El Orgullo es una celebración de la diversidad, pero también un recordatorio de que la exposición en Internet tiene nuevas implicaciones para la ciberseguridad. En un escenario marcado por la inteligencia artificial, el perfilado algorítmico y las filtraciones de datos, la información sobre la orientación sexual o la identidad de género puede convertirse en una herramienta para que los ciberdelincuentes diseñen ataques de ingeniería social, campañas de phishing altamente personalizadas o intentos de extorsión.
El 28 de junio de 1969, un grupo de personas decidió no aceptar una nueva redada policial en el bar Stonewall, en Nueva York. Aquella noche, la comunidad LGTBIQ+ se rebeló contra años de persecución y discriminación, dando origen a un movimiento que transformaría la lucha por los derechos y la visibilidad del colectivo en todo el mundo.
Más de medio siglo después, el Orgullo sigue siendo una reivindicación de la libertad para vivir y expresar la propia identidad. Sin embargo, esa visibilidad también plantea nuevos desafíos. Si en 1969 el riesgo era ser detenido por acudir a un bar, hoy una parte de las amenazas se encuentra en el entorno digital.
“Los ciberdelincuentes ya no necesitan acceder a información confidencial para elaborar un ataque. Muchas veces les basta con la enorme cantidad de datos que compartimos o que las plataformas son capaces de inferir sobre nosotros para preparar campañas de ingeniería social mucho más eficaces”, explica Hervé Lambert, Global Consumer Operation Manager de Panda Security.
Cuando el algoritmo construye un perfil sobre ti
Cada interacción en Internet deja una huella. Los vídeos que vemos, las cuentas que seguimos, las búsquedas que realizamos o los eventos que consultamos permiten a las plataformas elaborar perfiles extremadamente detallados de los usuarios.
Aunque una persona nunca haya indicado públicamente su orientación sexual o identidad de género, los algoritmos pueden inferir intereses o afinidades a partir de patrones de comportamiento. Esa información se utiliza habitualmente para personalizar contenido y publicidad, pero también incrementa el valor del perfil digital de un usuario.
“El problema no siempre es la información que compartimos de forma consciente, sino toda la que las plataformas son capaces de deducir. Cuanto más completo es ese perfil, más posibilidades tiene un atacante de diseñar mensajes creíbles y personalizados”, señala Lambert.
Según el experto de Panda Security, un ciberdelincuente que conoce los intereses de una víctima puede crear campañas de phishing mucho más convincentes, simulando comunicaciones relacionadas con asociaciones, eventos del Orgullo, aplicaciones de citas o incluso marcas que el usuario utiliza habitualmente.
Cuanto más preciso es el perfil digital de una persona, más fácil resulta construir un mensaje que parezca legítimo. Un supuesto cambio de ubicación de un evento del Orgullo, una actualización de una aplicación de citas o una invitación a una fiesta privada pueden convertirse en el gancho perfecto para robar credenciales o distribuir malware.
La inteligencia artificial facilita ataques más sofisticados
La inteligencia artificial ha reducido enormemente el tiempo necesario para recopilar información pública sobre una persona.
Herramientas capaces de analizar perfiles en redes sociales, fotografías, comentarios o publicaciones permiten automatizar tareas de reconocimiento que antes requerían horas de trabajo. Esa información puede utilizarse para campañas de spear phishing, suplantaciones de identidad o intentos de fraude altamente personalizados.
A ello se suma el auge de la IA generativa. La creación de imágenes falsas, vídeos manipulados o audios clonados abre la puerta a nuevas formas de extorsión, desinformación o acoso.
“Cuantos más datos existen sobre una persona, más sencillo resulta generar contenidos falsos que parezcan auténticos. La inteligencia artificial está reduciendo la barrera de entrada para este tipo de ataques”, advierte Lambert.
Las aplicaciones de citas también forman parte de la superficie de ataque
Las aplicaciones dirigidas al colectivo LGTBIQ+ ofrecen espacios seguros para conocer a otras personas, pero también concentran información especialmente sensible, como fotografías privadas, ubicación en tiempo real o preferencias personales.
Precisamente por ello se han convertido en un objetivo atractivo para los ciberdelincuentes.
Desde Panda Security recuerdan que cada vez son más frecuentes las campañas que utilizan perfiles falsos para ganarse la confianza de la víctima antes de solicitar dinero, enviar enlaces maliciosos o distribuir malware. En otros casos, los atacantes intentan obtener imágenes privadas para posteriormente llevar a cabo campañas de sextorsión.
“Las aplicaciones de citas deben utilizarse con las mismas precauciones que cualquier otra red social. Desconfiar de perfiles que intentan acelerar la conversación, evitar descargar archivos externos y no abandonar la plataforma demasiado pronto son medidas básicas para reducir riesgos”, explica Lambert.
Del phishing al ciberespionaje
No todos los ataques persiguen un beneficio económico inmediato.
En determinados países se han documentado campañas de vigilancia dirigidas contra activistas y personas pertenecientes al colectivo LGTBIQ+, utilizando aplicaciones falsas, programas espía o campañas de phishing cuidadosamente diseñadas para acceder a dispositivos móviles.
Aunque este tipo de operaciones suelen dirigirse a objetivos concretos, demuestran que la información relacionada con la identidad puede convertirse en un activo especialmente valioso para actores criminales o campañas de espionaje. Además, estas mismas técnicas pueden reutilizarse en fraudes mucho más cotidianos, como el robo de cuentas personales o el acceso a información almacenada en dispositivos móviles.
Una filtración puede convertirse en la puerta de entrada a nuevos ataques
Las brechas de seguridad ya no implican únicamente el robo de contraseñas.
Cuando una plataforma sufre una filtración pueden quedar expuestos correos electrónicos, fotografías, historiales de uso o información que permita identificar a los usuarios de determinados servicios.
Esa información suele acabar circulando en foros utilizados por ciberdelincuentes, donde se emplea para lanzar campañas de phishing, ataques de credential stuffing o intentos de extorsión mucho más personalizados.
“Una filtración no termina cuando aparecen los datos publicados. Muchas veces ese es precisamente el punto de partida para nuevos ataques”, explica Lambert.
Para un ciberdelincuente, una base de datos filtrada no es el objetivo final, sino el punto de partida. Los correos electrónicos, números de teléfono o historiales de uso pueden cruzarse con información obtenida en redes sociales para aumentar la credibilidad de futuros ataques.
Cómo reducir la exposición
Aunque no es posible eliminar por completo la huella digital, sí es posible reducir la información disponible para posibles atacantes.
Para ello, Hervé Lambert recomienda revisar periódicamente la configuración de privacidad de redes sociales y aplicaciones; limitar los permisos concedidos a la ubicación, la cámara o la lista de contactos; activar la autenticación en dos pasos en todas las cuentas importantes; utilizar contraseñas únicas y robustas; mantener actualizados dispositivos y aplicaciones; y desconfiar de mensajes inesperados que soliciten datos personales o inviten a descargar archivos o acceder a enlaces externos.
Además, recuerda que conviene reflexionar antes de compartir información personal en Internet, ya que esos datos pueden ser utilizados en el futuro para elaborar perfiles mediante inteligencia artificial o facilitar ataques de ingeniería social.
“No se trata de dejar de ser visibles, sino de ser conscientes de que nuestra identidad digital también forma parte de nuestra seguridad. Cuanto menos sepan los ciberdelincuentes sobre nosotros, más difícil les resultará convertir esa información en un ataque”, concluye Lambert.
