Cyberpedia

Un sitio que usted consulta cada semana puede estar manipulado. Cómo funciona el ataque del abrevadero, qué se ve y qué gestos protegen.

Un sitio de inicio de sesión falso retransmite en directo su contraseña y su código MFA, y el atacante roba la sesión. Cómo funciona y cómo protegerse.

Cómo miles de máquinas pirateadas saturan un servicio, qué nota el empleado en pantalla y cuáles son los reflejos de la organización.

Cómo un atacante prueba miles de contraseñas, en línea o sobre una base de datos robada, y qué ve y qué puede hacer el empleado.

El sonido de las teclas, el ruido de una fuente de alimentación o un micrófono abierto pueden revelar lo que escribe o dice, sin nada visible en pantalla.

Spectre y Meltdown: cómo un código malicioso lee secretos a través del procesador, sin mostrar nada en pantalla, y cómo protegerse.

Un cable o una memoria USB puede hacerse pasar por un teclado y escribir comandos en su lugar. Así puede protegerse.

Mensaje intimidatorio, contraseña citada, amenaza de difusión: lo que dicen las fuentes sobre el phishing y la ingeniería social, y los reflejos.

Una falsa verificación «No soy un robot» le hace pegar un comando en Windows+R. Cómo funciona ClickFix y qué hacer.

Una tarjeta de acceso sin contacto puede copiarse o retransmitirse sin que su titular lo note. Qué se sabe, qué se ve y qué hacer.

Cómo un atacante toma el control de un buzón de trabajo o suplanta a un remitente conocido, y cómo verificar una solicitud de pago.

Contraseñas robadas en una filtración se prueban con robots en otros servicios. Cómo funciona el ataque y cómo protegerse.

Un sitio trampa o un mensaje pueden hacer que su navegador actúe en su nombre en un servicio donde ha iniciado sesión. Mecanismo y defensas.

Cómo puede comprometerse un ordenador dejado en una habitación de hotel si alguien se queda unos minutos a solas con él, y qué hacer.

Una falsa antena de telefonía móvil puede situarse entre su teléfono y la red. Lo que dicen las fuentes sobre este riesgo y lo que usted puede hacer.

Un dispositivo o un puerto USB manipulado puede infectar un teléfono o un ordenador. Lo que ve la víctima y qué hacer para protegerse.

Un falso soporte informático que llama o escribe para obtener una contraseña: cómo funciona el falso pretexto y cómo desactivarlo.

Un código QR manipulado oculta su dirección en una imagen y lleva a una página de inicio de sesión falsa. Cómo detectarlo y qué hacer antes de escanear.

Una cookie de sesión robada permite hacerse pasar por un empleado sin contraseña ni segundo factor. Mecanismo, caso real y reflejos.

Rowhammer altera la memoria DRAM de un dispositivo sin tocarla directamente. Qué ve el empleado, cómo funciona y qué gestos conviene adoptar.

Una aplicación instalada fuera de las tiendas oficiales puede robar contraseñas y SMS. Qué ve el empleado, cómo funciona y qué hacer.

El spear-phishing es un correo personalizado con información pública sobre usted y su empresa. Cómo reconocerlo.

Un desconocido educado entra detrás de usted o con su permiso. Lo que ve el empleado, los fallos del acceso físico y los reflejos que conviene adoptar.

Cómo registra un atacante un dominio parecido al de una marca para robar sus credenciales, y cómo reconocer la dirección trampa.

Un falso soporte informático o un falso empleado del banco le llama y la pantalla muestra un número conocido: cómo reconocer el vishing y actuar.

Qué dicen las fuentes sobre la suplantación de un directivo por llamada o mensaje con IA: qué ve el empleado, el mecanismo y los controles.

El fallo de Apache Struts de marzo de 2017 (CVE-2017-5638): cómo se puede tomar un servidor expuesto con un componente obsoleto y qué hace un empleado.

En marzo de 2024 se descubre código malicioso en XZ Utils 5.6.0 y 5.6.1. Qué dice la alerta de la CISA y qué puede hacer un empleado.

Lo que dicen las fuentes sobre Pegasus en iPhone: fallos explotados, parches de Apple de septiembre de 2021 y hábitos sencillos para el empleado.

El directorio de la empresa decide quién es quién y quién accede a qué. Qué hace el empleado, qué hace el responsable y dónde están las trampas.

BGP indica a las redes por dónde enviar el tráfico. Sus fallos (secuestros, fugas) y la defensa RPKI, explicados para los empleados.

Qué dice una dirección IP sobre una organización, qué no dice, IPv4 e IPv6, y los gestos que puede adoptar un empleado.

El DNS une el nombre de un sitio con su dirección sin que nadie lo vea. Por qué lo atacan y qué hace un empleado.

Una cuenta de administrador abre todas las puertas. Así la protege un PAM y esto es lo que hacen a diario el empleado y su responsable.

Cómo un gestor cifra su caja fuerte a partir de la contraseña maestra y qué debe hacer usted para que proteja de verdad sus cuentas.

Servidor falso, documento falso, clave de acceso falsa: qué son los señuelos de seguridad y qué debe hacer el empleado si se topa con uno.

Un JWT es el justificante que le entrega una aplicación tras iniciar sesión. Qué verifica su firma, las trampas y los gestos que conviene adoptar.

El mínimo privilegio limita los derechos a lo estrictamente necesario; el acceso Just-In-Time los concede por un tiempo limitado. Qué hace usted.

Cómo OAuth 2.0 da a una aplicación un acceso limitado a su cuenta sin su contraseña, y cómo leer la pantalla de consentimiento.

Prueba de intrusión, ejercicio de ataque simulado, equipos de defensa: qué significan estos términos y qué hacer si ve un comportamiento sospechoso.

Cómo SCIM crea, modifica y desactiva las cuentas de las aplicaciones cuando usted se incorpora, cambia de puesto o se va, y qué debe hacer.

Dividir la red en zonas (VLAN, cortafuegos internos, microsegmentación) limita un ransomware. Qué hace el empleado para que funcione.

Por qué los ordenadores de una empresa deben compartir la misma hora, qué hace el empleado y los errores de un servidor de hora mal configurado.

Una sola cuenta abre varias aplicaciones gracias a un token. Qué hacen SAML y OpenID Connect, y cómo actuar ante las trampas.

Cómo funciona Tor, el enrutamiento cebolla, y por qué un empleado no debe instalarlo en un equipo de trabajo sin la aprobación del departamento de TI.

Un asistente de IA puede inventar resoluciones judiciales creíbles. Por qué ocurre y cómo comprobar una cita antes de usarla en el trabajo.

Un agente de IA llama a herramientas en su nombre: correo, archivos, API. Qué puede hacer mal y cómo limitar sus permisos.

Un modelo de lenguaje predice la palabra probable sin comprobar que sea cierta: puede inventar hechos, referencias y paquetes de código.

El Transformer, descrito en junio de 2017: qué cambia para un empleado esta arquitectura basada en la atención, sus límites y la prompt injection.

Estructurar una instrucción a una IA generativa con el método ACTIF, proteger los datos de la empresa y comprobar cada respuesta antes de usarla.

Un estafador puede adoptar el rostro y la voz de un directivo en una videollamada. Lo que dicen las fuentes y la verificación que protege.

Cómo las IA entrenadas con textos de IA pierden diversidad y cómo comprobar un contenido generado antes de usarlo en el trabajo.

Un asistente de IA predice texto, no comprende ni siente nada. Lo que el empleado debe deducir para sus datos, sus comprobaciones y su cautela.

Cómo guiar a un asistente de IA con dos o tres ejemplos y dividir una tarea en pasos que se verifican uno a uno, sin exponer datos.

Cómo C2PA y las Content Credentials adjuntan un historial firmado a una imagen, un vídeo o un sonido, y qué prueba y qué no prueba esa firma.

Reentrenar un modelo (fine-tuning, LoRA) o darle documentos que consultar (RAG): la diferencia, los riesgos y sus reflejos.

Un asistente de IA como ChatGPT escribe un texto plausible que nadie ha verificado. Qué implica para sus respuestas, sus datos y sus normas.

Una IA en el equipo (chip NPU) y una IA en la nube no plantean las mismas preguntas: elegir una herramienta autorizada, qué introducir, a quién avisar.

Un atacante que consulta una IA puede deducir si un documento sirvió para entrenarla, e incluso hacer salir fragmentos memorizados.

Una instrucción escrita en el chat puede bastar para que un asistente de IA rompa sus reglas: mecanismo, señales en pantalla, casos fechados y prevención.

Un correo, una página web o un PDF pueden ocultar instrucciones que una IA ejecuta en su lugar. Cómo funciona el ataque y cómo protegerse.

Modelo con pesos publicados o servicio en línea: qué cambia para los datos de la empresa y qué debe hacer o evitar el empleado.

Cómo funcionan los modelos de IA que razonan por pasos, cuándo usarlos en el trabajo y por qué sus respuestas siempre se deben comprobar.

Preentrenamiento, fine-tuning, RLHF y DPO: las etapas de fabricación de un asistente de IA y lo que cambian para su uso en el trabajo.

Cómo responde una IA a partir de documentos internos, cómo comprobar sus citas y qué trampas acechan: fugas, documentos manipulados, errores.

Una IA repite los estereotipos de sus datos de entrenamiento y aparenta neutralidad. Qué comprueba el empleado y qué prevé el AI Act.

Por qué un asistente de IA le da la razón, cómo eso distorsiona sus respuestas y qué gestos sencillos evitan confundir su acuerdo con una prueba.

Transcribir una reunión o una llamada con IA: qué hace la herramienta con su voz, qué comprobar antes y qué dicen el RGPD y la CNIL.

Un modelo de lenguaje puede responder de forma distinta a la misma pregunta. Qué regulan la temperatura, el Top-p y el Top-k, y qué hace usted.

Un modelo de lenguaje lee fragmentos de texto, no frases. Qué implica para un empleado y qué trampas de seguridad existen.

Pegar un contrato en un traductor de IA en línea expone su contenido. Lo que dicen la CNIL, OWASP y NIST, y lo que hace el empleado.

Un agente de IA puede preparar una acción, pero algunas deben ser aprobadas por una persona. Qué lee, acepta o rechaza el empleado.

Una IA generativa puede afirmar hechos falsos con aplomo. Cómo detectar qué afirmaciones comprobar y contrastarlas con tres fuentes independientes.

Una IA de búsqueda muestra enlaces junto a su respuesta. Así se abren, se comparan con la afirmación y se sabe cuándo no fiarse de ellos.

Una persona sin credencial en las instalaciones puede preparar una intrusión o conectar un dispositivo trucado. El reflejo cortés: acompañarla a recepción.

Una actualización de seguridad urgente solo protege una vez instalada. Qué hacer al recibir el aviso y cómo reconocer las falsas actualizaciones.

Un proveedor o un directivo exige un nuevo RIB o una transferencia urgente: llame a un número que ya tenga y haga validar la solicitud.

Escribir a varios destinatarios externos sin exponer sus direcciones: el reflejo Cco, las trampas habituales y qué hacer después de un error.

Activar la doble autenticación en el correo personal: métodos, códigos de respaldo, reenvíos que comprobar y trampas que conviene conocer.

Un falso asesor bancario llama, habla de un fraude y pide un código. Cómo reconocer la llamada, qué hacer en el momento y después.

Lo que una publicación en una red social revela del lugar de trabajo y de los hábitos de un empleado, y los gestos que limitan esa exposición.

Gestor de contraseñas de la empresa y gestor integrado en el navegador: qué los distingue, qué hace el empleado y qué trampas evitar.

Una filtración de datos pone su contraseña en circulación. Cómo reaccionar sin esperar y por qué una dirección ausente de una base no prueba nada.

Cámaras, altavoces y televisores conectados pueden abrir una puerta a su red. Así se configuran y se mantienen apartados del trabajo.

Cómo la filtración de un sitio personal puede abrir su cuenta profesional y cómo evitarlo: contraseña única, gestor de contraseñas, doble verificación.

Adquisición, ronda de financiación, auditoría: cómo reconocer los enlaces, transferencias e interlocutores falsos que apuntan a una sala de datos.

Un desconocido vestido de técnico, una puerta sujetada por cortesía: cómo entra la ingeniería social en los locales y qué hacer.

Wi-Fi compartida, vecinos curiosos, desconocidos que hacen preguntas: los riesgos de un espacio de coworking y los reflejos de un empleado.

Leyes estadounidenses pueden abrir el acceso a datos alojados en Europa. Qué dice el RGPD, qué cambia el marco UE-EE. UU. y qué es SecNumCloud.

Para qué sirven las cualificaciones de la ANSSI (SecNumCloud, PASSI, PRIS, PDIS) y qué cambian para un empleado y para la dirección.

Por qué una única formación anual no basta: lo que dicen ENISA, NIST, el NCSC y la CISA sobre el diseño y la medición de los programas.

Qué exige la directiva NIS 2 a las organizaciones y a sus directivos, qué cambia para cada empleado y en qué punto está la ley en Francia.

Qué cambia un sistema de gestión de la seguridad de la información para un empleado y para su dirección, con recursos del NIST y del NCSC.

ISO/IEC 42001 y la IA en la empresa: qué dicen las fuentes sobre el reglamento europeo, el marco del NIST y las pautas para los empleados.

Qué es un operador de importancia vital, qué le impone la ley de programación militar de 2013 y qué cambia con NIS 2.

Por qué una formación recibida una sola vez no basta, y qué dicen el NIST, ENISA y el NCSC sobre la concienciación continua.

El NIST Cybersecurity Framework 2.0, publicado en febrero de 2024: sus seis funciones y lo que cambia para los empleados y la dirección.

El Reglamento europeo 2024/2847 impone normas de ciberseguridad a los fabricantes de productos digitales: qué cambia para usted.

El Reglamento europeo de IA clasifica los usos en cuatro niveles de riesgo y obliga a los empleadores a fomentar la alfabetización en IA de su personal.

Qué supone el seguro de ciberriesgos para empleados y dirección: copias de seguridad sin conexión, doble autenticación, primeros pasos y notificación.