Avances en las capacidades del modelo de IA, como los que se encuentran en Anthropic Mitosestán generando preocupación por parte de las agencias policiales sobre lo que los adversarios podrían ser capaces de hacer con las tecnologías emergentes, dijo el martes un funcionario del FBI.
La administración Trump controles de exportación impuestos sobre el modelo Mythos 5 en junio, poco después de su lanzamiento, citando implicaciones para la seguridad nacional. en un blog Al realizar una vista previa de las capacidades del modelo, Anthropic dijo que Mythos 5 podría identificar y explotar errores que no se conocían anteriormente «en todos los sistemas operativos principales». Durante las últimas semanas, el se levantaron las prohibiciones después de que el fabricante de modelos trabajara con el gobierno y otros socios para revisar las barandillas.
Si bien se agregaron nuevas salvaguardias, la cautela derivada del aumento de capacidades todavía está presente.
«Mythos encontró vulnerabilidades en algunos de los códigos de fuente abierta que son tan ubicuos; se encuentran en la gran mayoría de nuestro código más fundamental para cosas como sistemas operativos, seguridad, infraestructura web, cifrado», dijo Todd Hemmen, subdirector adjunto del FBI, durante una conferencia. Instituto de Gobierno Digital evento. «Presenta desafíos futuros para la aplicación de la ley».
El FBI es la agencia federal líder en la investigación de ciberataques e intrusiones, lo que la sitúa a la vanguardia de un panorama en constante cambio.
“Ver el potencial para exponer vulnerabilidades… y comprender que el futuro tiene potencial para un aumento en ese tipo de casos y explotaciones por parte de nuestros adversarios es algo más nuevo”, dijo Hemmen. «Aunque no hemos visto esto operativo a escala, la expectativa es que habrá una fecha futura en la que esto sucederá».
Cuando cualquiera puede acceder a herramientas con amplias implicaciones de seguridad, la lista de sospechosos crece y las investigaciones se vuelven más complejas. Si bien Mythos 5 solo está disponible para un grupo selecto aprobado por el gobierno de EE. UU., un modelo construido por Anthropic con la misma tecnología subyacente está disponible a nivel mundial. El proveedor de IA también descubrió que los modelos «menos capaces» podían identificar vulnerabilidades y explotarlas de la misma manera.
«La IA nos presentará desafíos importantes en el futuro», dijo Hemmen.
Uso interno de IA
A medida que los avances de la IA están cambiando el panorama de aplicación de la ley para el FBI, la tecnología también está alterando la forma en que opera internamente la unidad del Departamento de Justicia.
«Como empresa, estamos aprovechando la IA para la tecnología de reconocimiento facial», afirmó Hemmen.
En el último inventario de casos de uso de IA de la agencia que se publicó a principios de este año, el FBI identificó un puñado de nuevos proyectos destinados a generar pistas de investigación utilizando coincidencias faciales y otros datos. Los casos de uso se caracterizan por ser de alto impacto, lo que significa que podrían servir como base principal para decisiones o acciones que tengan un efecto legal, material, vinculante o significativo sobre los derechos o la seguridad.
A pesar de la fecha límite del 3 de abril establecida por la Oficina de Administración y Presupuesto, el FBI no ha completado sus requisitos de gestión de riesgos para ninguno de sus casos de uso de alto impacto, según el inventario.
En general, la división del Departamento de Justicia tiene alrededor de 50 casos de uso de IA. El personal del FBI está aprovechando la tecnología para ayudar a examinar informes públicos de acusaciones criminales, mejorar las operaciones ofensivas autorizadas por el tribunal y como parte de una investigación general, entre otros casos de uso.
«Estamos utilizando IA para ayudar a clasificar esas cosas y con un humano al tanto para revisar todo lo que se está haciendo», dijo Hemmen.
Las autoridades finlandesas han emitido una orden de busca y captura contra el pirata informático Aleksanteri Kivimäki, condenado por el ciberataque contra la empresa de psicoterapia Vastaamo y la posterior extorsión a decenas de miles de pacientes. La decisión llega después de que el Tribunal Supremo de Finlandia rechazara admitir el recurso presentado por el ciberdelincuente, dejando firme su condena.
El Tribunal de Apelación de Helsinki había condenado el pasado mes de febrero a Kivimäki a seis años y tres meses de prisión por acceso ilícito agravado a sistemas informáticos, extorsión e infracciones graves contra la intimidad, una sentencia que ahora adquiere firmeza tras el rechazo del Supremo a revisar el caso.
Los hechos se remontan a 2018, cuando los sistemas de la empresa de psicoterapia Vastaamo fueron comprometidos. El actor de amenazas consiguió acceder a la información personal y médica de alrededor de 33.000 pacientes, aunque la brecha no trascendió públicamente hasta varios años después.
La información robada incluía datos especialmente sensibles, como números de identidad, direcciones de correo electrónico, teléfonos, historiales médicos y notas tomadas por los terapeutas durante las sesiones con sus pacientes.
Tras obtener la información, el atacante intentó extorsionar inicialmente a la propia clínica exigiendo el pago de unos 380.000 dólares en bitcoins para evitar la publicación de los datos. Al no obtener el dinero, cambió de estrategia y comenzó a enviar correos electrónicos directamente a las víctimas.
Miles de pacientes recibieron amenazas en las que se les exigía entre 200 y 500 euros a cambio de no divulgar sus expedientes clínicos. Quienes no accedieron al chantaje vieron cómo parte de su información acabó publicada en Internet.
Entre los afectados había menores de edad y personas que acudían a terapia por abusos, depresión, trastornos psicológicos o experiencias traumáticas. La filtración provocó una enorme conmoción en Finlandia y algunas víctimas llegaron incluso a quitarse la vida tras la difusión de sus historiales.
Más de 24.000 personas presentaron denuncias ante la policía, convirtiendo el procedimiento en uno de los mayores procesos penales por ciberdelincuencia de la historia del país.
Siempre negó los hechos
Durante el proceso judicial, Kivimäki negó de forma reiterada cualquier implicación en el ataque. El acusado sostuvo que las pruebas digitales presentadas por la Fiscalía eran circunstanciales y cuestionó tanto el análisis de los servidores utilizados como el rastreo de las transacciones en criptomonedas supuestamente relacionadas con la extorsión.
No obstante, los tribunales consideraron acreditada su responsabilidad y destacaron la especial gravedad del caso por el enorme número de víctimas, la naturaleza extremadamente sensible de la información sustraída y el sufrimiento causado a personas especialmente vulnerables.
Aunque el tribunal señaló que los hechos habrían justificado incluso la pena máxima prevista por la legislación finlandesa, la condena fue ligeramente reducida debido a que el acusado alcanzó acuerdos de indemnización con parte de las víctimas.
Kivimäki permanecía en libertad desde septiembre, cuando el Tribunal de Apelación de Helsinki acordó excarcelarlo al considerar que la prolongada prisión preventiva que acumulaba hacía innecesario mantenerlo encarcelado mientras se resolvían los recursos.
Las autoridades finlandesas han emitido una orden de busca y captura contra el pirata informático Aleksanteri Kivimäki, condenado por el ciberataque contra la empresa de psicoterapia Vastaamo y la posterior extorsión a decenas de miles de pacientes. La decisión llega después de que el Tribunal Supremo de Finlandia rechazara admitir el recurso presentado por el ciberdelincuente, dejando firme su condena.
La orden ha sido emitida por la Policía de Uusimaa Oriental a petición de la Agencia de Sanciones Penales, que pretende localizar al hacker para trasladarlo a la prisión de Vantaa y que cumpla la pena impuesta. Sin embargo, su abogado ha asegurado a medios locales que desconoce el paradero de su cliente, aunque cree que ya no se encuentra en Finlandia.
El Tribunal de Apelación de Helsinki había condenado el pasado mes de febrero a Kivimäki a seis años y tres meses de prisión por acceso ilícito agravado a sistemas informáticos, extorsión e infracciones graves contra la intimidad, una sentencia que ahora adquiere firmeza tras el rechazo del Supremo a revisar el caso.
Los hechos se remontan a 2018, cuando los sistemas de la empresa de psicoterapia Vastaamo fueron comprometidos. El actor de amenazas consiguió acceder a la información personal y médica de alrededor de 33.000 pacientes, aunque la brecha no trascendió públicamente hasta varios años después.
La información robada incluía datos especialmente sensibles, como números de identidad, direcciones de correo electrónico, teléfonos, historiales médicos y notas tomadas por los terapeutas durante las sesiones con sus pacientes.
Tras obtener la información, el atacante intentó extorsionar inicialmente a la propia clínica exigiendo el pago de unos 380.000 dólares en bitcoins para evitar la publicación de los datos. Al no obtener el dinero, cambió de estrategia y comenzó a enviar correos electrónicos directamente a las víctimas.
Miles de pacientes recibieron amenazas en las que se les exigía entre 200 y 500 euros a cambio de no divulgar sus expedientes clínicos. Quienes no accedieron al chantaje vieron cómo parte de su información acabó publicada en Internet.
Entre los afectados había menores de edad y personas que acudían a terapia por abusos, depresión, trastornos psicológicos o experiencias traumáticas. La filtración provocó una enorme conmoción en Finlandia y algunas víctimas llegaron incluso a quitarse la vida tras la difusión de sus historiales.
Más de 24.000 personas presentaron denuncias ante la policía, convirtiendo el procedimiento en uno de los mayores procesos penales por ciberdelincuencia de la historia del país.
Siempre negó los hechos
Durante el proceso judicial, Kivimäki negó de forma reiterada cualquier implicación en el ataque. El acusado sostuvo que las pruebas digitales presentadas por la Fiscalía eran circunstanciales y cuestionó tanto el análisis de los servidores utilizados como el rastreo de las transacciones en criptomonedas supuestamente relacionadas con la extorsión.
No obstante, los tribunales consideraron acreditada su responsabilidad y destacaron la especial gravedad del caso por el enorme número de víctimas, la naturaleza extremadamente sensible de la información sustraída y el sufrimiento causado a personas especialmente vulnerables.
Aunque el tribunal señaló que los hechos habrían justificado incluso la pena máxima prevista por la legislación finlandesa, la condena fue ligeramente reducida debido a que el acusado alcanzó acuerdos de indemnización con parte de las víctimas.
Armenia retuvo a un turista ruso llamado Aleksandr Ermakov en un centro de detención desde el 28 de junio, por una solicitud de extradición de Estados Unidos por un REVOLVER El sospechoso de ransomware llamado Aleksandr Ermakov.
Su esposa, María Yurova, dijo TV REN que los agentes fronterizos lo sacaron de la sala de salidas del aeropuerto Zvartnots de Ereván, levantaron un teléfono con una foto suya de su página de VKontakte y lo acompañaron a una habitación lateral. Sus abogados dicen que Washington tiene al hombre equivocado.
El Ermakov que Estados Unidos quiere es Aleksandr Gennadievich Ermakov, sancionado por Australia, EE. UU. y el Reino Unido en enero de 2024 por robar 9,7 millones de registros de Medibank Privadouna de las aseguradoras de salud privadas más grandes de Australia, y arrojando algunas a la web oscura.
También está cumpliendo una sentencia rusa de dos años que le impide salir del país, según TASS y los expedientes del caso que dos medios rusos dicen haber leído. El hombre en la celda armenia, dicen sus abogados, es Aleksandr Yuryevich Ermakovde Omsk, un ex abogado del servicio penitenciario que no habla inglés.
Ermakov está acusado de participar en ataques de Sodinokibi/REvil desde aproximadamente abril de 2019 hasta el 12 de julio de 2021, con más de 1.000 víctimas entre empresas privadas, fuerzas del orden, oficinas gubernamentales, escuelas y hospitales, algunos en el Distrito Norte de Texas.
Esto se desprende del documento de acusación estadounidense, que RIA Novosti dice que aguanta. El aviso de Interpol se basó en esto, que Izvestia dice que sí, va más allá: uno de los administradores de la plataforma, con una recaudación de más de 13,7 millones de dólares. Channel Five fecha la orden de arresto ante el tribunal federal de ese distrito el 26 de junio, dos días antes del arresto.
Medibank fue pirateado en octubre de 2022, quince meses después de que se cerrara esa ventana, y Estados Unidos nunca ha anunciado cargos contra Ermakov por ello. Hacienda designación lo puso al borde de REvil, un actor «que se cree que está vinculado» a la pandilla. El aviso lo sitúa en el centro. Ese tribunal ha visto REvil antes: DOJ cargado Yevgeniy Polyanin estuvo allí en 2021 por los ataques de Sodinokibi/REvil a empresas y entidades gubernamentales de Texas el 16 de agosto de 2019 o alrededor de esa fecha.
Los pasaportes rusos llevan un patronímico, y es el campo el que distingue a Aleksandr Ermakov de otro. La lista consolidada de Australia lo incluye: Aleksandr Gennadievich Ermakov, nacido el 16 de mayo de 1990. El representante del Reino Unido la entrada lo tiene. La OFAC no.
El registro SDN dice: ERMAKOV, Aleksandr, Moscú, fecha de nacimiento 16 de mayo de 1990, hombre, una dirección Yandex, cuatro identificadores (blade_runner, GistaveDore, GustaveDore, JimJones). Nombre de pila, apellido, nada intermedio. Lo que contiene el aviso de Interpol no es público.
Dylan Rajavi, uno de los abogados del detenido, dijo Izvestia La teoría de trabajo de la defensa es que los documentos estadounidenses llevaban un nombre y un apellido, nada más, y una verificación automática hizo el resto. También dijo que existen formas estándar de determinar quién es alguien, huellas dactilares o datos completos del pasaporte, y que ninguna de las dos se ha presentado.
«Sólo existe una orden de arresto», afirmó. Ése es el relato de la defensa, no un hallazgo.
Las autoridades armenias no han dicho nada, el Departamento de Justicia no ha anunciado cargos y ninguno de los medios rusos que tienen los documentos dice cómo los obtuvo. Tampoco hay tantos medios como parece: Izvestia, REN TV y Channel Five se encuentran debajo Grupo Nacional de Mediosy la redacción de Izvestia ha proporcionado las noticias a los otros dos desde 2017. El hombre se encuentra detenido bajo una orden de detención de Interpol de 30 días mientras Moscú solicita a Ereván acceso consular.
De dónde vino el nombre
La dirección de señales de Australia y la policía federal pasaron 18 meses en la Operación Aquila antes de nombrarlo. Y la cadena que va del sancionado Ermakov a SugarLocker no pasa por los medios estatales rusos.
Una vez que Australia publicó los apodos, Intel 471 Revisé años de datos recopilados en foros. SHTAZI y shtaziIT estaban entre los nombres de Ermakov, informó, y su alias JimJones había pasado 2019 y 2020 en el foro Exploit promocionando el desarrollo de malware y una tienda de desarrollo llamada Shtazi-IT.
Un mes después, la policía rusa dijo que habían enrollado la SugarLocker ransomware equipo que opera detrás de Shtazi-IT, con @GustaveDore sentado en el campo de contacto de sus anuncios de trabajo de desarrollador. Un vendedor estadounidense y el Ministerio del Interior de Rusia llegaron al mismo escaparate desde extremos opuestos.
En octubre de 2024, un tribunal de Moscú concedió a Ermakov dos años de restricción de libertad en virtud del artículo 273(2), el estatuto ruso sobre malware, por coescribir SugarLocker y venderlo a un comprador con un panel de control Tor adjunto.
Material del caso visto por Izvestia dice que se declaró culpable y el caso pasó por el procedimiento sumario de Rusia. «Ermakov fue condenado a dos años de restricción de libertad», dijo una fuente policial a la agencia estatal. TAS el jueves. El plazo no se ha acabado.
El tribunal de Armenia todavía tiene que decidir si sube al otro Ermakov a un avión con destino a Dallas, y su hermano dijo a RIA el viernes que la familia espera que se lleve a cabo. Dos años y medio de sanciones, una operación de inteligencia de 18 meses y una nueva orden de arresto estadounidense han colocado en conjunto exactamente a un tal Aleksandr Ermakov en una celda, y sus abogados dicen que es la celda equivocada.
El nombre de la orden judicial Ermakov está en casa, informando una vez al mes al servicio penitenciario para el cual el hombre en la celda trabajó durante su carrera.
La criptografía poscuántica no sorprendió a la industria.
Durante años, los equipos de seguridad, los organismos de normalización, los hiperescaladores y los gobiernos han estado apuntando al mismo horizonte: una computadora cuántica criptográficamente relevante eventualmente desmantelará los algoritmos de clave pública que sustentan la seguridad empresarial actual. La última orden ejecutiva no introduce una nueva amenaza. Codifica lo que el campo ha entendido desde hace mucho tiempo y le asigna plazos.
Para los CISO, el cambio de marco es importante. PQC es fundamentalmente un problema de preparación, no un problema de criptografía. Ver a Google acelerar su hoja de ruta cuántica, o ver a las agencias federales reestructurar su arquitectura de seguridad en torno a PQC, hace que lo que está en juego sea imposible de ignorar”. Las juntas directivas ya se preguntan: “¿Cómo pensamos hoy en la transición poscuántica?” Para la mayoría de las organizaciones, la brecha entre esa pregunta y una respuesta creíble es más amplia de lo que debería ser.
La EO es inequívoca en cuanto a su alcance. PQC ha pasado de un esfuerzo de investigación a una política real, con plazos, estructuras de rendición de cuentas y consecuencias directas para las agencias federales, los contratistas, los operadores de infraestructura crítica y el sector privado más amplio que los apoya.
Los sistemas federales de alto valor deben realizar la transición del establecimiento de claves a PQC antes del 31 de diciembre de 2030. Las firmas digitales seguirán el 31 de diciembre de 2031.
Esas fechas pueden parecer lejanas, pero para cualquiera que haya atravesado una transformación de la seguridad a escala empresarial, con los ciclos de adquisiciones, las revisiones de la arquitectura y la gestión del cambio organizacional que ello implica, 2030 se ubica perfectamente dentro de los horizontes de planificación actuales. La ventana para una ejecución ordenada ya se está reduciendo.
Lo que hace que esa ventana sea aún más estrecha es que el riesgo más inmediato no tiene nada que ver con los plazos. Los ataques “Cosechar ahora, descifrar después” ya están operativos. Los adversarios de los Estados-nación hoy están recopilando datos cifrados y almacenándolos hasta que las capacidades cuánticas sean suficientes para descifrarlos: propiedad intelectual, registros médicos, transacciones financieras, código fuente, comunicaciones gubernamentales y más. El cifrado que protege esos datos en este momento es, funcionalmente, una vulnerabilidad con retardo de tiempo. Es posible que los datos confidenciales de larga duración ya estén comprometidos de maneras que no serán visibles durante años.
El primer paso para los CISO es pasar de la conciencia a la propiedad.
La preparación de PQC no se puede delegar a equipos de aplicaciones individuales ni tratarse como una casilla de verificación de cumplimiento futuro. Ese enfoque no sobrevivirá dados los requisitos de rendición de cuentas de la OE. Cada organización necesita una persona de contacto: un líder de programa, un comité directivo multifuncional o una oficina dedicada al riesgo criptográfico. Cualquiera que sea la estructura, necesita autoridad y un asiento en la mesa de liderazgo.
Esa propiedad debe abarcar seguridad, TI, infraestructura, ingeniería, productos, asuntos legales, cumplimiento, adquisiciones y partes interesadas del negocio. La criptografía está integrada en toda la empresa: certificados, claves, protocolos, API, hardware, servicios en la nube, sistemas de firma de códigos, infraestructura de identidad y plataformas de terceros. Ningún equipo tiene el ancho de banda para abordar esto por sí solo. Un grupo de trabajo multifuncional o un Centro de Excelencia debería ser un prerrequisito organizacional a medida que avanzamos hacia el futuro.
La visibilidad será fundamental y aquí es donde la mayoría de las organizaciones encontrarán las mayores brechas.
Los CISO necesitan una imagen clara de dónde existe la criptografía en su entorno: qué algoritmos se utilizan, qué sistemas dependen de una criptografía vulnerable, qué datos requieren confidencialidad a largo plazo y qué procesos comerciales se verían interrumpidos por la migración. Sin ese inventario, la evaluación de riesgos es una conjetura, la remediación es imposible y demostrar el progreso a los reguladores o juntas directivas se convierte en un ejercicio de especulación.
El principio es sencillo: no se puede proteger lo que no se puede ver.
Además, un inventario criptográfico no puede ser una hoja de cálculo estática que se actualiza anualmente y luego se archiva. Debe funcionar como una vista viva de la infraestructura de confianza de la organización, que abarque certificados, claves, algoritmos, bibliotecas, protocolos, sistemas de firma, autoridades de certificación, HSM, cargas de trabajo, dispositivos y dependencias de terceros.
Una vez que existe esa visibilidad, la priorización se deriva del impacto empresarial. Los sistemas que protegen datos confidenciales de larga duración, infraestructura crítica, confianza del cliente, integridad del software y entornos regulados se mueven primero, y todo lo demás se secuencia en consecuencia.
Más allá de la visibilidad, los CISO necesitan una hoja de ruta alineada con los hitos de la orden en lugar de documentos de planificación aspiracionales que nunca se traducen en programas financiados.
La fecha límite para el establecimiento de claves de 2030 requiere comprender cada punto donde operan los mecanismos de cifrado e intercambio de claves en los sistemas críticos. La fecha límite de firmas digitales de 2031 amplía ese desafío a la integridad del software, la firma de códigos, la firma de documentos, la autenticación, la infraestructura de identidad y la verificación a largo plazo. Este es un programa de transformación de varios años y garantiza el mismo rigor organizacional que cualquier otra iniciativa empresarial de alcance comparable.
Eso significa tres categorías de recursos dedicados. Primero, la financiación: la preparación para el PQC no puede ser absorbida por los presupuestos de seguridad existentes sin desplazar otras prioridades. Requiere una inversión de varios años en herramientas de descubrimiento, pruebas, ejecución de migración, automatización y gobernanza. En segundo lugar, talento: las organizaciones necesitan experiencia en criptografía, capacidad de arquitectura empresarial, experiencia en PKI, gestión de riesgos, soporte de cumplimiento y liderazgo de programas, una combinación que ya escasea en toda la industria. En tercer lugar, la tecnología: herramientas de descubrimiento, automatización del ciclo de vida de claves y certificados, aplicación de políticas, infraestructura de informes y capacidad arquitectónica para la criptoagilidad.
La criptoagilidad es el objetivo a largo plazo que hace que valga la pena realizar esta transición correctamente.
Las organizaciones que tratan el PQC como un cambio de algoritmo único se encontrarán nuevamente en la misma posición cuando los estándares cambien nuevamente. La transición cuántica se produce en paralelo con el auge de la IA, las identidades de las máquinas, los sistemas autónomos y los ecosistemas digitales cada vez más complejos, todos los cuales dependen de la confianza criptográfica. Las organizaciones que no gobiernen activamente esa infraestructura de confianza tendrán dificultades con la seguridad de la IA, la integridad de la cadena de suministro de software, la gobernanza de la identidad y los mandatos de cumplimiento que siguen.
La orden funciona como un mecanismo de fuerza, convirtiendo el PQC de una preocupación técnica futura en una responsabilidad de liderazgo actual. Tres preguntas definen ahora la situación de una organización:
¿Tenemos una idea clara de dónde reside nuestro riesgo criptográfico?
¿Tenemos un plan de migración secuencial y financiado que cumpla con los plazos del pedido?
¿Podemos demostrar que nuestra infraestructura de confianza es lo suficientemente ágil como para adaptarse a medida que los estándares y las amenazas continúan evolucionando?
El debate sobre cuándo exactamente la computación cuántica será una realidad es una distracción. Desarrollar la visibilidad, la gobernanza, la financiación y la automatización necesarias para avanzar con confianza es donde debemos dedicar nuestro tiempo y esfuerzo colectivo.
Los CISO han superado la cuestión de si actuar o no. La pregunta operativa es qué tan atrás está la organización y qué tan rápido puede transformar la criptografía de una dependencia invisible a un sistema de confianza administrado, mensurable y adaptable. Las organizaciones que comiencen ese trabajo ahora serán las que tendrán opciones cuando lleguen los plazos.
Un juez federal de Massachusetts anuló secciones importantes de una orden ejecutiva de la administración Trump que habría restringido las boletas por correo a través del Servicio Postal de EE. UU. y habría requerido que los estados adoptaran listas de votantes aprobadas a nivel federal.
El decisión El jueves, la jueza Indira Talwani del Tribunal de Distrito de Massachusetts determinó que esas partes de la orden eran inconstitucionales, al tiempo que declaró legalmente no vinculante otra sección que ordena a las agencias federales de aplicación de la ley investigar y procesar a los funcionarios estatales y locales que incumplan.
Talwani escribió que la Constitución de Estados Unidos otorga poderes a los estados y al Congreso en diferentes roles pero “no otorga al presidente ningún poder específico sobre las elecciones”.
Si bien la Casa Blanca ha citado como justificación la Ley Help America Vote (HAVA) de 2002 y las leyes electorales de la era de los derechos civiles, Talwani encontró que esas leyes no autorizan al gobierno a regular las prácticas estatales de registro de votantes.
“En particular, en ninguna parte de HAVA el Congreso prescribe quién debe ser incluido en las listas de votantes estatales”, escribió Talwani. «Además, ni en HAVA ni en ningún otro estatuto federal el Congreso autoriza al gobierno federal a crear su propia base de datos de votación. En cambio, el Congreso, de conformidad con la Constitución, ha dejado esa autoridad solo a los estados».
Talwani también se negó a destituir al presidente Trump y al secretario de Comercio, Howard Lutnick, como acusados nombrados en la demanda, rechazando el argumento de la administración de que el tribunal no podía regular o inmiscuirse en la autoridad constitucional del presidente “en el desempeño de sus deberes oficiales”.
“Contrariamente a lo que afirman los demandados, la acción presidencial no es inherentemente irrevisable”, escribió Talwani.
La orden, emitida en marzo, instruye al secretario de Seguridad Nacional, al director de los Servicios de Inmigración y Ciudadanía de Estados Unidos y al comisionado de la Administración de la Seguridad Social a compilar listas de votantes estadounidenses para cada estado, incluido su supuesto estatus de ciudadanía.
Para elaborar las listas, las agencias se basarían en la controvertida base de datos de Verificación Sistémica de Derechos de Extranjeros (SAVE, por sus siglas en inglés) que el DHS ha estado construyendo durante la administración Trump, así como en los registros federales de ciudadanía y naturalización del Seguro Social y.
Esas listas luego se enviarían a los estados, la mayoría de los cuales ya han rechazado esfuerzos similares de la administración Trump para controlar el registro de votantes. La orden ordena al Departamento de Justicia que investigue y procese a los funcionarios electorales estatales y locales que emitan boletas a votantes no elegibles.
La orden también requiere que las boletas por correo se envíen en sobres especiales con códigos de barras para su seguimiento. Fundamentalmente, exige que los estados proporcionen listas de votantes elegibles para votar por correo y amenaza con negar las papeletas a los estados que se nieguen. También afirma que el fiscal general tiene derecho a retener fondos federales de los estados que no cumplan.
Talwani descubrió que los estados han demostrado que ya cuentan con un riguroso proceso de registro y verificación de votantes para garantizar que los no ciudadanos y otros votantes no elegibles no puedan votar en las elecciones estadounidenses, y cuentan con leyes para investigar y procesar a quienes lo hagan.
Los abogados del poder ejecutivo argumentaron que la orden era simplemente una directiva federal interna que no obstaculiza a las autoridades estatales. Pero Talwani señaló que estados como Connecticut ya estaban retirando personal de actividades críticas, como la traducción de materiales electorales requeridos por la Ley de Derecho al Voto, para desarrollar planes de cumplimiento de la orden.
Casi la mitad de los estados en la demanda ya han comprado boletas por correo para este ciclo electoral que no cumplen con los estándares de diseño y sobres del Servicio Postal.
A pesar de una serie de pérdidas en los tribunales y el Congreso, la Casa Blanca ha seguido ejerciendo una amplia autoridad sobre la forma en que los estados y localidades administran las elecciones.
El Departamento de Justicia ha demandado a decenas de estados para obligarlos a entregar datos confidenciales de los votantes. En los 10 casos decididos hasta ahora, los estados han ganado todos.
En sus opiniones, los jueces citaron la falta de autoridad inherente del poder ejecutivo para crear listas de votantes estatales. Otros acusaron al Departamento de Justicia de hacer un mal uso de las leyes de la era de los derechos civiles diseñadas para proteger a los votantes negros y minoritarios, creando una base de datos “poco confiable” que privaría de sus derechos a los votantes legítimos.
El fallo de Massachusetts llega a la misma conclusión: Talwani escribe que “está claro que las agencias federales encargadas de compilar las Listas de Ciudadanos Confirmados carecen de la capacidad de crear listas completas y precisas de los ciudadanos estadounidenses que residen en cada estado”.
El miércoles, Trump canceló una ceremonia de firma de un proyecto de ley de vivienda bipartidista en un intento de presionar a los republicanos del Congreso para que aprobaran la Ley SAVE America, que implementaría muchos de los mismos cambios en las elecciones estadounidenses. En una publicación de Truth Social, Trump dijo que consideraba la aprobación del proyecto de ley como una “emergencia nacional”.
El presidente Trump firmó un orden ejecutiva el 22 de junio establecer plazos estrictos para que las agencias federales trasladen activos de alto valor y sistemas de alto impacto a la criptografía poscuántica.
El establecimiento clave debe mudarse antes del 31 de diciembre de 2030; firmas digitales antes del 31 de diciembre de 2031. La EO 14409 deja a los sistemas de seguridad nacionales en un camino separado.
Los plazos son importantes debido a una amenaza que hoy en día no necesita una computadora cuántica que funcione. Los adversarios pueden recopilar datos estadounidenses cifrados ahora y descifrarlos más tarde; una vez que exista una máquina cuántica a gran escala, el riesgo se conoce como «cosechar ahora, descifrar después».
La orden describe ese riesgo directamente y adelanta el cronograma de PQC del gobierno de cuatro a cinco años. El objetivo anterior para todo el gobierno, establecido en el Memorando de Seguridad Nacional 10 de 2022, se extendía hasta 2035.
Los dos plazos se alinean con los estándares NIST finalizado en agosto de 2024. El establecimiento de claves utiliza FIPS 203, el algoritmo ML-KEM anteriormente llamado CRYSTALS-Kyber.
Las firmas digitales utilizan FIPS 204 y 205, ML-DSA y SLH-DSA. Las normas están listas desde hace casi dos años. El orden es lo que los convierte en un cronograma con consecuencias.
Qué tienen que hacer las agencias y cuándo
El reloj a corto plazo empieza a acelerarse. En un plazo de 30 días, cada jefe de agencia nombra un líder de migración de PQC que reporta al CIO de la agencia y es propietario del inventario criptográfico y del plan de migración.
En un plazo de 90 días, la OMB emite una guía que exige a las agencias que revisen sus inventarios de activos de alto valor y sistemas de alto impacto, planifiquen la migración y presenten ese plan.
El NIST ejecuta una migración piloto en un subconjunto de sus propios sistemas, que finalizará el 31 de diciembre de 2027.
La orden llega más allá de las redes federales. El Consejo Regulador de Adquisiciones Federales tiene 180 días para proponer una regla que otorgue a los «contratistas cubiertos» hasta el 31 de diciembre de 2030 para cumplir con los FIPS del NIST, incluidos los algoritmos PQC.
Una segunda regla propuesta, prevista para dentro de 270 días, incluiría las fallas criptográficas en los programas de divulgación de vulnerabilidades de los contratistas, incluidas pruebas de cifrado faltante y de algoritmos que no son FIPS. A las agencias de gestión de riesgos del sector y a CISA se les pide que ayuden a los operadores de infraestructura crítica a elaborar sus propios planes de migración, aunque esa parte es asistencia, no un mandato.
Luego está el ángulo del inventario. En un plazo de 270 días, CISA y NIST publicarán los elementos mínimos para una lista de materiales criptográficos, una lista legible por máquina de los activos criptográficos en una pieza de hardware o software.
Ésa es la base de la criptoagilidad: no se pueden intercambiar algoritmos débiles en una fecha límite si no se sabe dónde están.
La lectura practica
Para los equipos federales y los proveedores que les venden, el trabajo es el inventario y comienza ahora. Encuentre todos los lugares donde se produce el intercambio de claves y las firmas, marque lo que no es NIST PQC y secuencia el intercambio con las fechas 2030 y 2031.
Los contratistas deben esperar la cláusula FAR y una línea de cumplimiento para 2030 una vez que entre en vigencia la regla. Los estándares existen. Los plazos ya existen. La tarea de control para casi todos es saber qué criptografía se está ejecutando y dónde.
Los dientes todavía se están escribiendo. La guía de 90 días de la OMB y las reglas FAR decidirán si 2030 y 2031 se convierten en una verdadera presión de adquisiciones o simplemente en otro objetivo federal de migración que se desvanece una vez que comienza el trabajo duro.
El servicio de espionaje de Canadá obtuvo el permiso de un juez para acceder a servidores infectados, enrutadores domésticos y equipos de IoT ubicados en suelo canadiense y neutralizar dos botnets extranjeras.
El Tribunal Federal emitió un versión pública del fallo del 15 de junio. Es la primera vez que el Servicio de Inteligencia de Seguridad de Canadá ha utilizado sus poderes de orden de reducción de amenazas de esta manera.
La orden permitió al CSIS alterar, degradar y destruir los datos de la botnet en las máquinas infectadas y desconectar los dispositivos de las redes.
Los objetivos eran servidores con sede en Canadá, enrutadores para pequeñas oficinas y oficinas domésticas (SOHO) y dispositivos de Internet de las cosas: timbres Ring, cámaras de seguridad, televisores y otros dispositivos habilitados para Wi-Fi.
La jueza Catherine Kane concedió la orden el 1 de mayo de 2024, la renovó en agosto y emitió los motivos confidenciales en febrero de 2026. La orden permaneció fuera de la vista del público durante más de dos años, hasta su publicación redactada este mes.
El CSIS necesitaba la orden porque la limpieza probablemente habría sido un delito sin ella. Acceder al dispositivo de otra persona y borrar datos es un daño informático según el Código Penal, por lo que el Servicio necesitaba la aprobación de un juez antes de tocar las máquinas.
El tribunal consideró que la amenaza a Canadá estaba claramente establecida e inminente, y que las medidas eran necesarias, razonables y proporcionales. Destacó que la operación se centró en los dispositivos, no en las personas: no se buscaron identidades de usuarios, no se interceptó ningún contenido, y los datos personales recogidos fueron destruidos incidentalmente.
Las dos botnets ejecutaron el manual de retransmisión estándar. Un nivel de mando emitió las órdenes; una capa de dispositivos infectados transmitía el tráfico. Al enrutarse a través de hardware canadiense secuestrado, un estado extranjero puede parecer una conexión ordinaria, un trabajador a domicilio o un cliente de ISP, mientras investiga infraestructura crítica, redes gubernamentales y militares.
El propietario del timbre infectado parece responsable del tráfico que nunca envió. El tribunal señaló al sector energético entre los objetivos y advirtió que el Los adversarios podrían dirigir las botnets. para investigar y potencialmente alterar la infraestructura canadiense.
El fallo público resuelve el qué: dos adversarios extranjeros, una amenaza a la seguridad de Canadá, según consideró claramente el tribunal. Lo que desnuda es el quién. El momento y la técnica coinciden con un momento específico a principios de 2024, pero The Bureau, que salió a la luz el fallodice que no puede decir a partir de las razones redactadas si las dos botnets de Canadá eran chinas, ambas rusas o una de cada. La mano del Estado extranjero es un hallazgo. La bandera es la redacción.
Misma táctica, una autoridad diferente
Ese momento fue una serie de limpiezas de botnets ordenadas por tribunales en los Estados Unidos. En una operación de diciembre de 2023, el FBI utilizó el propio canal de comando de la botnet para eliminar el malware KV-botnet de cientos de enrutadores SOHO de EE. UU., en su mayoría cajas Cisco y NetGear al final de su vida útil que Volt Typhoon, vinculado a China, estaba usando para ocultar el acceso que había plantado antes de una posible crisis dentro de los sistemas de comunicaciones, energía, agua y transporte estadounidenses.
Semanas más tarde, llevó a cabo una operación casi idéntica contra una red separada de enrutadores Ubiquiti que el GRU de Rusia, el grupo APT28, había convertido en un repetidor de espionaje.
El centro cibernético de Canadá se había sumado a las advertencias de los aliados sobre el uso abusivo de los equipos SOHO y IoT por parte de actores estatales. La misma forma ordenada por el tribunal en ambas ocasiones: equipo de consumo descuidado, un operador estatal, un juez aprobando la desinfección remota.
La diferencia es quién tiene la orden judicial. Las operaciones estadounidenses fueron las fuerzas del orden, el FBI y el Departamento de Justicia que actuaron bajo la autoridad de búsqueda e incautación.
El de Canadá es un servicio de inteligencia que utiliza medidas de reducción de amenazas, el poder del CSIS para desbaratar activamente una amenaza en lugar de simplemente recopilar información sobre ella, escrito en la Ley del CSIS hace años y reelaborado en el Ley de Seguridad Nacional de 2017que entró en vigor en 2019. El CSIS nunca lo había alcanzado así hasta ahora.
Todavía todo se reduce a los enrutadores antiguos
La lección para los defensores es aburrida. Las botnets se alimentan de equipos que nadie mantiene: enrutadores al final de su vida útil que aún están conectados a la red, kits de IoT que nunca recibieron su última actualización de firmware, cualquier cosa que tenga credenciales predeterminadas con un panel de administración orientado a Internet.
Una limpieza gubernamental no toca eso. En las operaciones de EE. UU., el malware desapareció, pero las debilidades persistieron, y un reinicio o un restablecimiento de fábrica podría deshacer la solución y reabrir la puerta a la reinfección. Retirar el hardware inactivo y bloquear lo que queda depende del propietario, no de la agencia que lo limpió.
Un cabo suelto que el fallo público no cierra: la solicitud, según el relato de la Oficina, se apoyó en direcciones IP que el CSIS había recopilado sin orden judicial, semanas después de que la Corte Suprema de Canadá detuviera en R. contra Bykovets que una dirección IP conlleva una expectativa razonable de privacidad.
Si eso concuerda con las autoridades de recolección del CSIS y si alguna vez se informó a los propietarios de los dispositivos desinfectados, permanece abierto.
Los miembros del Congreso respondieron con escepticismo y cautela el martes a la decisión de la administración Trump de imponer controles de exportación a los modelos de inteligencia artificial más nuevos de Anthropic.
La orden del viernes, que según Anthropic la obligó a desactivar sus modelos de inteligencia artificial Fable 5 y Mythos 5, fue motivada por lo que la administración dijo que eran preocupaciones de seguridad nacional que un gran número de profesionales de la ciberseguridad han descartado como infundadas.
Varios demócratas de Hill dijeron a CyberScoop que les preocupaba que la decisión de la administración estuviera impulsada por otras consideraciones. En particular, la administración ha peleado con Anthropic sobre el uso de sus modelos para vigilancia doméstica y armas totalmente autónomas.
El senador Angus King, un independiente de Maine que forma parte de un grupo demócrata, dijo que necesitaría estar convencido de que era una orden de seguridad nacional legítima y que aún no había visto una justificación completa.
«Lo que hicieron fue bastante extremo y me gustaría ver cuál fue la base, a diferencia de todos los demás problemas que están dando vueltas en materia de ciberseguridad», dijo. «Soy un poco escéptico debido a la antipatía que, por lo demás, anunciaron hacia esta empresa».
Los líderes del Comité de Seguridad Nacional de la Cámara de Representantes tuvieron opiniones contrastantes: el presidente Andrew Garbarino, RN.Y., ofreció una respuesta doble y el principal demócrata del panel, Bennie Thompson de Mississippi, criticó el orden.
«La administración tiene razón al tratar las capacidades cibernéticas avanzadas de IA como una cuestión de seguridad nacional, especialmente cuando los adversarios extranjeros y los ciberdelincuentes están buscando activamente formas de convertir estas herramientas en armas», dijo Garbarino en un comunicado. «Al mismo tiempo, debemos asegurarnos de que nuestra respuesta no ponga en desventaja involuntaria a empresas estadounidenses, socios aliados o defensores de infraestructura crítica que necesitan acceso a las mejores herramientas seguras disponibles para proteger nuestras redes aquí en casa».
Estados Unidos, no China, necesita establecer estándares para una IA confiable, dijo Garbarino.
Pero Thompson dijo que la orden añade evidencia a la apariencia de que la administración Trump no «tiene un plan coherente para mitigar los riesgos de ciberseguridad» de los modelos fronterizos de IA, dijo a CyberScoop en un comunicado.
«Las regulaciones de IA deben basarse en estándares y procedimientos que brinden confianza al público de que las decisiones se basan en evidencia y no en política», dijo. “En cambio, la administración Trump ha adoptado un enfoque ad hoc en el que las decisiones las toman personas designadas políticas en la Casa Blanca en lugar de expertos y en el que las empresas se quedan adivinando cómo cumplirlas”.
El senador de Virginia Mark Warner, el principal demócrata en el Comité de Inteligencia, también había destacado previamente la disputa de la administración con Anthropic en respuesta a la orden en una declaración a CyberScoop.
Entre bastidores, la administración y Anthropic seguían intentando forjar una tregua Martes. En términos más generales, la orden ejecutiva de la administración sobre IA tuvo un lanzamiento difícil, ya que la administración oscilaba de un lado a otro sobre cuán involucrado debería estar el gobierno.
Algunos legisladores pospusieron hacer comentarios el martes, como el presidente del Comité de Seguridad Nacional del Senado, Rand Paul, republicano por Kentucky, quien le dijo a CyberScoop que no tenía nada que decir sobre la orden.
Otros dijeron que todavía estaban buscando información de la administración.
“No he tenido la oportunidad de recibir información específica sobre la lógica, el razonamiento detrás de esto, etc.”, dijo el senador Mike Rounds, republicano de Dakota del Sur que preside el Subcomité de Ciberseguridad de las Fuerzas Armadas. «Así que voy a retener el juicio hasta que tenga la oportunidad de conocer el resto de la historia, por así decirlo».
Meta dijo el lunes que detectó y bloqueó intentos de phishing vinculados al proveedor israelí de software espía NSO Group.
Además, el gigante tecnológico dijo que presentará una orden de desacato en un tribunal federal contra la compañía por violar una orden judicial permanente que le impedía atacar a WhatsApp y sus usuarios.
«Intentaron engañar a las personas para que hicieran clic en enlaces maliciosos para dirigirlos a sitios web externos fuera de WhatsApp, similar a lo informado anteriormente. Campañas de phishing con 1 clic vinculado a NSO», Meta dicho.
La compañía de redes sociales también dijo que sorprendió a NSO Group creando cuentas y grupos de prueba en WhatsApp. Desde entonces, Meta los ha eliminado. La lista de dominios maliciosos vinculados a la actividad se enumera a continuación:
fr24cast[.]com
ghazacast[.]com
ikhwancast[.]com
El hecho se produce un año después de que NSO Group fuera multado con aproximadamente 168 millones de dólares en daños monetarios, después de que un tribunal estadounidense determinara que la empresa había violado las leyes estadounidenses al explotar los servidores de WhatsApp para implementar el software espía Pegasus dirigido a más de 1.400 personas en todo el mundo.
En 2021, la empresa también fue agregada a una lista de bloqueo del Departamento de Comercio de EE. UU. por participar en actividades «contrarias a la seguridad nacional o los intereses de política exterior de Estados Unidos».
«Como siempre, los mensajes y llamadas personales de los usuarios de WhatsApp permanecen protegidos con cifrado de extremo a extremo predeterminado», dijo Meta. «Alentamos a las personas a mantener sus aplicaciones y dispositivos actualizados y reportar actividades sospechosas para que podamos investigar y tomar medidas rápidamente».
A los usuarios que creen que pueden correr un riesgo elevado de sufrir ciberataques sofisticados debido a quiénes son y lo que hacen se les recomienda habilitar configuraciones estrictas de cuenta para protegerlas. La función reduce la superficie de ataque al bloquear la cuenta en configuraciones más privadas, como las siguientes:
La verificación en dos pasos está activada.
Las vistas previas de enlaces están desactivadas.
Visto por última vez y en línea, la foto de perfil, los detalles Acerca de y los enlaces de perfil están bloqueados solo para contactos o para una lista preestablecida de personas.
A los grupos solo se pueden agregar contactos conocidos o una lista preestablecida de personas.
«La configuración estricta de la cuenta es una característica de seguridad avanzada que activa los controles de privacidad y seguridad para ayudar a proteger las cuentas de ataques cibernéticos sofisticados», señala Meta en su documento de ayuda. «La configuración estricta de la cuenta es una característica de seguridad opcional de estilo bloqueo que, cuando está habilitada, reduce su vulnerabilidad al ciberataque al limitar la funcionalidad».
Meta dijo el lunes que detectó una campaña de phishing vinculada al fabricante de software espía NSO Group a pesar de una orden judicial, lo que llevó al gigante tecnológico a presentar una denuncia por desacato al tribunal.
La compañía ganó un caso civil el año pasado contra NSO Group que le prohibía dirigirse a los usuarios de WhatsApp y obtuvo 168 millones de dólares en daños y perjuicios, aunque NSO Group ha estado apelando el fallo.
Pero Meta dice que NSO Group, creadores del software espía Pegasus, no está cumpliendo con la orden judicial permanente.
«Hemos interrumpido con éxito los intentos de ingeniería social vinculados a NSO, después de investigar los informes de los usuarios», dijo en una publicación de blog. «Intentaron engañar a las personas para que hicieran clic en enlaces maliciosos para dirigirlos a sitios web externos fuera de WhatsApp, similar a las campañas de phishing de 1 clic previamente informadas vinculadas a NSO. También los sorprendimos creando cuentas y grupos de prueba en WhatsApp, que eliminamos».
NSO Group no respondió a las solicitudes de comentarios sobre las acusaciones de Meta.
Un importante investigador que rastrea el software espía dijo que las acciones de NSO Group son un argumento para mantenerlos en la lista de “entidades” de sanciones de Estados Unidos de la que la compañía ha luchado por ser eliminada desde su designación en 2021.
«Las propias acciones de NSO constituyen el argumento más fuerte de por qué deberían permanecer en la lista de entidades», dijo John Scott-Railton, investigador principal del Citizen Lab de la Universidad de Toronto, escribió en las redes sociales. “Y reafirmar que la decisión de ponerlos allí fue la correcta”.
Meta hizo el mismo argumento.
«Cuando una empresa maliciosa incluida en la Lista de Entidades del gobierno de EE. UU. continúa desafiando a los tribunales estadounidenses, las restricciones existentes deben permanecer firmemente vigentes», dijo en su blog. “Aliviarlas socavaría la seguridad nacional de Estados Unidos y pondría en riesgo a las empresas estadounidenses y a miles de millones de personas en todo el mundo que dependen de comunicaciones seguras”.
Los legisladores han buscado información sobre el posible uso por parte del gobierno federal de la tecnología de NSO Group y otros tipos de software espía, a pesar de una lista negra, dados los estrechos vínculos entre el nuevo presidente ejecutivo de la compañía y el presidente Donald Trump.
