Documentales y Películas sobre Vulnerabilidad Informática y Ciberseguridad

El mundo de la informática, la ciberseguridad y el hacking es verdaderamente fascinante y, a menudo, complejo. Conceptos como servidores, bases de datos, ciberseguridad y hackers no siempre son manejados por todos. Afortunadamente, tanto el cine como los documentales han sabido explorar estas temáticas, ofreciendo una visión que va desde el entretenimiento puro hasta la reflexión profunda sobre la privacidad, el control de datos y las implicaciones éticas de la tecnología.

Clásicos del Cine y el Hacking

Con motivo del Día Mundial del Cine, que se celebra cada segundo sábado de febrero, nuestros expertos recomiendan grandes clásicos y gemas escondidas en los que la seguridad de la información es protagonista principal. Estas películas combinan informática, Internet y crimen, enmarcándose dentro del género del thriller de acción, y han logrado influenciar a diversas generaciones de profesionales de la ciberseguridad.

Hackers (1995)

Estrenada en 1995 y a punto de cumplir su 30° aniversario, esta película es un clásico que merecía abrir nuestra selección. Para quienes aún no la hayan visto, sigue la historia de un grupo de jóvenes hackers que se topa con una conspiración vinculada a un fraude millonario. Ante este escenario, ponen en juego sus habilidades informáticas con el objetivo de infiltrarse en los sistemas para exponer toda la verdad. En el film, David (Mathew Broderick) es un informático especialista en penetrar en avanzadas redes de seguridad y de descifrar los más complejos códigos secretos. No obstante, su vida empieza a dar un giro inesperado cuando descubre un programa que permite a los usuarios acceder a bases de datos secretas, protegidas de Estados Unidos.

La película posiciona el hacking como una forma de rebelarse contra el sistema, destacando ciertos aspectos de la cultura hacker, como el poder de las habilidades técnicas y el valor del conocimiento compartido en comunidades online. Es considerada una película de culto dentro de la cultura hacker y ha logrado influenciar a diversas generaciones de profesionales de la ciberseguridad, que buscaron mantener vivo el mismo espíritu rebelde de los personajes. Un dato curioso es que Angelina Jolie forma parte del elenco.

Swordfish (2001)

Esta película estrenada en 2001 tiene como protagonista a un hacker muy virtuoso que vivía en el anonimato hasta que es reclutado para vulnerar una red de alta seguridad. Si bien muestra una visión un tanto exagerada de lo que es el hacking, pone sobre la mesa algunos conceptos interesantes, como el rol de la criptografía y la importancia de los sistemas de seguridad. La misión del hacker es descifrar un complicado código de seguridad de una cuenta secreta. Aunque la película no profundiza demasiado en detalles técnicos específicos, el hecho de hablar de un sistema de defensa diseñado para ser impenetrable (“la Hidra”) está muy vinculado a los desafíos reales que enfrentan los expertos en ciberseguridad en su día a día. De esta manera, logra poner en relevancia la ciberseguridad y destaca los desafíos de proteger datos sensibles frente a ataques más sofisticados. Un bonus track es que cuenta con actores de renombre internacional, como Hugh Jackman, Halle Berry y John Travolta.

Enemy of the State (1998)

El film estrenado en 1998 y protagonizado por Will Smith y Gene Hackman, cuenta la historia de un abogado que termina involucrado en una conspiración de alto nivel, más precisamente de un proyecto secreto del gobierno de espionaje masivo. Más allá de que se convierte en el objetivo de un grupo de agentes del gobierno y es víctima de una intensa persecución tecnológica, busca exponer toda la verdad. La trama de la película gira en torno a tres ejes muy vinculados a la ciberseguridad: el espionaje digital, la interceptación de comunicaciones y la vigilancia masiva. De hecho, muestra cómo tecnologías de rastreo y hackeo son empleadas para espiar a las personas, manipular datos y hasta eliminar pruebas sin dejar rastro. Si bien pone el foco en el espionaje gubernamental, también refleja ciertas preocupaciones sobre la privacidad y el uso indebido de tecnologías de vigilancia.

Matrix (1999)

Este film de ciencia ficción de 1999 sigue la historia de Thomas Anderson, un programador y hacker reconocido como "Neo", quien descubre que la realidad es una simulación creada por máquinas inteligentes que esclavizan a la humanidad, utilizando sus cuerpos como fuente de energía. El vínculo con la ciberseguridad es claro: primero desde el lado del hacking, ya que Neo intenta explotar sistemas para encontrar verdades ocultas. A su vez, Matrix también pone el foco en el control de datos y durante la película se presentan amenazas similares a los ciberataques. Desde un análisis mucho más filosófico, la película invita a debatir sobre la dependencia tecnológica y la importancia de cuestionar lo que se considera "real", que son temas muy relevantes en el campo de la ciberseguridad actual.

Who Am I: Kein System ist sicher (2014)

Este thriller alemán se centra en la vida de Benjamin, un hacker solitario que se suma a un grupo de cibercriminales que busca ganar notoriedad. Para eso, realizan ataques cada vez más osados, logrando que la Europol y otros cibercriminales pongan atención en ellos. Este film comparte una visión realista sobre aspectos técnicos y éticos de la ciberseguridad: desde el uso de la ingeniería social y la manipulación de vulnerabilidades, hasta el impacto de los ciberataques en individuos, organizaciones y gobiernos. Y no solo eso, sino que también plantea cómo los hackers pueden ser tanto una amenaza como una herramienta para cuestionar el sistema, reflejando debates actuales sobre hacktivismo y privacidad digital.

Firewall (2006)

Este thriller protagonizado por Harrison Ford se centra en la vida de un experto en seguridad informática que trabaja diseñando sistemas de protección para un importante banco. Todo cambia cuando un grupo de criminales secuestra a su familia para obligarlo a vulnerar el sistema que él mismo creó. Lógicamente, el film pone el foco en temas cruciales de la ciberseguridad, como la importancia de proteger infraestructuras financieras críticas y los riesgos de las amenazas internas (Insider Threat). Y lo que aún es más interesante, hace énfasis en cómo la seguridad no se limita a la tecnología, sino que involucra a las personas, subrayando la necesidad de implementar protocolos sólidos de seguridad, monitoreo continuo y medidas de respuesta ante ataques en escenarios reales.

Blackhat (2015)

Un hacker muy talentoso cumple condena en prisión y es reclutado por el gobierno estadounidense para ayudar a detener a un cibercriminal responsable de un ataque a una planta nuclear en China. Así se desata una persecución internacional para rastrear al grupo que utiliza malware y redes ocultas para cometer actos de sabotaje y robo financiero a gran escala. Si bien muchos la miran de reojo por su 'liviandad' técnica, es muy entretenida y además refleja varios aspectos críticos de la ciberseguridad, como la sofisticación de los ciberataques modernos, malware avanzado y redes botnet. El film también enfatiza la interconexión de las infraestructuras globales y los riesgos inherentes a la dependencia tecnológica, mostrando cómo los cibercriminales pueden causar daños físicos y económicos significativos al atacar sistemas industriales críticos.

Trascendencia (2014)

Esta película de ciencia ficción, estrenada en 2014, profundiza en la inteligencia artificial y la conciencia humana. La historia sigue de cerca al Dr. Will Caster, un investigador de IA que, tras ser atacado por extremistas anti-tecnología, sube su conciencia a una supercomputadora. Esto lo lleva a consecuencias imprevistas: su sed de conocimiento se convierte en una búsqueda aparentemente imparable de poder. La película explora dilemas éticos y morales del desarrollo de la IA (tan actuales en estos tiempos) y las líneas borrosas entre la emoción humana y la inteligencia artificial. Sin dudas que su narrativa invita a la reflexión sobre el potencial y los peligros de la tecnología avanzada. Por si fuera poco, actúa Johnny Depp.

Documentales Esenciales sobre Ciberseguridad y Privacidad

Snowden (2016)

La película dirigida por Oliver Stone se estrenó en 2016 y está basada en la historia real de Edward Snowden, quien filtró diversos documentos secretos que revelaban detalles de los programas de vigilancia del gobierno estadounidense. Hablamos de interceptación de comunicaciones telefónicas y electrónicas de ciudadanos sin el conocimiento ni el consentimiento de estos. A nivel de ciberseguridad, es muy interesante ya que profundiza en cómo las agencias gubernamentales se valen de la tecnología para vigilar y recopilar datos de personas alrededor del mundo. Dado que el propio Snowden es un experto en ciberseguridad, tenía conocimiento de cómo estos organismos pueden acceder a la información de manera encubierta. Tres ejes centrales que plantea este film son la privacidad, el control de datos y la ética en la ciberseguridad.

The Internet's Own Boy (2014)

Para los fanáticos de los documentales también hay opciones: este se basa en la vida de Aaron Swartz, reconocido programador considerado un prodigio de internet. En su currículum se destacaba el haber creado Reddit, impulsar Wikipedia y participar activamente contra las leyes de control de Internet. Incluso se convirtió en una figura política. Concretamente, el documental dirigido por Brian Knappenberger y estrenado en 2014, compila una serie de entrevistas con familiares y amigos de Swartz, mientras se recorren las diversas batallas legales que enfrentó, y su lamentable suicidio a los 26 años. Este film invita a reflexionar sobre la importancia de que existan leyes que impidan el control de Internet a gobiernos, organizaciones y empresas.

Ciberdelitos (Programa Documental)

Con un enfoque riguroso y pedagógico, "Ciberdelitos" muestra la cara más oscura de Internet y de las aplicaciones digitales: desde estafas financieras y suplantaciones de identidad hasta el robo de datos personales o el acoso en línea. El programa combina reconstrucciones de casos, testimonios de víctimas y el análisis de expertos en ciberseguridad junto a las unidades especializadas de la Guardia Civil y la Policía Nacional. Más allá de mostrar la realidad de los delitos, el programa busca empoderar a la ciudadanía con consejos claros y directos sobre cómo protegerse en un mundo cada vez más digitalizado: gestión de contraseñas, identificación de correos fraudulentos, precaución en redes sociales y otras prácticas clave para blindar la seguridad personal. "Ciberdelitos" nace como una invitación a reflexionar sobre nuestra vulnerabilidad en la red y a tomar conciencia de que la ciberseguridad es ya un reto cotidiano.

La Economía de Macrodatos y la Vulnerabilidad Humana

El mundo online y digital, todo lo que hacemos deja un "rastro de datos": un registro de todo, desde cuándo ponemos combustible en nuestro vehículo hasta qué sitios web hemos visitado. El escándalo que finalmente sacó a la luz el lado oscuro de la economía de macrodatos (también llamados big data) que sustenta Internet, demuestra que no se trata de una sola empresa.

El gran hackeo y el Capitalismo de Vigilancia

Cambridge Analytica alardeó de tener 5.000 datos específicos sobre cada votante estadounidense. Según afirmó, aplicando un análisis "psicográfico" a su conjunto de datos, podía determinar el tipo de personalidad de cada votante y luego dirigirle mensajes individuales específicamente diseñados con el fin de influir en su comportamiento. Pero este incidente no fue una anomalía. Fue la consecuencia inevitable de un sistema basado en recopilar y monetizar nuestra información: el modelo empresarial que la académica Shoshana Zuboff denomina "capitalismo de vigilancia".

Los pilares fundamentales del modelo son: recopilar enormes cantidades de datos sobre personas, utilizarlos para deducir perfiles increíblemente detallados de su vida y su comportamiento, y monetizarlos vendiendo esas predicciones a otras partes, por ejemplo anunciantes. Este modelo se ha convertido en el núcleo de la economía de datos y sustenta un complejo ecosistema de empresas tecnológicas, corredores de datos, anunciantes y otros. Es algo que va mucho más allá de los datos que se haya decidido compartir en sus plataformas, e incluye la inmensa cantidad de datos registrados cada vez que se entra en el mundo digital. La vigilancia empresarial masiva a semejante escala amenaza la esencia misma del derecho a la privacidad.

La recopilación de datos es sólo la primera parte de la historia. El siguiente paso es utilizar complejos análisis impulsados por el aprendizaje automático para elaborar perfiles de personas y, de esa manera, influir en su comportamiento. La empresa ha explorado la perfilación de personalidades, así como maneras de manipular las emociones y dirigirse a la gente basándose en sus vulnerabilidades psicológicas, por ejemplo cuando se sienten "inútiles" o "inseguras". Google desarrolló una herramienta para dirigir anuncios publicitarios de forma tan precisa que pueden influir en las creencias de la gente y cambiar su comportamiento mediante la "ingeniería social".

Una de las preguntas más urgentes e incómodas que plantea "El gran hackeo" es: ¿hasta qué punto somos susceptibles a esa manipulación del comportamiento? En última instancia, si estas capacidades son tan poderosas como las empresas y sus clientes afirman, constituyen una amenaza real a nuestra capacidad de tomar decisiones autónomas, o incluso a nuestro derecho de opinión, socavando el valor fundamental de la dignidad que sustenta todos los derechos humanos. Este modelo también puede ayudar a alimentar la discriminación. Las empresas -y los gobiernos- podrían abusar fácilmente de los análisis de datos para segregar a personas en función de su raza, etnia, religión, género u otras características protegidas. La presión para atraer la atención de los usuarios y mantenerlos en las plataformas también puede fomentar la actual tendencia tóxica hacia la política de demonización.

¿Qué se puede hacer ante esta vulnerabilidad?

El modelo empresarial impulsado por datos representa un problema sistémico y estructural que no será fácil de abordar y que requiere una combinación de soluciones políticas y normativas. También se han vuelto habituales los llamamientos más radicales para obligar a las grandes empresas tecnológicas a dividirse, y el sector ya está siendo examinado por las autoridades relativas a la competencia en diversas jurisdicciones. Sean cuales sean las herramientas normativas que se utilicen, es fundamental que estén basadas en un análisis de los riesgos de derechos humanos que plantea este modelo. Lo que está claro es que los esfuerzos actuales no abordan las causas fundamentales del problema.

Tipos de Información Vulnerable en Ciberataques

El robo de información en ciberataques suele tener como incentivo el beneficio financiero. Aunque cualquier individuo u organización pueden sufrir vulneraciones de datos, algunos sectores reciben más ataques que otros. Algunos sectores pueden ser objetivo de ataques debido a su naturaleza empresarial, como las administraciones públicas, la atención sanitaria, o los sectores de negocios, educación y energía. Tener medidas de seguridad débiles también puede convertir a una empresa en un objetivo de ataque por vulneración de datos. Esto incluye software sin revisiones aplicadas, protección con contraseñas débiles, usuarios fáciles de suplantar, credenciales en peligro y falta de cifrado de correo electrónico.

Algunos de los tipos de información más comunes a los que se dirigen los ciberataques son:

• Información de identificación personal (DCP): cualquier información que represente la identidad de una persona, como el nombre, el número del seguro social, la fecha y el lugar de nacimiento, el número de teléfono, la dirección de correo electrónico y la dirección particular.
• Información sanitaria protegida (PHI): registros electrónicos y en papel que identifican a un paciente y su estado de salud, historial y tratamiento. Esto puede incluir datos demográficos, información personal, registros médicos, seguros médicos y números de cuenta.
• Propiedad intelectual (IP): activos de intelecto humano, como patentes, derechos de autor, marcas comerciales, infracciones, secretos comerciales y activos digitales. Entre los ejemplos se incluyen logotipos de empresa, música, software informático, invenciones, nombres de dominio y trabajos de ingeniería.
• Datos financieros y de pago: cualquier información personal y financiera recopilada de los pagos, como números de tarjeta de crédito o débito, actividad de pago, transacciones individuales y datos de nivel de empresa.
• Datos críticos para la empresa: toda la información que sea esencial para el éxito de una empresa, incluidos el código fuente, los planes de negocio, los archivos de fusión y adquisición, así como los datos que deben conservarse por motivos normativos y de cumplimiento.
• Datos operativos: datos que son fundamentales para las operaciones diarias de una organización. Esto puede incluir extractos financieros, documentos legales, archivos por lotes, facturas, informes de ventas y archivos de TI.

Casos Reales de Ciberataques y Brechas de Seguridad

La ciberseguridad en Latinoamérica y a nivel global está en un punto crítico. Cada vez más empresas se ven afectadas por ciberataques sofisticados que no solo roban información, sino que también generan pérdidas millonarias.

Incidentes en Latinoamérica

Los ciberataques a empresas en Latinoamérica han aumentado de manera alarmante en los últimos años. Según un informe de Kaspersky, 3 de cada 10 empresas han sido víctimas de al menos un ciberataque reciente, y el 67% de estos ataques han sido clasificados como graves. Ejemplos recientes incluyen:

• PEMEX (México): Expertos en seguridad informática han descubierto una brecha que afecta su sistema de facturación electrónica y pone en riesgo los datos personales de los clientes. En diciembre de 2022, un ataque cibernético ya había expuesto información sensible de sus empleados.
• Comisión Nacional de Valores (CNV) de Argentina: Sufrió el robo de más de 1.5 terabytes de documentos y bases de datos en un ataque de ransomware. Los atacantes exigieron un pago de USD 500.000 para no liberar la información en internet.
• Fraude Bancario (Latinoamérica): Un exempleado y un trabajador activo de un banco, junto con una empresa de tecnología, realizaron un fraude sofisticado, desviando más de 6 millones de dólares.
• Fortinet/Telefónica: Un ataque dirigido a Fortinet, proveedor de seguridad de Telefónica, permitió el acceso no autorizado a información compartida de la empresa.
• Interbank (Perú): Un empleado fue víctima de ingeniería social en redes sociales. Un atacante, haciéndose pasar por una fuente de confianza, le envió un archivo malicioso.
• Coppel (México): Una de las principales cadenas de tiendas en México, enfrentó recientemente un ciberataque que desestabilizó sus operaciones y podría haber eliminado las deudas de más de dos millones de clientes.

El Caso Equifax (2017)

Equifax es una de las tres agencias de calificación de riesgos más grandes en los EE. UU. El 7 de septiembre de 2017, la empresa anunció una brecha de la ciberseguridad que expuso la información de más de 143 millones de clientes en los EE. UU., es decir, aproximadamente el 44 por ciento de la población de este país. La brecha ocurrió por la vulnerabilidad de la página web de Equifax. Los hackers consiguieron obtener los nombres, fechas de nacimiento, direcciones, número de licencia de conducir, números de seguro social y algunos números de tarjetas de crédito de los clientes, lo cual puso a muchos en peligro de usurpación de identidad.

Los oficiales de Equifax se dieron cuenta del pirateo el 29 de julio de 2017, más de un mes antes de avisar a los clientes afectados. Esta no fue la primera vez que Equifax tuvo que enfrentar el hacking debido a fallos en el sistema de seguridad de la empresa. Previamente, en marzo de 2017, Equifax sufrió otra brecha. En esta instancia, la empresa notificó a un menor número de clientes bancarios y contrató a una firma de seguridad informática para ayudar con la investigación de la brecha. Aunque esta incidencia no fue públicamente anunciada por Equifax, no habían encontrado evidencia de que los datos fuesen robados ni accedidos por partes no autorizadas. Todavía antes, en diciembre de 2016, un investigador en seguridad informática examinó los servidores de Equifax y les advirtió que sus sistemas estaban vulnerables al mismo tipo de ataque que ocurrió en 2017. Eventualmente, Equifax llegó a parchear las vulnerabilidades, pero no lo hizo hasta después de la brecha a mediados de 2017.

Tras una investigación por un equipo de ciberseguridad independiente después de la brecha de 2017, se encontraron otros fallos en la seguridad. El periodista Stephen Gandel detalló el proceso que Equifax implementó para verificar si los datos de los clientes fueron comprometidos. Después del descubrimiento de la brecha el 29 de julio, no fue hasta dos semanas después que el equipo de 225 expertos en ciberseguridad de Equifax pudo reportar al Director Ejecutivo que la firma había sido pirateada. Pasaron 2 días más hasta que Equifax pudo declarar incuestionable el hecho de que los datos habían sido comprometidos. 5 días después la Junta Directiva de Equifax fue notificada. Dos semanas más pasaron antes de que el público fuera notificado de la brecha.

Poco después de anunciar la brecha en septiembre de 2017, la prensa descubrió que cuatro ejecutivos principales de Equifax habían vendido valores de $1.8 millones en los días después del descubrimiento de la brecha. Equifax llevó a cabo una investigación interna y concluyó que ninguno de los ejecutivos sabía de la brecha en el momento en que vendieron los valores. Sin embargo, otro ejecutivo, el Director de Informática principal Jun Ying, vendió casi $1 millón en valores solo unos días antes del anuncio de la brecha el 7 de septiembre. El 8 de septiembre las acciones cayeron el 14 por ciento.

Después de haber anunciado el pirateo, Equifax dirigió a los clientes a una página web donde podrían averiguar si sus datos habían sido comprometidos. Los usuarios tenían que introducir su apellido y los últimos dígitos de su número de seguridad social. También tenían que marcar una casilla de verificación para acordar con las condiciones de uso de Equifax. Estas condiciones incluían una cláusula escondida que enumeraba que el uso de esta página web obligaba al cliente a abandonar sus derechos a levantar una demanda colectiva en contra de Equifax.

En septiembre de 2017, la Oficina de Protección Financiera del Consumidor de los EE. UU. abrió una investigación en la brecha por parte de los consumidores. Un cambio en el liderazgo de la Oficina demoró la investigación, y todavía en abril de 2018 no se había dado ningún paso en el caso. Este caso ejemplifica cómo la aversión a las pérdidas puede influir en la toma de decisiones, llevando a demoras en la notificación y posibles encubrimientos para proteger la reputación y el estatus de la empresa.

tags: #documentales #sobre #la #vulnerabilidad #informatica