How Clicking a Single Link Can Cost Millions | Ryan Pullen | TED

Traductor: Raúl Higareda Revisor: Sebastian Betti

I received a phone call from somebody who needed my help.

Recibí una llamada de alguien que necesitaba mi ayuda.

And they explained to me

Me explicó que una organización había sufrido un ciberataque,

that this organization had suffered a cyberattack,

more specifically a ransomware attack,

más específicamente, un ataque de ransomware,

which is designed

el cual tiene como objetivo

to both steal your data and make it unusable.

robar sus datos y volverlos inutilizables.

It replicates itself throughout the business

Es capaz de esparcirse por toda la empresa

and can drive you down to paper-based controls.

y puede obligarnos a utilizar procedimientos en papel.

And this was an opportunity that I saw

Vi este reto como una oportunidad para traer un cambio positivo.

where I could influence something positively.

And it was my job to investigate what had happened,

Me correspondía investigar qué había ocurrido,

how it happened and why.

de qué manera y por qué.

And I saw something that I hadn't experienced before firsthand.

Y fui testigo de algo que no había experimentado antes.

In 2017, the NHS suffered something similar,

En 2017, el Servicio Nacional de Salud experimentó un problema similar

and it cost nearly 100 million pounds to recover.

que terminó costándole casi GBP 100 millones.

This incident cost around five million pounds to recover

Este incidente implicó un gasto de casi GBP 5 millones en 14 meses.

and took 14 months.

Yet what I saw was the human impact.

Pero a mí me llamó la atención el impacto humano.

How this happened?

Una persona abrió un enlace,

A single individual clicked a link,

and a single individual enabled this, unknowingly,

y, sin saberlo, terminó afectando a toda una organización.

to happen to an organization.

Multiple people were signed off sick due to stress,

Se reportaron varias bajas laborales a causa del estrés,

and multiple people were unable to go to work the next day

y varias personas no pudieron presentarse el siguiente día

and carry out their job.

para desempeñar su labor.

Now, for me,

A mi parecer, la ciberseguridad

cybersecurity is a very technological-focused term.

es un término muy centrado en la tecnología.

And yet IBM did a study in 2021.

Sin embargo, IBM hizo un estudio en el año 2021,

and 95 percent of cyberattacks

y se descubrió que en el 95 % de los ciberataques

used a human element.

se recurrió a un elemento humano.

Now that's all well and good,

Ahora bien, suena muy interesante, pero ¿qué quiere decir todo esto?

but what does that actually mean?

It means people can be exploited, too.

Significa que las personas también pueden ser explotadas.

There’s no lines of code, and there’s no fancy software.

No hay líneas de código ni software sofisticado de por medio.

Cybersecurity is, as far as the media is concerned,

La ciberseguridad solo contempla, de acuerdo con los medios de comunicación,

maybe teenagers in their bedrooms causing trouble,

a algunos adolescentes que causan problemas

stealing things and learning how to use them.

y que se dedican a robar cosas que no saben utilizar.

Yet what people don't see is the impact and how his day-to-day life.

Pero la gente desconoce su impacto y su alta frecuencia.

And this incident for me,

Este incidente cambió mi forma de ver la ciberseguridad.

made me think slightly differently around cybersecurity.

And recently I had an opportunity

Y recientemente tuve una experiencia

which presented this thought process.

que suscitó este proceso mental.

I was commissioned to evade security controls

Me contrataron para eludir los controles de seguridad

for a very well-known building in London.

de un edificio muy conocido en Londres.

That’s a snazzy way of saying “break in.”

Básicamente, me pidieron que entrara de manera ilegal.

And effectively, it was my job to see if I could get past the security controls

En efecto, mi trabajo consistía en ver si podía eludir los controles de seguridad

and get into the building.

para entrar al edificio.

And so for me, thinking kind of outside of the box,

Así que lo analicé desde una perspectiva no convencional.

this building has floor to ceiling doors,

Había puertas del suelo al techo, vigilancia en todo momento,

24/7 security team,

endless budget for this kind of thing based on where they are.

y un presupuesto ilimitado para estas medidas, dada su ubicación.

And so, thinking slightly outside,

Así que, tras analizarlo un poco,

I needed to come up with a different plan.

decidí idear un plan diferente.

And ...

Y...

What I did was I tried to go down the social engineering route,

recurrí a la estrategia de la ingeniería social,

which is the art of kind of deception

que consiste en el arte de engañar

and making people believe something without the full information.

y hacer que la gente crea algo sin contar con toda la información.

And what I did was I walked in the front door,

Lo que hice fue entrar por la puerta principal,

dressed quite similarly to this,

con una vestimenta muy parecida a la de hoy,

and I was greeted by eight people

y me recibieron ocho personas.

and I thought, oh, that's a bit over the top.

Pensé: “Es un poco exagerado”.

And it's because every single person should have the right information

Pero esto se debe a que cada persona

debe tener la información correcta y saber adónde van.

and should know where they're going,

It’s very rare for them to be visitors.

No es habitual que haya visitantes.

And this person asked me,

Entonces una persona me preguntó: “¿Por qué está aquí? ¿A quién busca?“.

"Why are you here? Who are you here to see?"

And I explained, I didn't have an appointment,

Expliqué que no tenía una cita,

but I was here to see a specific person.

pero que quería ver a una persona específica.

And they said, "Yeah, there's no chance you're getting in."

Y me respondieron que no podía entrar.

And I thought, oh goodness, I traveled all this way.

Y pensé: “Cielos, viajé de muy lejos”.

And yet what I know is people are empathetic,

Pero sabía que las personas son empáticas y que quieren ayudarse entre sí.

and people want to help each other, right?

And so I made up a story and I said I was here for a legal matter,

Así que inventé que estaba ahí por un asunto legal,

and I was only able to achieve what I needed to achieve

y que debía estar en las instalaciones para solucionar mi problema.

on these premises.

And they said, "Yeah, sorry, we're still ..."

Y dijeron: “Lo sentimos, aun así...“.

And I explained the urgency, and I made them feel sorry for me.

Después les expliqué la urgencia e hice que sintieran lástima por mí.

And what I was thinking about giving this talk,

Cuando preparaba esta charla, pensaba hacer pausas

I was going to pause and I was going to pretend that I was struggling.

y fingir que estaba teniendo dificultades.

And that emotion that you would have felt

La emoción que habrían sentido, al quererme ayudar

where you wanted to help me

or you wanted me to continue, is exactly how this person felt.

o al desear que continuara, fue lo que sintió esa persona.

They felt they were stopping me from doing my job, which they were,

Sintió que me impedía hacer mi trabajo, y tenía razón,

but not for how they expected it.

pero no de la forma que pensaba.

And then I pretended to be on the phone in the foyer, pacing up and down,

Fingí que hablaba por teléfono en el vestíbulo.

Caminaba y aparentaba estar irritado.

pretending to be aggravated.

And then the manager came across with a QR code for me and said,

Finalmente, el gerente se acercó con un código QR y dijo:

“Una disculpa por las inconveniencias, no hay problema”.

"So sorry for the issues, no problem."

And they showed me around a side passage away from the two rounds of security.

Y me llevaron a una entrada lateral alejada de las dos rondas de vigilancia.

So I had my laptop bag with me with “the evidence,”

Llevaba la bolsa de mi computadora portátil

con “las pruebas”.

Me dejaron entrar pese a que no estaba registrada,

and it wasn’t checked and I was able to go in,

and I was able to go to the floor that I needed to.

y pude subir al piso al que necesitaba ir.

And I was paid as a cybersecurity expert to evade the controls of this building.

Requerían de mis servicios como experto en ciberseguridad

para evadir los controles de seguridad,

And all I did was ask for access and make someone feel sorry for me.

y solo tuve que pedir acceso y hacer que sintieran lástima por mí.

And so that's two very different perspectives.

Son dos perspectivas muy diferentes.

En el primer caso, ayudé a la empresa que perdió GBP 5 millones,

One, the five-million-pound job and took 14 months to recover

where I was helping people,

but the second, I was the aggressor

pero en el segundo, yo era el perpetrador que intentaba entrar al lugar.

or the person trying to get in.

Now this is all enabled through the way that humans exist

Ahora bien, todo esto se puede lograr

sobre la base del comportamiento humano.

and human behavior.

And cybersecurity as a whole doesn't really represent that

Y, realmente, la ciberseguridad no aborda esta parte de una manera eficaz.

in a way that is sufficient, I don't think.

And so I have one more narrative and different perspective to share.

Quiero compartirles una última historia y una perspectiva diferente.

And it's when I was a victim.

En esta ocasión, yo fui la víctima.

This happened only a few weeks ago.

Esto ocurrió hace solo algunas semanas.

And what happened was I received a phone call.

Recibí una llamada telefónica.

It was around 8pm.

Recibí la llamada alrededor de las 20 hs.

I received a phone call from a phone number.

And they said, "Hello, is this Mr. Pullen?"

La persona dijo: “Hola, ¿hablo con el Sr. Pullen?“.

And I said yes.

Respondí que así era.

And they said, "We've seen your bank cards be used

Y dijo: “Detectamos que utilizaron sus tarjetas bancarias

in a different part of the country."

en otra parte del país”.

And I thought, oh goodness.

Pensé: “No puede ser”.

And what they explained was,

Me explicó que hubo tres transacciones diferentes,

they explained there's been three different transactions

y que podía bloquearlas por mí.

and would I like them to block them for me?

Y respondí: “Sí, por favor. Sería de mucha ayuda”.

I said, "Yes please.

That would be really helpful."

And I Googled the number out of instinct,

Instintivamente busqué el número en Google,

and it was the phone number from the fraud line in the bank.

y, al parecer, era la línea antifraude del banco.

And something didn't add up.

Pero algo no cuadraba.

And I'm a bit of a pessimist.

La verdad es que soy un poco pesimista. No suelo confiar en la gente.

I don't really trust people.

And so I was instantly on the back foot,

De inmediato empecé a sospechar.

and they're saying all of these things,

Entretanto, la persona confirmó mi identidad,

they were confirming my identity.

me dijo dónde vivía, el apellido de soltera de mi madre,

They told me where I lived, my mother's maiden name,

y otros datos que el banco conocería.

and they told me a few other bits of information the bank would know.

And all of this is to build a perception of credibility.

Hizo todo esto para crear una percepción de credibilidad.

Why shouldn't I trust you?

“¿Por qué habría de desconfiar? Es lógico que me hablen para ayudarme”.

And why shouldn't you be phoning me to help me?

And we go back and forth for around an hour and a half,

Conversamos durante una hora y media, aproximadamente,

and there was a few things that didn't sit right with me.

pero había algunas cosas que no me sentaban bien.

And so when I was on hold, when they were blocking my transactions,

Así que cuando estaba en espera, mientras “bloqueaban mis transacciones”,

I phoned the actual fraud line and I said,

llamé a la verdadera línea antifraude y dije:

is there a way that I can verify their identity?

“¿Cómo puedo verificar su identidad?“.

Y me respondió: “Parece una persona profesional y legítima”.

The person on the phone said, "They sound very professional and legitimate"

and they were.

Y era verdad. Contaba con un perfil falso de LinkedIn

I asked for their name, and they had a fake LinkedIn profile.

y tenía un número de referencia de denuncia falso.

They had a fake crime reference number for me.

And ...

Y...

Me experiencing this firsthand,

al experimentar esto de primera mano,

having investigated things like this on a regular basis for mortgages

y tras haber investigado este tipo de problemas con regularidad,

and transactions ending up in the wrong place,

como cuestiones hipotecarias y transacciones equivocadas,

I knew something wasn’t sitting quite right,

sabía que algo no estaba bien.

and the true person put a note on my account

El verdadero empleado del banco escribió una nota en mi cuenta

and I explained to the person,

y le pregunté a la otra persona si podía leerme el mensaje.

"Can you tell me what the note says, please?"

And that was the first time they got a little bit flustered.

Y con eso conseguí que se preocupara.

And it took them five minutes and they said,

Me dijo: “Lo comprobaremos con el equipo de cuentas”.

"We'll go and check with accounts team.

“Mientras tanto, ¿puede decirme el código que aparece en su aplicación móvil?“.

But in the meantime, can you tell me the code that it says in your mobile app?"

En ese momento colgué, cambié mis tarjetas y no tuve problemas.

At which point I hung up, got my cards replaced, and I was OK.

But these three narratives

Ahora bien, estas tres historias

of cybercrime or scams or criminal behavior

sobre la ciberdelincuencia, las estafas o el comportamiento delictivo

are all technology-focused with the end goal

están centradas en la tecnología, pero dependieron de un factor humano.

but are human-led.

And you may ask, "How is this possible?"

Y quizá se pregunten:

“¿Cómo es posible? ¿Por qué es tan sencillo?“.

"Why can this be so easy?"

I've literally just walked into a building

Yo solo tuve que ir a un edificio

and asked someone to let me in with a fake story.

y pedirle a alguien que me dejara entrar por medio de una historia falsa.

And someone's phoned me up with a small piece of information

Y otra persona me llamó por teléfono, y con tan solo unos datos,

and built this incredible picture around, OK, yes, I should trust you.

creó una historia convincente y logro que confiara en ella.

And it's because data has a value in different pockets,

Esto se debe a que los datos son valiosos en distintos ámbitos,

and with small bits of information you can build quite a narrative,

y con tan solo un poco de información

es posible crear una historia convincente, como pudieron ver.

as you can see.

And so today,

Hoy en día es posible, en el ámbito delictivo,

what you would be able to do

on the kind of criminal underground, if you like,

comprar 1000 direcciones de correo electrónico y contraseñas

would be buy 1,000 email addresses and passwords

for around six US dollars

por unos USD 6.

a cup of coffee in some places, right?

Eso cuesta una taza de café, ¿no?

That's 1,000 people's account details that you may be able to log into

Podríamos iniciar sesión en las cuentas de 1000 personas

or have tangible information to create a case,

o crear una historia falsa con la información disponible,

and that might be pretending to be Amazon for a password reset.

como fingir ser un empleado de Amazon para restablecer la contraseña.

It might be what location you went on holiday,

Podríamos saber el lugar al que fueron de vacaciones

and we're going to do a bit more of a targeted attack that way.

y llevar a cabo un ataque más dirigido.

And this information is available

Esta información se obtiene

because of vulnerabilities from a technical standpoint.

por medio de vulnerabilidades desde un punto de vista técnico,

Yet this is to exploit human behaviors.

pero se usa para explotar los comportamientos humanos.

Take my parents, for example.

Suele suceder con mis padres.

Quizá me dedico a este campo porque ellos me dejan ver las dos caras.

I think I’m in cybersecurity because my parents give me a balance.

My mom is 100 percent, 110 percent optimist.

Mi madre es completamente optimista. Cree que nada va a salir mal.

Nothing's going to go wrong, everything's OK,

Piensa que nadie le hará daño a su hijo y toda esa clase de cosas.

no one's going to hurt my little boy and all of this sort of stuff.

And my dad's much more on the pessimistic end where,

Pero mi padre, al ser más pesimista, suele preguntar cosas como:

“Why do you want to know me?

“¿Por qué quieres conocerme? ¿Por qué quieres esta información?“.

Why do you want this information?”

And so that balance for me brings kind of both sides of the story.

En cierto modo, ese equilibrio

representa las dos caras de este fenómeno.

And my mom is the sort of person that would have shared

Mi madre es el tipo de persona que compartiría

the traditional WhatsApp messages,

los mensajes de WhatsApp que prometen dinero en Navidad,

250 pounds at Christmas and oh, how lovely that would be,

aquellos que aseguran cubrir los gastos de la comida para Navidad.

pay for your Christmas lunch and all those sorts of things.

And that then becomes a whole different attack vector,

Y eso da lugar a un vector de ataque completamente diferente

because it's coming from someone you trust,

porque el enlace lo comparte alguien en quien confiamos,

and they're sharing you a link

y quizá estemos tentados en abrir el enlace.

and they're sharing something you might want to click,

and you begin to trust it even more.

Eso causa que desconfiemos menos.

And so my talk is around really focusing on the ways

Por eso, el objetivo de mi charla es abordar las diferentes formas

in which human behavior is exploited

en las que se explota el comportamiento humano

and how we can benefit and protect each other.

y compartir cómo podemos beneficiarnos y protegernos.

And it's OK to call these things out.

Es normal condenar estas acciones.

And so there's some basic things you can do,

Pueden empezar con algunas medidas básicas,

such as resetting passwords

como restablecer contraseñas y evitar usar una misma para todas las cuentas.

and making sure you're not using the same password for all your accounts.

Because if one of your passwords did get leaked,

Porque si una contraseña se llegase a filtrar,

you would like to know, OK, it's just this one account,

sabrán cuál cuenta será la que tendrán que atender.

and I understand that's the one I need to look after.

Cuando la gente comparte sus datos de Facebook,

When many people will use the same profile for Facebook,

their bank -- their online banking, sorry,

de sus operaciones bancarias en línea

and sites that you can purchase things.

y de sitios para compras en línea...

So you might be able to go on Amazon

Digamos que compraron algo de Amazon

and buy an iPhone with someone's username and password, right?

con la información de usuario de alguien más.

Los datos de la cuenta bancaria se almacenan.

Bank account details are stored.

And that creates a whole different perspective of risk and cybercrime.

Y eso crea toda una nueva perspectiva de riesgo y ciberdelincuencia.

And so for me,

Por eso no creo que ninguna generación

I don't believe any generation can avoid this anymore.

pueda evitar estos problemas.

Children are being raised with iPads,

Los niños usan iPads desde muy temprana edad,

and older generations are online shopping

y las generaciones mayores compran en línea

because of convenience and accessibility to services they may not have had before.

por la conveniencia y accesibilidad de servicios que quizá no tenían antes.

And so I believe that understanding how these things may happen

A mi parecer, entender cómo suceden estas cosas,

and putting some light on them

así como darlas a conocer,

can really impact the way in which people conduct themselves

puede influir en la forma de actuar y cuestionar de las personas

and challenge when things may not feel quite right.

cuando algo no sienta del todo bien.

And so for me,

Gracias a mis experiencias y a las tres diferentes perspectivas...

going through this journey and those three different perspectives,

the one where I was the person helping, five million pounds,

Cuando ayudé con la situación de los GBP 5 millones

and seeing people really suffer.

y atestigüé cómo la gente sufría de verdad.

The second one where I was putting people potentially in that position,

La segunda, cuando posiblemente puse a las personas en esa posición,

however fully ethically, and I was meant to be there for my job.

sin importar que se realizó desde una perspectiva más ética.

And the third where I was the victim,

Y la tercera, cuando fui la víctima.

it shows that it can take many different shapes based on information.

Todo demuestra que la información puede utilizarse para diferentes fines.

And information can come from social media.

Y la información puede provenir de las redes sociales.

And so if you're going on holiday to Mexico,

Digamos que viajan a México para festejar su luna de miel.

say, for your honeymoon,

you've saved up all of this money.

Ahorraron mucho dinero...

Wonderful, have a lovely time.

Está bien, quieren pasar un buen rato.

Yet someone you know or an acquaintance

Pero surge una persona cercana o un conocido,

or you have public visibility of your arrangements.

o quizá Uds. hayan compartido sus planes de manera pública...

If someone knows that information

Si alguien conoce esa información, y sabe en cuál banco abrieron su cuenta,

and they know the bank you may work with,

they could phone you whilst you land and say,

podría llamarlos por teléfono mientras aterrizan y decirles:

"We've seen your card be used in this location."

“Nos percatamos de que han usado su tarjeta en otro sitio”.

Now, how are you going to feel

¿Cómo se sentirían si les dicen esto, pero saben que fueron Uds.?

if someone's saying your card is being used and it's you?

Probablemente digan: “Sí, fui yo. No hay problema”.

You're going to feel OK, cool, yeah, this is me, no problem.

And they say, "OK, can you just confirm your identity?

Después les dirán: “¿Puede confirmar su identidad?”

Because we want to make sure this is you.

“Queremos estar completamente seguros“.

Can you just tell me your card number?"

“¿Podría decirme el número de su tarjeta?”.

So you do, and then you're asked why you're there.

Luego les preguntarán por qué están ahí.

"I'm on my honeymoon."

“Estoy de luna de miel”.

"Have a lovely time."

“Felicidades”.

All of these social engineering, empathetic side of behaviors.

Surge la ingeniería social y el lado empático del comportamiento.

And then you get down into the more conversational elements.

Después empiezan a entablar una conversación.

"OK, can you just confirm your card isn't going to expire?

“¿Puede confirmar que su tarjeta no caducará?“.

“Dígame cuándo caduca”.

When does it expire, please?"

There's many different ways you can pose questions to make people feel acceptance.

Con preguntas como estas las personas tienden a sentirse aceptadas.

And then lastly, "Can you just check the security pin

Por último, dirán: “¿Puede comprobar el PIN de seguridad

so I know which card I'm going to disable?"

para saber cuál tarjeta voy a desactivar?“.

And by that time what you've done is

Para entonces, le habrán dicho a alguien que tienen dinero en el banco

you've told someone you've got money in your bank

porque han estado ahorrando para esta ocasión.

because you've been saving for this wonderful occasion,

Y no estarán en su país para hacer algo al respecto.

and also you're not going to be in the country to do anything about it.

And so from a cybersecurity perspective,

La ciberseguridad nos demuestra

exploitation can happen in many different ways,

que la explotación surge de diferentes formas,

pero no se suele enfatizar el factor humano.

and I don't think it's publicized around the human elements enough.

And so if you take one thing from today,

Por lo menos espero que esta charla

I ask that you see this as your opportunity

les haya ayudado a encontrar la motivación

to make sure that you protect your own information and your loved ones

para proteger su información, la de sus seres queridos

and your identity online.

y su identidad en Internet.

There's no problem with using social media.

Pueden seguir usando las redes sociales.

All I ask is you consider who you're sharing that information with.

Solo les pido que tengan presente con quién comparten su información.

The reason being that information is valuable, even if it's not to you.

Porque la información es valiosa, incluso si no lo es para Uds.

It could build a picture,

Posibilita la creación de ideas, y puede causarles algunos problemas.

and it could cause you some trouble.

Consider who you share your information with.

Reflexionen con quién comparten su información.

Thank you.

Gracias.

(Applause)

(Aplausos)