profesional a nadie a través de internet. Debemos hacer siempre copias de seguridad de nuestros dispositivos: esa es la mejor medida preventiva, porque habrá veces que no vamos a poder evitar que nos ataquen y tenemos que contar con ello. Eso sí, lo primero que tenemos que hacer si hemos sido víctimas de un ataque es denunciarlo al INCIBE y a la Guardia Civil o a la Policía.

¿Es seguro tenerlo todo en la nube?

En mi caso, prefiero tenerlo en un disco y volcarlo todo ahí, pero la nube es segura, siempre que tengamos contraseñas robustas. Si es posible, mejor usar la huella dactilar. Esta fórmula, junto con la de la identificación por el iris, son las más seguras que existen. La del reconocimiento facial no es demasiado fiable.

¿Para qué quiere un ciberdelincuente los datos de una persona anónima?

Para venderlos en la darkweb, por ejemplo. A veces, el que lo compra no sabe ni para qué lo quiere, pero más tarde o más temprano les dará uso. A través de nuestros datos los delincuentes pueden saber detalles de nosotros que les resulten útiles, como nuestro poder adquisitivo. También pueden hacernos chantaje en el caso de que tengamos en nuestros dispositivos fotos o información comprometidas. Pero lo cierto es que muchas veces estos delincuentes lanzan ataques masivos y caemos nosotros en ellos aunque no seamos su objetivo.

¿Qué debemos hacer si alguien nos pide alguna vez un rescate por nuestra información?

No pagar. Nunca hay garantías de que te vayan a devolver tus datos, más que nada porque si lo hacen podrían ser descubiertos. Lo más normal es que el que paga jamás reciba la clave para recuperar sus datos. Sin embargo, esto es más frecuente que ocurra con empresas que con particulares. En cualquier caso, todos estos peligros se evitan con un buen antivirus, no pinchando donde no debemos y actualizando aplicaciones y el sistema operativo constantemente. La mayoría de las veces que se nos pide actualizar una aplicación en nuestro móvil se debe a un parche de seguridad.

¿Cómo podemos saber si un correo electrónico que recibimos es malware?

La mayor parte de los que nos llegan proceden de Rusia porque se dan tres circunstancias: que allí hay gente tecnológicamente muy preparada, que no encuentran trabajos bien remunerados y que hay gente que tiene pocos escrúpulos. Entonces, atacan. También influye que el Gobierno ruso nunca ha colaborado mucho con otros países para perseguir a ciberdelincuentes.

En cualquier caso, las claves para reconocer un correo electrónico peligroso son estas: están mal redactados, con faltas de ortografía y errores gramaticales porque los meten en un traductor online. Por otro lado, hay que tener en cuenta que los bancos nunca mandan correos con enlaces, así que si nos llega alguno no debemos fiarnos. Es importante mirar también la dirección del remitente, que suele ser parecida a la de un banco, por ejemplo, pero varía en una letra.

¿Cuál es el objetivo de los ciberataques? ¿Es específicamente lucrativo?

El objetivo suele ser la estafa a la gente, bien sea accediendo a sus cuentas o pidiendo algún rescate. En el caso de las administraciones públicas, el objetivo es exclusivamente el de provocar daños o demostrar fuerza.

Es lo que está ocurriendo ahora en Ucrania, por ejemplo…

Sí. Lo que se pretende con los ciberataques es afectar a las infraestructuras críticas, a los bancos y a los cajeros para que los ciudadanos no puedan disponer de dinero, por ejemplo. Todo esto se está auspiciando por el Gobierno ruso.

De momento, no hay constancia de que esto haya afectado a Ucrania de forma grave, pero sí es cierto que está habiendo muchos intentos. Lo que ocurre es que cuantos más ciberataques se anuncian, más medidas de protección toman las empresas.

La ciberseguridad está ahora mismo en pleno apogeo. ¿Hay suficientes personas formadas disponibles para combatirlo en el mercado?

Es cierto que falta talento en los departamentos de ciberseguridad de muchas empresas. Hay gente disponible, pero es gente muy cara y algunas de estas empresas no pueden pagarla.

En nuestros diferentes másteres formamos a más de 1.000 personas al año y puedo asegurar que todas encuentran trabajo. Los contratadores son empresas, bancos, compañías eléctricas, operadores de telecomunicaciones y proveedores de soluciones tecnológicas.