Opsec on Locodigital

Cómo saber si tu celular tiene spyware: 7 señales y qué hacer

Mon, 21 Sep 2026 10:00:00 -0300

Terminas una conversación privada y minutos después la otra persona ya sabe lo que se dijo, sin que tú se lo hayas contado. O notas que el celular se calienta sin ninguna app abierta, que la batería se agota más rápido de lo habitual. Este conjunto de señales tiene un nombre: spyware. El problema es que estos programas están diseñados justamente para ser invisibles. Esta guía muestra 7 indicadores concretos y los pasos para revisar tu Android ahora mismo.

Cómo proteger el RDP de Windows contra fuerza bruta: 7 pasos

Tue, 08 Sep 2026 10:00:00 -0300

Mientras leés esto, probablemente alguien esté intentando adivinar la contraseña de tu servidor Windows vía RDP. No es exageración: según Kaspersky, los ataques de fuerza bruta a puertos RDP abiertos llegaron a 1,7 millones de intentos por día en Brasil durante picos de actividad — y Brasil históricamente concentra más del 60% de los ataques registrados en América Latina. El RDP es hoy la principal puerta de entrada para el ransomware. Si tenés el puerto 3389 abierto a internet sin las protecciones de abajo, es cuestión de cuándo, no de si.

Colonial Pipeline 2021: la contraseña que paró el combustible de EE. UU.

Sat, 05 Sep 2026 09:00:00 -0300

El 7 de mayo de 2021, un viernes por la mañana, los operadores de Colonial Pipeline recibieron la noticia que ningún equipo de TI quiere dar: ransomware en la red. En las horas siguientes, la empresa tomó una decisión radical — apagar manualmente el mayor oleoducto de combustible de Estados Unidos para contener la propagación. El resultado fueron filas en las gasolineras, pánico, vuelos cancelados y una declaración de emergencia nacional. La causa: una única contraseña de VPN sin autenticación multifactor, encontrada en una base de datos robada meses antes.

IA en el SOC: cómo el machine learning detecta amenazas antes del ataque

Thu, 03 Sep 2026 09:00:00 -0300

Buena parte de este blog cubre cómo los criminales usan la IA para clonar voces, escribir phishing perfecto y reescribir malware en tiempo real. La otra mitad de la historia se comenta menos: la misma tecnología se convirtió en pieza central de la defensa en los Centros de Operaciones de Seguridad (SOC) de todo el mundo, y hoy es una de las pocas herramientas capaces de seguirle el ritmo al volumen de ataques automatizados que la propia IA generativa ayudó a crear.

LLMNR poisoning: cómo Windows entrega hashes de contraseña en la red

Thu, 03 Sep 2026 08:00:00 -0300

Alguien en la red escribe \\FILESRV en el Explorador de Windows — un carácter equivocado, el servidor con ese nombre no existe en el DNS. En vez de devolver un error y quedar ahí, Windows levanta la mano y le pregunta a gritos a todos en la red local: "¿alguien aquí se llama FILESRV?" El atacante, que está escuchando con el Responder corriendo en su laptop, responde de inmediato: "Soy yo." Windows lo acepta, intenta autenticarse — y le entrega el hash NTLMv2 del usuario conectado en bandeja de plata.

Cómo verificar si un archivo tiene virus antes de abrirlo

Tue, 01 Sep 2026 10:00:00 -0300

Descargas un instalador de un sitio que parece legítimo, el antivirus no se queja y haces doble clic. Tres días después notas que algo anda mal con la PC. Ese guion se repite con frecuencia porque el antivirus local no es omnisciente — depende de firmas actualizadas y de heurística que, contra malware nuevo, falla. Existe una capa extra, gratuita y de dos minutos, que deberías usar antes de abrir cualquier archivo sospechoso: VirusTotal combinado con la verificación de hash.

Cómo usar ChatGPT en el trabajo sin filtrar datos de la empresa: 7 cuidados

Tue, 01 Sep 2026 09:00:00 -0300

En abril de 2023, ingenieros de Samsung Semiconductor pegaron código fuente propietario y la transcripción de una reunión interna en ChatGPT — buscando solo corrección de errores y un acta de reunión más organizada. Fueron tres incidentes separados en pocas semanas. El problema: esos datos entraron al flujo de la herramienta y no pudieron recuperarse. Samsung prohibió el uso de IA generativa en la empresa poco después.

Este tipo de filtración no exige ninguna intrusión, ningún malware, ningún atacante. Es el propio empleado, con buena intención, entregando datos sensibles a una herramienta que no entiende completamente por dentro.

Cómo la IA generativa cambió el phishing: correos perfectos, sin errores

Sat, 29 Aug 2026 09:00:00 -0300

Durante años, el consejo número uno contra el phishing fue simple: desconfiá de un correo con errores de ortografía, formato raro o traducción mal hecha. Ese consejo todavía vale — pero cada vez menos. Desde fines de 2022, investigadores de seguridad registraron un aumento del 1.265% en correos de phishing maliciosos, coincidiendo directamente con la popularización de herramientas de IA generativa capaces de escribir texto fluido en cualquier idioma.

Qué cambió, en la práctica

¿Por qué el phishing generado por IA es más peligroso?

Las herramientas de IA generativa eliminan el error gramatical y el tono raro que históricamente delataban al phishing, produciendo correos con tono profesional, estructura clara y lenguaje natural — lo que hace que la estafa sea mucho más difícil de identificar a primera vista. Un estudio que comparó correos de phishing escritos por humanos y por ChatGPT encontró una tasa de clic de hasta el 81% en los correos generados por IA — prácticamente equivalente, o incluso superior, a los escritos por estafadores experimentados.

Prompt injection: qué es y por qué es la mayor amenaza para los chatbots de IA

Fri, 28 Aug 2026 09:00:00 -0300

Chatbots de atención al cliente, asistentes de código, agentes que leen correo y agendan reuniones solos: la IA generativa se convirtió en infraestructura. Y toda esa infraestructura comparte un fallo estructural que la industria todavía no ha resuelto de verdad: el modelo no puede diferenciar con seguridad una instrucción legítima de un texto malicioso disfrazado de contenido común.

Ese problema tiene nombre: prompt injection. Y ocupa el primer lugar del ranking OWASP Top 10 for LLM Applications por segunda edición consecutiva.

Estafa del pariente con voz clonada por IA: cómo funciona y cómo protegerse

Thu, 27 Aug 2026 09:00:00 -0300

El teléfono suena. Del otro lado, la voz del hijo, temblorosa, pide ayuda: chocó el auto, está detenido, necesita una transferencia ahora mismo. La voz es idéntica — la misma forma de hablar, el mismo tono. Solo que no es el hijo. Es un clon generado por inteligencia artificial a partir de un video cualquiera que publicó en redes sociales.

Esta estafa —conocida como "estafa del pariente" o variante del clásico secuestro virtual— viene avanzando en Brasil en 2026, y los especialistas en seguridad digital ya tratan la clonación de voz como la nueva frontera de la estafa telefónica.

Deepfake: cómo identificar un video falso hecho con IA (7 señales)

Tue, 25 Aug 2026 09:00:00 -0300

Los fraudes con deepfake en Brasil crecieron 126% entre 2024 y 2025, según un reportaje del diario Estado de Minas — el país ya representa cerca del 39% de todos los deepfakes detectados en América Latina. El video que "prueba" que alguien dijo algo, o que confirma la identidad de quien está del otro lado de una llamada, dejó de ser garantía de nada.

La buena noticia es que la tecnología todavía falla de forma previsible. Estas son las señales que siguen delatando un deepfake en 2026.

El modo incógnito no es privacidad: qué protege (y qué no)

Tue, 25 Aug 2026 09:00:00 -0300

Si abriste el modo incógnito esperando navegar de forma anónima, no estás solo — y tampoco tienes razón. Esta es probablemente la ilusión de privacidad más extendida en internet. El modo incógnito resuelve un problema bien específico e ignora varios otros. Saber la diferencia puede cambiar cómo piensas sobre la privacidad digital.

Lo que el modo incógnito realmente hace

El modo incógnito (o "pestaña privada", según el navegador) fue creado para un caso de uso bien delimitado: no guardar datos de navegación en el dispositivo local. Esto incluye:

Qué es DNS over HTTPS y cómo activarlo en Windows 11

Tue, 18 Aug 2026 09:00:00 -0300

Instalas HTTPS en todo, activas la VPN a veces, mantienes el firewall encendido. Pero hay un detalle que la mayoría olvida: cada vez que escribes una dirección en el navegador, tu dispositivo hace una consulta DNS — y esa consulta viaja en texto plano, sin cifrar. Tu proveedor de internet, el administrador de la red de la cafetería o de cualquier Wi-Fi público ve exactamente qué dominios visitaste. El sitio destino queda oculto; los dominios consultados, no.

Juice jacking: cómo los cargadores USB públicos roban tus datos

Thu, 13 Aug 2026 10:00:00 -0300

Estás en el aeropuerto, en la puerta de embarque, con la batería del celular en las últimas. Dos metros más adelante: una estación de carga USB gratuita. Parece suerte. Conectas el cable. Lo que pasa en los minutos siguientes no lo ves, pero un atacante que preparó esa toma puede estar viéndolo todo. Eso es el juice jacking.

¿Qué es el juice jacking?

El término fue acuñado en 2011 por el investigador Brian Krebs tras una demostración en la DEF CON, la mayor conferencia de seguridad del mundo. La premisa es técnica, pero directa: el conector USB no transporta solo energía, también transporta datos. Una estación de carga comprometida o un cable adulterado pueden hacer las dos cosas a la vez, sin que te des cuenta.

Cómo proteger el router Wi-Fi: 7 ajustes esenciales

Tue, 11 Aug 2026 09:00:00 -0300

Millones de personas nunca abrieron el panel de control de su propio router. El equipo llegó del proveedor, se enchufó y quedó así desde entonces — con la contraseña por defecto impresa en la etiqueta, el WPS activado y el firmware desactualizado. Para un atacante en la misma red Wi-Fi, ese combo alcanza para comprometer toda la red doméstica en cuestión de horas.

Los ajustes de abajo no requieren conocimiento técnico avanzado. Juntos, toman menos de 30 minutos en aplicarse.

Ingeniería social: el ataque que ningún antivirus bloquea

Mon, 10 Aug 2026 08:00:00 -0300

Una contraseña compleja, antivirus actualizado, firewall bien configurado — y aun así la empresa fue comprometida. ¿El vector de ataque? Un empleado recibió una llamada de alguien que decía ser del soporte de TI y entregó las credenciales sin cuestionar nada. La ingeniería social no ataca sistemas. Ataca personas. Y precisamente por eso es el método más eficaz que existe.

Qué es la ingeniería social

La ingeniería social es el conjunto de técnicas psicológicas usadas para manipular a las personas y hacer que revelen información confidencial, ejecuten acciones perjudiciales o concedan acceso a sistemas protegidos. El término describe la idea de "ingeniería" del comportamiento humano — explotar tendencias naturales como la confianza, la obediencia a la autoridad, el miedo y la urgencia para conseguir lo que un ataque puramente técnico no lograría.

Qué es el credential stuffing y cómo las contraseñas filtradas abren otras cuentas

Thu, 06 Aug 2026 09:00:00 -0300

Recibes una alerta: se detectó acceso a tu cuenta de Netflix en Bucarest, a las 3 de la madrugada. Nunca estuviste en Rumania. Pero la contraseña era correcta — así que el sistema lo dejó pasar. Lo que pasó no fue un hacker adivinando tu contraseña. Fue un ataque de credential stuffing, y es muy probable que la culpa sea de una filtración en un sitio del que ni recuerdas haberte registrado.

Cómo saber si tu correo fue filtrado — y qué hacer después

Tue, 04 Aug 2026 09:00:00 -0300

En junio de 2026, una base de datos con 56 millones de direcciones de correo únicas recolectadas por infostealers —malware que captura credenciales en tiempo real— fue indexada en el mayor servicio de rastreo de filtraciones del mundo. Esas direcciones, junto con contraseñas, tokens de sesión y cookies, están disponibles para comprar en canales de la dark web en este mismo momento. La pregunta es simple y directa: ¿está la tuya ahí?

Cómo proteger tu Android: 8 configuraciones de seguridad

Wed, 29 Jul 2026 10:00:00 -0300

Estás en el metro, desbloqueas el celular con el rostro y dos minutos después alguien te arranca el aparato de la mano. El ladrón tiene el dispositivo desbloqueado, y con él, acceso a la app del banco, a WhatsApp, a las contraseñas guardadas en el navegador. Android tiene funciones para cortar exactamente ese camino, pero la mayoría vienen desactivadas por defecto o exigen configuración manual. Estas 8 configuraciones toman menos de 15 minutos en total y cambian por completo el perfil de riesgo de tu dispositivo.

Cómo identificar phishing por correo: 7 señales prácticas

Tue, 28 Jul 2026 09:00:00 -0300

Recibes un correo de tu banco diciendo que tu cuenta fue bloqueada por actividad sospechosa. El logo está perfecto, el texto está bien escrito, el botón es rojo y te pide que confirmes tus datos "ahora mismo". Parece legítimo — y ese es justamente el problema. El phishing evolucionó mucho más allá de los errores ortográficos y los remitentes extraños de hace diez años. Con herramientas de IA generativa, los atacantes construyen mensajes que imitan con precisión el tono y la identidad visual de bancos, operadoras y organismos gubernamentales.

¿Qué es el vishing? La estafa de voz con IA que clona en 3 segundos

Thu, 23 Jul 2026 10:00:00 -0300

Recibes una llamada. Es la voz de tu jefe: el tono, la cadencia, el acento, todo coincide. Te pide que transfieras el equivalente a 50 mil reales con urgencia para cerrar un contrato. Dudas dos segundos y haces la transferencia. Solo horas después descubres que el "jefe" era una IA que clonó su voz con un clip de 3 segundos sacado de una reunión grabada.

Esto no es guion de serie. Es vishing, y los ataques crecieron 442% entre el primer y el segundo semestre de 2024, según el Global Threat Report 2025 de CrowdStrike. En el primer semestre de 2025 el volumen ya había superado todo 2024.

¿Vale la pena una VPN? Lo que realmente protege (y lo que no)

Tue, 21 Jul 2026 15:00:00 -0300

Cada vez que un streamer o influencer hace publicidad de una VPN, la promesa es la misma: "vuélvete invisible en internet", "nadie sabrá qué haces en línea", "protección total contra hackers". Es marketing bien pagado, y la mayor parte exagera mucho sobre lo que una VPN realmente hace. Eso no significa que una VPN sea inútil: significa que vale la pena entender exactamente qué protege antes de decidir si necesitas una.

Guía Definitiva de OPSEC y Privacidad Digital para 2026

Mon, 20 Jul 2026 11:00:00 -0300

La privacidad digital dejó de ser un tema exclusivo de hackers paranoicos y se convirtió en una necesidad básica de supervivencia moderna. En 2026, con el avance astronómico del robo de identidad, los ataques de ingeniería social automatizados con inteligencia artificial (como la famosa estafa del “hola, mamá” que ahora usa voces clonadas) y el rastreo incesante de los data brokers, ignorar tu seguridad online es el equivalente digital a dejar la puerta de tu casa abierta de par en par.

Wi-Fi público falso: cómo el ataque evil twin roba tus contraseñas

Thu, 16 Jul 2026 09:00:00 -0300

Estás en el aeropuerto, vuelo demorado, batería al límite. Ves la red "AeropuertoFree" disponible — la misma que usas en esa terminal siempre — y te conectas sin pensarlo. A treinta metros de distancia, alguien con una notebook y un dispositivo del tamaño de un router está viendo cada solicitud que sale de tu celular. Eso es un ataque evil twin: sencillo de montar, invisible para la víctima y devastador si estás iniciando sesión en algo.

OPSEC: qué es y cómo aplicarlo para proteger tu privacidad

Tue, 07 Jul 2026 09:00:00 -0300

En 1966, el ejército de Estados Unidos creó un grupo secreto llamado Purple Dragon con una misión inusual: descubrir por qué el enemigo lograba anticipar cada movimiento de las tropas estadounidenses en Vietnam, aunque no interceptara comunicaciones cifradas. La conclusión fue incómoda — los propios soldados estaban revelando información crítica sin darse cuenta, mediante hábitos cotidianos, patrones de comportamiento y descuidos aparentemente triviales. El proceso que surgió de esa investigación recibió el nombre de OPSEC, y hoy tiene más sentido para cualquier persona con un smartphone que para un soldado en la selva.

Qué es el SIM swap: la estafa del chip que roba tu cuenta en Pix

Thu, 02 Jul 2026 10:30:00 -0300

La línea desapareció de tu celular sin aviso. Sin señal, sin SMS, sin datos — como si el chip se hubiera desactivado de repente. Horas después, revisas el estado de cuenta y ves que alguien vació la cuenta vía Pix (el sistema de pagos instantáneos de Brasil) mientras tú estabas imposibilitado de recibir cualquier código de verificación. Eso es el SIM swap: una estafa silenciosa que empieza en la operadora telefónica y termina en tu cuenta bancaria.

Cómo usar Bitwarden y dejar de reutilizar contraseñas (guía práctica)

Wed, 01 Jul 2026 09:00:00 -0300

Probablemente tengas decenas de cuentas online. ¿Y si te pregunto cuántas contraseñas realmente distintas usas? Si la respuesta es "variaciones de la misma", no estás solo — pero estás corriendo un riesgo concreto. Cuando un sitio se compromete y las credenciales terminan en un volcado de datos, lo primero que hacen los atacantes es probar esos datos en otros servicios. El ataque tiene nombre: credential stuffing. Y funciona precisamente porque la mayoría de la gente reutiliza contraseñas.

Cómo proteger tu router Wi-Fi: 9 configuraciones de seguridad

Tue, 30 Jun 2026 09:00:00 -0300

La laptop tiene antivirus, el móvil pide biometría para desbloquearse, pero el router que conecta a ambos a internet sigue con la contraseña de administrador que trae de fábrica, normalmente admin/admin o impresa en una etiqueta que cualquier visita puede fotografiar. Quien invade un router no necesita romper ningún cifrado: basta con encontrar la puerta que nadie cerró con llave. Esta guía cubre 9 configuraciones concretas, sin necesidad de cambiar de aparato, para convertir el router del eslabón más débil en una capa más de defensa de la red doméstica.

¿Qué es el quishing? El golpe del código QR falso en el Pix

Thu, 25 Jun 2026 00:00:00 -0300

Te sientas en una mesa de restaurante, ves el código QR de siempre pegado en la esquina, lo escaneas para ver el menú o pagar la cuenta y sigues con tu vida. El problema es que, cada vez más, ese adhesivo no es el original — es otro, pegado encima, que lleva a un Pix (el sistema de pagos instantáneos de Brasil) que no es del local. La estafa tiene nombre técnico: quishing, la fusión de "código QR" con "phishing". Y explota justo lo que hace práctico al código QR: nadie ve el destino antes de escanear.

Windows 11 más seguro: 10 configuraciones para activar hoy

Tue, 23 Jun 2026 00:00:00 -0300

Instalar Windows 11 e ir haciendo clic en "Siguiente" hasta que aparezca el escritorio deja la máquina funcional, pero no la deja segura. El sistema ya viene con Microsoft Defender activo y el firewall encendido — eso es el piso, no el techo. Buena parte de las protecciones que realmente marcan la diferencia contra el ransomware, el robo de datos y los exploits de kernel está apagada esperando a que alguien entre en la configuración y la active manualmente. Esta guía cubre 10 ajustes concretos, sin necesidad de instalar ningún programa de terceros, para cerrar las brechas más comunes de quien usa Windows 11 sin ningún hardening adicional.

Estafa del "hola, mamá" en WhatsApp: cómo funciona y cómo evitarla

Mon, 22 Jun 2026 06:00:00 -0300

El mensaje llega de un número nuevo, pero con la foto y el nombre de alguien que conoces: "hola mamá, cambié de número, guarda este y borra el anterior". Minutos después, llega el pedido —un pago urgente, una factura que hay que pagar ahora mismo, una tarjeta que quedó bloqueada. No hay nada sofisticado en esto técnicamente. Es ingeniería social pura, y funciona porque explota la confianza que ya tienes en quien está al otro lado —o crees que está.

Edward Snowden: la filtración de la NSA que redefinió la privacidad

Sun, 21 Jun 2026 05:00:00 -0300

El 21 de junio de 1983 nació en Elizabeth City, Carolina del Norte, el hombre que trece años después pondría la vigilancia masiva de un gobierno en la primera plana de los diarios de todo el mundo. Edward Snowden cumple hoy 43 años, y la filtración que lleva su nombre sigue siendo la referencia obligada cada vez que el tema es vigilancia gubernamental, criptografía y privacidad en internet.

De analista de TI a contratista de la NSA

Snowden no era un hacker ni un agente secreto en el sentido clásico. Pasó brevemente por el ejército estadounidense, trabajó como asistente técnico en la CIA desde 2006 y, en 2009, se convirtió en contratista de Dell, prestando servicios de administración de sistemas para la propia NSA (National Security Agency). En marzo de 2013, por decisión propia, pidió traslado a Booz Allen Hamilton, otra contratista de la agencia, en una instalación en Hawái —según declaró después al South China Morning Post, justamente para tener acceso a más documentos clasificados antes de filtrarlos.

Passkeys: cómo funciona la autenticación sin contraseña de verdad

Wed, 17 Jun 2026 09:00:00 -0300

Las credenciales comprometidas lideran el ranking de vectores de ataque desde hace dos años seguidos, responsables del 22% de las brechas confirmadas, según datos compilados por investigadores de seguridad. No es phishing, no es explotación de una vulnerabilidad zero-day, no es malware sofisticado. Es alguien usando tu usuario y tu contraseña, generalmente comprados en un dump de base de datos de alguna empresa de la que ni te acordabas que tenías cuenta. Las passkeys se crearon para volver ese modelo de ataque estructuralmente irrelevante.

Hardening SSH: 5 configuraciones que cierran el 95% de los vectores

Wed, 03 Jun 2026 10:00:00 -0300

Levanta una instancia nueva en AWS, DigitalOcean o cualquier VPS con el puerto 22 expuesto y abre /var/log/auth.log diez minutos después. Verás algo así:

Jun 3 10:04:17 sshd[12884]: Failed password for invalid user admin from 45.142.212.100 port 41832 ssh2
Jun 3 10:04:19 sshd[12886]: Failed password for invalid user root from 45.142.212.100 port 41834 ssh2
Jun 3 10:04:21 sshd[12889]: Failed password for invalid user ubuntu from 185.234.219.45 port 22018 ssh2

Internet escanea el rango completo de IPs todo el tiempo. Scripts automatizados prueban root, admin, ubuntu, pi, y diccionarios de contraseñas comunes las 24 horas del día. La mayoría de los administradores de servidores ignora ese ruido de fondo, hasta el día en que una contraseña débil cede. Este post cubre los cinco cambios de configuración que reducen radicalmente la superficie de ataque del SSH sin complicar la operación del día a día.

CISA filtra credenciales de AWS GovCloud en GitHub durante 6 meses

Sat, 30 May 2026 09:00:00 -0300

La agencia estadounidense responsable de defender la infraestructura crítica de Estados Unidos contra ataques cibernéticos filtró sus propias credenciales en GitHub — y quedaron accesibles al público durante seis meses. El repositorio fue descubierto el 15 de mayo de 2026 por Guillaume Valadon, investigador de la firma GitGuardian, quien notificó a CISA. La historia llegó al conocimiento público a través de Krebs on Security días después, y generó una reacción inmediata del Congreso estadounidense.

MFA Fatigue: el ataque que hace que tu 2FA trabaje en tu contra

Wed, 27 May 2026 10:00:00 -0300

En abril de 2025, Marks & Spencer, una de las mayores cadenas minoristas del Reino Unido, se quedó con el e-commerce fuera de línea durante cinco días consecutivos. La causa no fue un zero-day sofisticado ni una vulnerabilidad desconocida. El grupo Scattered Spider llamó al centro de atención al cliente de la empresa, se hizo pasar por un empleado, consiguió un restablecimiento de contraseña, y a partir de ahí fue solo cuestión de tiempo. Pérdida estimada por el Cyber Monitoring Centre: entre 270 y 440 millones de libras. Todo empezó con una llamada de teléfono y una notificación de MFA aprobada por error.