Where is cybercrime really coming from? | Caleb Barlow

Translator: Leslie Gauthier Reviewer: Camille Martínez

Traductor: Lidia Cámara de la Fuente Revisor: Sebastian Betti

Cybercrime is out of control.

La ciberdelincuencia está fuera de control.

It's everywhere.

Está en todas partes.

We hear about it every single day.

Oímos hablar de eso a diario.

This year,

Este año,

over two billion records lost or stolen.

más de 2000 millones de registros se perdieron o fueron robados.

And last year, 100 million of us, mostly Americans,

Y el año pasado 100 millones, en su mayoría estadounidenses,

lost our health insurance data to thieves -- myself included.

perdimos, yo incluido, nuestros datos del seguro de salud en manos de ladrones.

What's particularly concerning about this is that in most cases,

Lo que es particularmente preocupante de esto es que, en la mayoría de los casos,

it was months before anyone even reported that these records were stolen.

pasaron meses antes de que alguien informara de estos registros robados.

So if you watch the evening news,

Si ven las noticias de la noche,

you would think that most of this is espionage or nation-state activity.

podrían pensar que la mayor parte es espionaje de Estado.

And, well, some of it is.

Y, así es, en parte.

Espionage, you see, is an accepted international practice.

El espionaje es una práctica internacional aceptada.

But in this case,

Pero en este caso,

it is only a small portion of the problem that we're dealing with.

es solo una pequeña parte del problema que estamos tratando.

How often do we hear about a breach

¿Con qué frecuencia oímos hablar de una vulneración

followed by, "... it was the result of a sophisticated nation-state attack?"

seguido de "...fue debido a un ataque sofisticado al Estado?"

Well, often that is companies not being willing to own up

Pues bien, a menudo, son las empresas las que no están dispuestas a tener

to their own lackluster security practices.

sus propias prácticas de seguridad.

There is also a widely held belief

También hay una creencia muy extendida

that by blaming an attack on a nation-state,

de culpar a un ataque a un Estado-nación,

you are putting regulators at bay --

Uds. lo controlan

at least for a period of time.

al menos durante un período de tiempo.

So where is all of this coming from?

Entonces, ¿de dónde viene todo esto?

The United Nations estimates that 80 percent of it

Naciones Unidas estima que el 80 % de ellos

is from highly organized and ultrasophisticated criminal gangs.

vienen de bandas criminales altamente organizadas y ultrasofisticadas.

To date,

Hasta la fecha,

this represents one of the largest illegal economies in the world,

esto supone una de las mayores economías ilegales en el mundo,

topping out at, now get this,

superando, ahora,

445 billion dollars.

los USD 445 000 millones.

Let me put that in perspective for all of you:

Permítanme poner esto en perspectiva para todos:

445 billion dollars is larger than the GDP

USD 445 000 millones es más que el PIB

of 160 nations,

de 160 naciones,

including Ireland, Finland, Denmark and Portugal,

incluyendo Irlanda, Finlandia, Dinamarca y Portugal,

to name a few.

por mencionar algunas.

So how does this work?

¿Cómo funciona esto?

How do these criminals operate?

¿Cómo funcionan estos criminales?

Well, let me tell you a little story.

Bueno, les contaré una pequeña historia.

About a year ago,

Hace un año,

our security researchers were tracking

nuestros investigadores de seguridad rastreaban

a somewhat ordinary but sophisticated banking Trojan called the Dyre Wolf.

un troyano bancario poco común, pero sofisticado llamado la Dyre Lobo.

The Dyre Wolf would get on your computer

El Dyre Lobo se instalaba en la computadora

via you clicking on a link in a phishing email

haciendo clic en un enlace en un correo electrónico de phishing

that you probably shouldn't have.

que probablemente no deberíamos recibir.

It would then sit and wait.

Este esperaba.

It would wait until you logged into your bank account.

Esperaba hasta que uno entraba en su cuenta bancaria.

And when you did, the bad guys would reach in,

Y al hacerlo, aparecían los malos,

steal your credentials,

robaban sus credenciales,

and then use that to steal your money.

para robar su dinero.

This sounds terrible,

Esto suena terrible,

but the reality is, in the security industry,

pero la realidad es que, en el sector de la seguridad,

this form of attack is somewhat commonplace.

esta forma de ataque es algo común.

However, the Dyre Wolf had two distinctly different personalities --

Sin embargo, el Dyre Lobo tenía dos personalidades muy diferentes:

one for these small transactions,

una para estas pequeñas transacciones,

but it took on an entirely different persona

pero adoptaba otro personaje completamente diferente

if you were in the business of moving large-scale wire transfers.

si estaba en el negocio de transferencias electrónicas a gran escala.

Here's what would happen.

Esto es lo que pasaba.

You start the process of issuing a wire transfer,

Se iniciaba el proceso de emisión de transferencia bancaria,

and up in your browser would pop a screen from your bank,

y en el navegador se abría una pantalla del banco,

indicating that there's a problem with your account,

lo que indicaba que había un problema con su cuenta,

and that you need to call the bank immediately,

y que tenía que llamar al banco de inmediato,

along with the number to the bank's fraud department.

junto con el número del departamento de fraude del banco.

So you pick up the phone and you call.

Así que tomé el teléfono y llamé.

And after going through the normal voice prompts,

Y después de pasar por las instrucciones de voz normales,

you're met with an English-speaking operator.

que da un operador en inglés.

"Hello, Altoro Mutual Bank. How can I help you?"

"Hola, Altoro Mutual Bank. ¿Cómo puedo ayudarle?"

And you go through the process like you do every time you call your bank,

Y uno pasa por ese proceso, cada vez que se llama a su banco,

of giving them your name and your account number,

de dar el nombre y el número de cuenta,

going through the security checks to verify you are who you said you are.

pasando por controles para verificar la identidad de quien llama.

Most of us may not know this,

La mayoría no puede saber esto,

pero en muchas transferencias electrónicas a gran escala,

but in many large-scale wire transfers,

it requires two people to sign off on the wire transfer,

se requieren dos personas para firmar la transferencia bancaria,

so the operator then asks you to get the second person on the line,

por lo que el operador le pregunta para obtener la segunda persona en la línea,

and goes through the same set of verifications and checks.

y pasa por la misma serie de verificaciones y controles.

Sounds normal, right?

Parece normal ¿verdad?

Only one problem:

Solo hay un problema:

you're not talking to the bank.

Ud. no está hablando con el banco.

Está hablando con los criminales.

You're talking to the criminals.

They had built an English-speaking help desk,

Habían construido un servicio de asistencia en inglés,

fake overlays to the banking website.

superposiciones falsas en la página web de la banca.

And this was so flawlessly executed

Y estaba tan impecablemente ejecutado

that they were moving between a half a million

que movían entre medio millón de dólares

and a million and a half dollars per attempt

y un millón y medio por intento

into their criminal coffers.

en sus arcas criminales.

These criminal organizations operate

Estas organizaciones criminales operan

like highly regimented, legitimate businesses.

como empresas altamente legítimas.

Their employees work Monday through Friday.

Sus empleados trabajan de lunes a viernes.

They take the weekends off.

Están libres los fines de semana.

How do we know this?

¿Cómo sabemos esto?

We know this because our security researchers see

Lo sabemos porque nuestros investigadores de seguridad vieron

repeated spikes of malware on a Friday afternoon.

repetidos picos de malware un viernes por la tarde.

The bad guys, after a long weekend with the wife and kids,

Los malos, tras un largo fin de semana con esposas e hijos,

come back in to see how well things went.

volvían a ver lo bien que iban las cosas.

The Dark Web is where they spend their time.

Pasan su tiempo en la web oscura.

That is a term used to describe the anonymous underbelly of the internet,

Es un término usado para describir

la parte más vulnerable en el anonimato de Internet,

where thieves can operate with anonymity

donde los ladrones pueden operar con el anonimato

and without detection.

sin ser detectados.

Here they peddle their attack software

Aquí venden su software de ataque

and share information on new attack techniques.

y comparten información sobre nuevas técnicas de ataque.

You can buy everything there,

Uds. pueden comprar todo,

from a base-level attack to a much more advanced version.

desde un ataque básico, hasta una versión mucho más avanzada.

In fact, in many cases, you even see

De hecho, en muchos casos, incluso se ve

gold, silver and bronze levels of service.

oro, plata y bronce en los niveles de servicio.

You can check references.

Se pueden verificar las referencias,

You can even buy attacks

incluso comprar los ataques

that come with a money-back guarantee --

que vienen con garantía de devolución

(Laughter)

(Risas)

if you're not successful.

si no se tiene éxito.

Now, these environments, these marketplaces --

Estos entornos, estos mercados,

they look like an Amazon or an eBay.

se parecen a Amazon o eBay.

You see products, prices, ratings and reviews.

Uno ve productos, precios, valoraciones y comentarios.

Of course, if you're going to buy an attack,

Por supuesto, si uno va a comprar un ataque,

you're going to buy from a reputable criminal with good ratings, right?

querrá comprar a un criminal de renombre con buenas calificaciones, ¿verdad?

(Laughter)

(Risas)

This isn't any different

Esto no difiere

than checking on Yelp or TripAdvisor before going to a new restaurant.

de ver en Yelp o TripAdvisor antes de ir a un restaurante nuevo.

So, here is an example.

Aquí hay un ejemplo.

This is an actual screenshot of a vendor selling malware.

Es una captura de pantalla real de un proveedor de malware.

Tengan en cuenta que son un proveedor de nivel cuatro,

Notice they're a vendor level four,

they have a trust level of six.

y hay un nivel de confianza de seis.

They've had 400 positive reviews in the last year,

Tienen 400 comentarios positivos en el último año,

and only two negative reviews in the last month.

y solo dos críticas negativas en el último mes.

We even see things like licensing terms.

Incluso vemos cosas como condiciones de la licencia.

Here's an example of a site you can go to

Aquí un ejemplo de un sitio al que pueden ir

if you want to change your identity.

si quieren cambiar su identidad.

They will sell you a fake ID,

Ellos les venden una identificación falsa,

fake passports.

pasaportes falsos.

But note the legally binding terms for purchasing your fake ID.

Pero observen los términos jurídicamente vinculantes

por la compra de su documento de identidad falso.

Give me a break.

Pero en fin...

What are they going to do -- sue you if you violate them?

¿Qué van a hacer? ¿Demandarán si las infringen?

(Laughter)

(Risas)

This occurred a couple of months ago.

Esto ocurrió hace un par de meses.

One of our security researchers was looking

Uno de nuestros investigadores de seguridad buscaba

at a new Android malware application that we had discovered.

una nueva aplicación Android malware que habíamos descubierto.

It was called Bilal Bot.

Se llamaba Bilal Bot.

In a blog post,

En un blog,

she positioned Bilal Bot as a new, inexpensive and beta alternative

se posiciona Bilal Bot como una nueva alternativa, de bajo costo y beta

to the much more advanced GM Bot

a la mucho más avanzada de GM Bot,

that was commonplace in the criminal underground.

un sitio común en el submundo del crimen.

This review did not sit well with the authors of Bilal Bot.

Esta reseña no les sentó bien a los autores de Bilal Bot.

So they wrote her this very email,

Y ellos le escribieron a este mismo correo electrónico,

pleading their case and making the argument

aclarando su caso y argumentando

that they felt she had evaluated an older version.

que creían que ella había evaluado una versión anterior.

They asked her to please update her blog with more accurate information

Le pidieron que, por favor, actualice su blog con información más precisa

and even offered to do an interview

y se ofrecieron a dar una entrevista

to describe to her in detail

para describirle a ella con detalle

how their attack software was now far better than the competition.

cómo su software de ataque era ahora mucho mejor que el de la competencia.

So look,

Así que miren,

you don't have to like what they do,

a Uds. no tiene por qué gustarles lo que hacen,

but you do have to respect the entrepreneurial nature

pero tienen que respetar la naturaleza emprendedora

of their endeavors.

de sus esfuerzos.

(Laughter)

(Risas)

So how are we going to stop this?

Entonces, ¿cómo vamos a parar esto?

It's not like we're going to be able to identify who's responsible --

No se trata de cómo identificar quién es el responsable,

remember, they operate with anonymity

recuerden, ellos operan en el anonimato

and outside the reach of the law.

y fuera del alcance de la ley.

We're certainly not going to be able to prosecute the offenders.

Desde luego que no podremos procesar a los delincuentes.

I would propose that we need a completely new approach.

Yo propondría que necesitamos un enfoque completamente nuevo.

And that approach needs to be centered on the idea

Y que el enfoque tiene que estar centrado en la idea

that we need to change the economics for the bad guys.

de que hay que cambiar la economía de los malos.

And to give you a perspective on how this can work,

Y para darle una perspectiva sobre cómo puede funcionar esto,

let's think of the response we see to a healthcare pandemic:

pensemos en la respuesta que vemos a una pandemia de cuidado de la salud:

SARS, Ebola, bird flu, Zika.

SARS, el ébola, la gripe aviar, el zika.

What is the top priority?

¿Cuál es la prioridad?

It's knowing who is infected and how the disease is spreading.

Es saber quién está infectado y cómo se propaga la enfermedad.

Now, governments, private institutions, hospitals, physicians --

Los gobiernos, las instituciones privadas, hospitales, médicos,

everyone responds openly and quickly.

todo el mundo responde de manera abierta y rápidamente.

This is a collective and altruistic effort

Este es un esfuerzo colectivo y altruista

to stop the spread in its tracks

para detener la propagación

and to inform anyone not infected

e informar a cualquier persona no infectada

how to protect or inoculate themselves.

cómo protegerse o vacunarse.

Unfortunately, this is not at all what we see in response to a cyber attack.

Por desgracia, esto no es en absoluto

lo que se ve en respuesta a un ataque cibernético.

Organizations are far more likely to keep information on that attack

Las organizaciones son mucho más propensas

a mantener la información de ese ataque para sí.

to themselves.

Why?

¿Por qué?

Because they're worried about competitive advantage,

Porque están preocupados por la ventaja competitiva,

litigation

el litigio

or regulation.

o la regulación.

We need to effectively democratize threat intelligence data.

Tenemos que democratizar efectivamente los datos de análisis de riesgos.

We need to get all of these organizations to open up and share

Hay que conseguir que todas estas organizaciones se abran y compartan

what is in their private arsenal of information.

lo que está en su arsenal de información privado.

The bad guys are moving fast;

Los malos se mueven rápidamente;

we've got to move faster.

tenemos que avanzar más rápido.

And the best way to do that is to open up

Y la mejor manera de hacerlo es abrir

and share data on what's happening.

y compartir datos sobre lo que está sucediendo.

Let's think about this in the construct of security professionals.

Pensemos esto en la construcción de profesionales de seguridad.

Remember, they're programmed right into their DNA to keep secrets.

Recuerden, ellos están programados hasta en su ADN para mantener secretos.

We've got to turn that thinking on its head.

Tenemos que convertir ese pensamiento en su cabeza.

We've got to get governments, private institutions

Tenemos que conseguir que los gobiernos, las instituciones privadas

and security companies

y las empresas de seguridad

willing to share information at speed.

estén dispuestas a compartir información de manera rápida.

And here's why:

Y he aquí por qué:

because if you share the information,

porque compartir la información,

it's equivalent to inoculation.

es el equivalente a la inoculación.

And if you're not sharing,

Y si no comparte,

you're actually part of the problem,

uno es en realidad parte del problema,

because you're increasing the odds that other people could be impacted

porque aumenta la probabilidad de que otras personas se vean afectadas

by the same attack techniques.

por las mismas técnicas de ataque.

But there's an even bigger benefit.

Pero hay un beneficio aún mayor.

By destroying criminals' devices closer to real time,

Al destruir los dispositivos de los delincuentes casi en tiempo real,

we break their plans.

rompemos sus planes.

We inform the people they aim to hurt

Informamos a las personas que tienen como objetivo hacer daño

far sooner than they had ever anticipated.

mucho antes de lo que podrían prever nunca.

We ruin their reputations,

Arruinamos su reputación,

we crush their ratings and reviews.

aplastamos sus calificaciones y comentarios.

We make cybercrime not pay.

Hacemos al ciberdelito no rentable.

We change the economics for the bad guys.

Cambiamos la economía de los malos.

But to do this, a first mover was required --

Pero, para ello se requiere un primer motor,

someone to change the thinking in the security industry overall.

que alguien cambie la forma de pensar en la industria de la seguridad global.

About a year ago,

Hace un año,

my colleagues and I had a radical idea.

mis colegas y yo tuvimos una idea radical.

What if IBM were to take our data --

¿Y si IBM tomara nuestros datos,

we had one of the largest threat intelligence databases in the world --

- tenemos una de las mayores amenazas a bases de datos de inteligencia del mundo -

and open it up?

y los abriera?

It had information not just on what had happened in the past,

Había información no solo sobre lo que había sucedido en el pasado,

but what was happening in near-real time.

sino lo que estaba ocurriendo en tiempo casi real.

What if we were to publish it all openly on the internet?

¿Qué pasaría si tuviéramos que publicar todo abiertamente en Internet?

Como se pueden imaginar, esto supone una gran reacción.

As you can imagine, this got quite a reaction.

First came the lawyers:

Primero llegaron los abogados:

What are the legal implications of doing that?

¿Cuáles son las consecuencias legales de hacer eso?

Luego vinieron los empresarios:

Then came the business:

What are the business implications of doing that?

¿Cuáles son las consecuencias para el negocio de hacer eso?

And this was also met with a good dose

Y esto también se topó con una buena dosis

of a lot of people just asking if we were completely crazy.

de mucha gente que preguntaba si estábamos completamente locos.

But there was one conversation that kept floating to the surface

Pero hubo una conversación que estuvo flotando en la superficie

in every dialogue that we would have:

en cada diálogo que teníamos:

the realization that if we didn't do this,

la constatación de que si no hacemos esto,

then we were part of the problem.

después serían parte del problema.

So we did something unheard of in the security industry.

Así que hicimos algo inédito en la industria de la seguridad.

We started publishing.

Empezamos a publicar

Over 700 terabytes of actionable threat intelligence data,

más de 700 terabytes de datos de análisis de riesgos accesibles,

including information on real-time attacks

incluyendo información sobre los ataques en tiempo real

that can be used to stop cybercrime in its tracks.

que se puede usar para detener el delito cibernético.

And to date,

Y hasta la fecha,

over 4,000 organizations are leveraging this data,

más de 4000 organizaciones se están beneficiando de estos datos,

including half of the Fortune 100.

incluyendo la mitad de las empresas Fortune 100.

And our hope as a next step is to get all of those organizations

Y nuestra esperanza en un siguiente paso es conseguir que todas esas organizaciones

to join us in the fight,

se unan a nosotros en la lucha,

and do the same thing

y hagan lo mismo

and share their information

y compartan su información

on when and how they're being attacked as well.

sobre cuándo y cómo están siendo atacados.

We all have the opportunity to stop it,

Todos tenemos la oportunidad de detenerlo,

and we already all know how.

y ya todos sabemos cómo.

All we have to do is look to the response that we see

Todo lo que hay que hacer es observar la respuesta que vemos

in the world of health care,

en el mundo de la salud,

and how they respond to a pandemic.

y cómo se responde a una pandemia.

Simply put,

Simplemente

we need to be open and collaborative.

tenemos que ser abiertos y colaborativos.

Thank you.

Gracias.

(Applause)

(Aplausos)