He participado estas semanas en reuniones en el Senado y con diferentes organizaciones comprometidas en mejorar la ciberseguriad de República Dominicana. Un acto que me ha parecido especialmente positivo es que el Senado del país ha pedido por medio de la embajadora de España en República Dominicana, consejo y ayuda no económica, sino basada en la experiencia. Normalmente se dice que se hace copiar y pegar de las leyes europeas, solo porque en Europa vamos primero haciendo leyes, pero eso no significa que sean buenas leyes, o que no tengan huecos que deban corregirse. Así, creo que el país conseguirá tener leyes modernas, actualizadas, basadas en la experiencia de los países que han trabajado previamente. La noticia: Otros enlaces: Instagram del Senado: https://www.instagram.com/senadord/p/DdADRbZD8-d/?img_index=2 Teleradio América: https://teleradioamerica.com/2026/09/presidente-del-senado-recibe-a-embajadora-de-espana-y-abordan-cooperacion-en-cibers...
Imagine el absurdo en el que usted visita una feria de hamburguesas, elige ponerse en una cola, y cuando llega al mostrador le preguntan si le apetece una hamburguesa, pero no contentos, cuando responde positivamente, le piden que firme que quiere una hamburguesa.
Como he dicho, es un escenario absurdo, pero real en otro entorno, en la RedSARA y Dehu el Servicio de Notificaciones del Gobierno de España.
Ciberseguridad
La mayoría de las trampas en las que cae un usuario están basadas en el diseño de la trampa. Es decir, si pinto una puerta con un cocodrilo enfadado es poco probable que alguien quiera abrirla, pero si la pinto con un diseño de lingotes de oro y un cartel que diga gratis, más de un incauto abrirá la puerta. El diseño de el ataque es fundamental.
El primer error de diseño del sistema de notificaciones de redSARA está en el dominio web, es un absoluto y enorme error que sea un .es, algo que cualquiera puede adquirir. La Moncloa tiene el dominio moncloa.gob.es, un dominio que solo una entidad de gobierno puede adquirir y que además se valida manualmente.
El segundo gran error, y que quizá tenga una gran escusa, está en la forma de acceder a las notificaciones. La ruta va más o menos como sigue:
- Visitas la web
- Das al ícono para acceder a las notificaciones
- Autenticación con un certificado o uno de los elementos de autenticación, y se realiza el protocolo
- Ves el buzón y tienes que marcar si quieres acceder al buzón. Curiosamente hay un botón para no acceder lo que bastaría con cerrar la ventana
- Una vez en el buzón se ve la notificación y toca dar clic a la notificación en un botón que dice leer
- Abre una ventana que pregunta si realmente quiere leer la notificación
- Finalmente abre la notificación
Es el ejemplo absurdo ¿crees que he visitado la web de Dehu porque estaba aburrido y pasaba por ahí? ¿Crees que me he autenticado con el certificado digital por error?
¿Por qué es un problema de ciberseguridad y no solo de usabilidad?
Porque las personas se acostumbran a los sistemas y dejan de leer.
¿Cuántos seres humanos cree que acceden a Dehu al día? De media, unas 1.280.000 personas (o empresas) acceden cada día a la plataforma. Hay que recordar que es de caracter obligatorio.
Por lo tanto, el gobierno está entrenando a millones de sus ciudadanos para que den clic, tras clic, tras clic, clic. Qué ocurre, que se deja de leer y se hace hábito.
Comentarios
Publicar un comentario