Seguridad Operativa OPSEC y seguridad personal en línea

La seguridad operativa (OPSEC) es un proceso que identifica información crítica para determinar si la inteligencia enemiga puede observar las acciones propias, determina si la información obtenida por adversarios podría interpretarse como útil para ellos y, a continuación, ejecuta las medidas seleccionadas que eliminan o reducen la explotación por parte del adversario de la información crítica propia.

Aunque el ejército de los Estados Unidos acuñó originalmente el término durante la Guerra de Vietnam, la frase ha sido adoptada desde entonces por personas expertas en ciberseguridad para describir conceptos que se centran en proteger los sistemas digitales, redes, dispositivos y datos de las ciberamenazas y mantener la seguridad digital.

Argumentar que no te importa el derecho a la privacidad porque no tienes nada que ocultar no es diferente a decir que no te importa la libertad de expresión porque no tienes nada que decir.

- Edward Snowden

Una de las falacias lógicas más comunes respecto a la privacidad en línea es la creencia de que no deberías preocuparte por tu privacidad en línea si no tienes nada que ocultar. Si bien es cierto que puede que no tengas nada que ocultar, existen consecuencias en el mundo real al permitir que las empresas recopilen tus datos.

El 25 de noviembre de 2022, Randal Quran Reid fue arrestado por dos cargos de robo y robo de tarjeta de crédito en Baton Rouge y Jefferson Parish. Sin embargo, se pasó por alto un hecho crucial durante el arresto de Reid: nunca había estado en Luisiana.

Lo que ocurrió fue que la policía utilizó un software de reconocimiento facial conocido como Clearview AI, el cual marcó falsamente a Reid después de comparar su rostro y determinar que coincidía con el de un sospechoso grabado por una cámara de vigilancia. También se descubrió que Clearview AI poseía una extensa base de datos de rostros recopilados de fotografías subidas a sitios web como Facebook y LinkedIn.

A pesar de no haber estado nunca en Luisiana, Reid permaneció bajo custodia policial durante una semana y se vio obligado a pagar varios miles de dólares en gastos legales para ser puesto en libertad. El caso de Reid no fue el único incidente aislado en el que el mismo software marcó falsamente a alguien. Se han producido al menos otros cuatro casos de identidad errónea, y estos son solo los casos que se han hecho ampliamente conocidos por el público. Muchas personas no tienen el dinero ni los recursos adecuados para luchar contra estas acusaciones, por lo que sus nombres e historias nunca serán ampliamente conocidos.

Hasta julio de 2017, cada empleado de Amazon Ring podía acceder a los videos de cada usuario de Ring, incluso cuando no era necesario para su trabajo específico. Estos videos no solo eran de libre acceso para las personas empleadas por Amazon, sino que también se dio acceso a estos videos a un contratista externo de Ucrania, con la libertad de descargar y almacenar dichos archivos hasta julio de 2017.

No hace falta decir que los empleados de Amazon abusaron de este acceso. La FTC informó que un empleado de Ring había visto miles de videos de al menos 81 usuarias. Presuntamente, el empleado buscaba grabaciones de cámaras que sugerían que podrían haberse utilizado en las áreas más privadas, como el «dormitorio principal», el «baño principal» y una cámara llamada «Spy Cam» (cámara espía), y se cree que el empleado revisaba los videos durante al menos una hora al día. Como resultado de este incidente, se denunció a Amazon ante la FTC, lo que obligó a Amazon a pagar un acuerdo de 5.8 millones de dólares.

De manera similar, en abril de 2023, se descubrió que Tesla podía acceder a las cámaras de los coches de sus clientes. También se descubrió que los empleados de Tesla compartían entre sí videos e imágenes recopilados por estas cámaras. Un ex empleado de Tesla describió incluso que, aunque el coche estuviera apagado, las cámaras seguían grabando video y el coche incluso informaba de su ubicación.

El ex empleado describió cómo los coches capturaban a los clientes lavando la ropa y otras actividades cotidianas en el hogar.

Una de las formas más comunes en que las empresas han optimizado sus ventas es a través de la publicidad dirigida basada en datos de navegación recopilados de las personas usuarias. En 2020, se descubrió que Orbitz, una popular agencia de viajes en línea y motor de búsqueda de viajes, mostraba precios más altos para las habitaciones de hotel a las personas usuarias de Mac que a quienes utilizaban un PC con Windows. Orbitz admitió más tarde que utilizaban este rasgo de usuario para ofrecer habitaciones más premium a quienes usaban Mac, y posteriormente eliminaron esta «función».

Además de qué máquina específica pudieras estar usando, los anunciantes también podían recopilar datos más personales del sitio web que estuvieras visitando. En 2021, a la empresa Signal se le prohibió anunciarse tanto en Facebook como en Instagram por publicar lo que se consideró la campaña publicitaria más honesta. El núcleo de la campaña era exponer a Instagram y a su empresa matriz, Facebook, ante su capacidad para recopilar datos de los usuarios mediante la segmentación de dichas personas con las herramientas de tecnología publicitaria de Instagram.

Algunos de los datos utilizados eran información básica que iba desde la edad y la ubicación del usuario hasta puntos más granulares y detallados, como si estaban buscando una nueva casa, si estaban solteros o si eran muy aficionados a las bebidas energéticas.

Incluso si la empresa que recopila tus datos no tiene ningún motivo oculto al utilizarlos, esto no significa que los datos no sean un objetivo para otros con motivos ocultos. En noviembre de 2022, la empresa australiana Medibank sufrió una filtración de datos de clientes relacionados con reclamaciones de tratamientos de salud mental en la Dark Web por parte de hackers rusos.

A lo largo de la semana del 6 de noviembre de 2022, el grupo de hackers fue difundiendo poco a poco archivos que contenían información personal de varios titulares de pólizas. Durante esa semana, cientos de pacientes vieron sus datos expuestos al público general, con la intención principal de conseguir que Medibank pagara un rescate para que la filtración de datos se detuviera.

A pesar de que Medibank tenía las mejores intenciones al conservar los datos de los pacientes, y aunque Medibank no utilizó intencionadamente los datos con motivos ocultos, los datos se convirtieron en objetivo de los hackers y fueron expuestos al público general.

Afortunadamente, cambiando algunos hábitos y utilizando la tecnología correcta, puedes proteger tus datos y mejorar tu privacidad y anonimato. Es importante señalar que algunos de estos pasos supondrán un pequeño desafío para tus hábitos de navegación, ya que el internet moderno ha sido diseñado para no ser privado. Aunque esta Wiki te ayudará a comprender los recursos que necesitas para mantener tu anonimato en línea, debes sacrificar la comodidad.

Crear un modelo de amenazas es la base para mejorar tu privacidad en línea. Es el primer paso para asegurar tus datos. Identifica lo que quieres proteger, comprende las posibles amenazas y riesgos, establece tus objetivos de seguridad y encuentra vulnerabilidades en tus actividades en línea. Adaptado a tu situación, un modelo de amenazas te permite proteger tus activos digitales de forma proactiva. Aprende a crear un modelo de amenazas con nuestra guía.

Muchas personas consolidan sus cuentas y servicios en un único proveedor de correo electrónico que no está orientado a la privacidad, como Gmail. Esto a menudo conduce a reutilizar contraseñas en diferentes cuentas, vinculando una gran cantidad de información personal a ese correo electrónico. Esta práctica se vuelve problemática si una brecha de datos expone contraseñas y correos electrónicos, haciendo que todas las cuentas asociadas al correo sean susceptibles a la piratería. Un correo electrónico comprometido significa servicios relacionados comprometidos.

La solución es descentralizar las cuentas utilizando varias direcciones de correo electrónico con un sistema único de gestión de contraseñas. Opta por un gestor de contraseñas que no esté basado en la web y que evite el registro en línea o la sincronización en la nube para preservar el anonimato. Las recomendaciones principales son KeePassXC o GNU Pass.

Una de las cosas más importantes a considerar al proteger tus datos es el servicio de correo electrónico que deseas utilizar. Por lo general, se tratará de direcciones de correo electrónico permanentes o direcciones temporales. Independientemente de cuál utilices, querrás registrarte a través de la red TOR, ya que puedes solicitar una nueva identidad para navegar.

Las direcciones de correo electrónico permanentes serán los servicios de correo que pretendas utilizar en el futuro previsible, como para correspondencia o cualquier alerta de cuentas con ese correo. Tres buenos servicios que son altamente recomendados son Tutanota, Mailfence y Proton Mail para una dirección de correo electrónico permanente.

Las direcciones de correo electrónico temporales serán aquellas que solo planeas utilizar durante poco tiempo. Un ejemplo sería para canjear un cupón o una oferta en línea. Para direcciones de correo electrónico temporales, utilizarás Guerrilla Mail, TempmailO.com o TempMail.org.

Los navegadores web sirven como extensas herramientas de recopilación de datos para las empresas. Las opciones óptimas para la privacidad son GNU IceCat y Firefox debido a sus robustas configuraciones de seguridad desde la instalación.

• GNU IceCat cuenta con la configuración más segura desde el principio. Sin embargo, hay un compromiso: no es compatible con JavaScript, lo que lo hace inadecuado para servicios que dependen de JavaScript como YouTube.
• Firefox es más fácil de usar e igual de seguro, pero requiere algunos ajustes para una mayor privacidad. Configúralo para que elimine las cookies al cerrar el navegador y desactiva el autocompletado para datos de tarjetas de crédito y direcciones.

Por el contrario, es mejor evitar navegadores como Google Chrome. Chrome prioriza el seguimiento de datos con fines de lucro y a menudo carece de privacidad de forma predeterminada.

Al asegurar tu privacidad en línea, tu elección de buscador tiene un peso importante. En lugar de buscadores convencionales que comprometen la privacidad, sugerimos explorar alternativas. DuckDuckGo, StartPage y SearX son opciones notables.

• DuckDuckGo tiene políticas de privacidad estrictas que evitan rastrear o almacenar datos personales.
• StartPage combina los resultados de Google con mayores garantías de privacidad.
• SearX, un buscador open source, permite ejecutar una instancia personal, lo que otorga un control total sobre las consultas de búsqueda y los datos.

Estas alternativas priorizan tu privacidad, preservando la confidencialidad de tus actividades de búsqueda en línea.

Al seleccionar un servicio de mensajería instantánea (IMing), prioriza los que emplean cifrado de extremo a extremo. Evita plataformas que carecen de cifrado, como los SMS, que son susceptibles de ser interceptados por proveedores de telefonía o hackers. Una opción robusta con cifrado es Signal. Ofrece mensajería instantánea cifrada y llamadas de voz y video seguras. Sin embargo, la centralización de Signal plantea riesgos potenciales como puertas traseras o cambios de propiedad indiferentes a la privacidad. Las alternativas incluyen servicios federados como Element u opciones entre pares (peer-to-peer) como Briar y Jami, que ofrecen diversos enfoques para salvaguardar tu privacidad.

En una era en la que salvaguardar la privacidad y la seguridad en línea es primordial, integrar una red privada virtual (VPN) se convierte en un paso fundamental para proteger tu presencia digital. Una VPN establece un conducto seguro y cifrado entre tu dispositivo y el internet, asegurando que tus compromisos en línea permanezcan confidenciales, impermeables a miradas indiscretas, incluyendo hackers, proveedores de servicios de internet y vigilancia gubernamental. Con una VPN, puedes explorar la web de forma incógnita, acceder a contenido limitado por fronteras geográficas y fortalecer el uso de tus datos en redes Wi-Fi públicas. Ya sea que tus preocupaciones orbiten en torno a la privacidad en línea o que aspires a reforzar tu ciberseguridad, una VPN emerge como una herramienta indispensable, dotándote de un mayor dominio sobre tus rastros digitales y una actitud tranquila dentro de nuestro reino interconectado. Descubre cómo forjar tu propia VPN a través de esta completa Wiki.

1. Anna Brading. "Amazon's Ring Cameras Were Used to Spy on Customers." Malwarebytes, 1 de junio de 2023, www.malwarebytes.com/blog/news/2023/06/a....
2. Hill, Kashmir, y Ryan Mac. "'Thousands of Dollars for Something I Didn't Do.'" The New York Times, 31 de marzo de 2023, www.nytimes.com/2023/03/31/technology/fa....
3. Hill, Kashmir. "Another Arrest, and Jail Time, Due to a Bad Facial Recognition Match." The New York Times, 29 de diciembre de 2020, www.nytimes.com/2020/12/29/technology/fa....
4. Hunter, Meghan. "Fact or Fiction: Do Airlines Raise Your Ticket Price Based on Your Browser History?" Million Mile Secrets, 9 de abril de 2021, millionmilesecrets.com/guides/are-airlin....
5. "Medibank Mental Health Data Posted on Dark Web as Russian Hackers Vow to 'Keep Our Word.'" The Guardian, 13 de noviembre de 2022, www.theguardian.com/australia-news/2022/....
6. Stecklow, Steve, et al. "Special Report: Tesla Workers Shared Sensitive Images Recorded by Customer Cars." Reuters, 6 de abril de 2023, www.reuters.com/technology/tesla-workers....
7. Wodinsky, Shoshana. "Signal Tries to Run the Most Honest Facebook Ad Campaign Ever, Immediately Gets Banned." Gizmodo, 4 de mayo de 2021, gizmodo.com/signal-tried-to-run-the-most....

• Cómo crear un modelo de amenazas
• Servicios VPN y cómo crear tu propio servidor VPN privado
• Sitio web oficial de KeePassXC
• Página web oficial de GNU Pass
• Página web oficial de GNU IceCat
• Sitio web de Mozilla Firefox
• Sitio web oficial de DuckDuckGo
• Sitio web oficial de StartPage
• Buscador SearX
• GitHub oficial de SearX
• Sitio web oficial de Signal
• Sitio web oficial de Element
• Sitio web oficial de Briar
• Sitio web oficial de Jami