Emprendimiento en el 2020, tres startups que se destacaron en la región

Jorge A. Hernández    22 diciembre, 2020

Aún en medio de las dificultades de la pandemia, varios startups de América Latina lucharon por abrir nuevos servicios y productos, incluso llegaron a nuevos mercados. A continuación, algunos de los emprendimientos más destacados del 2020.

Hace pocos años era difícil imaginar el surgimiento de unicornios latinoamericanos, empresas jóvenes que de un momento para otro empezaron a cotizarse en más mil millones de dólares.

En este selecto círculo emprendimientos latinoamericanos que lograron esta distinción se encuentran empresas como Rappi, Nubank y LifeMiles, por solo mencionar algunas.

Pero todas empresas hasta hace pocos años eran apenas startups, emprendimientos que de la mano y el trabajo incesante de jóvenes empresarios surgieron.

Buenas ideas se abren paso

De igual forma, todos los años surgen emprendimientos en la región, armados de buenas ideas y que con planes de negocio bajo el brazo golpean las puertas de clientes y fondos de inversión.

Por eso decidimos destacar algunos de los más destacados del 2020:

Se trata de una Startup latinoamericana fundada en 2015, en Perú, con la misión de transformar la educación en la región; cuenta con más de 500 cursos, 14 especializaciones y más de 150 expertos en categorías que van desde negocios y marketing hasta diseño Web.

Al preguntarles por su desempeño este año respondieron “El 2020 sin duda alguna aceleró nuestro crecimiento dada la explosión digital que vivió el mundo debido al aislamiento y las cuarentenas decretadas por los gobiernos. Pasamos de tener 1.2 millones de estudiantes a tener hasta la fecha 3.8 millones en todo Latam y España; un crecimiento superior al 300%”.

Se trata de un emprendimiento colombiano que tiene como misión formalizar y profesionalizar el trabajo doméstico. A través de la plataforma de Hogaru, miles de hogares colombianos pueden contratar servicios de aseo y cafetería con los más altos estándares de calidad, seguridad y cumpliendo con todas las leyes.

El 2020 fue un año retador para esta empresa por el hecho de no haber podido operar por varias semanas. Sin embargo, durante ese periodo, la mayoría de nuestros clientes decidió apoyarnos pagando por los servicios de Hogaru sin recibirlos, lo que demuestra la gran conexión que nuestra marca tiene en los corazones de nuestros clientes. 

Otro es el caso de un emprendimiento especializado como Celotor, creado en 2011 se trata de un detector de celo bovino que alerta sobre el “standing” o monta de las vacas, envía mensajes de texto al inseminador y almacena registros en la web.

En el 2020, las ventas de este emprendimiento bajaron debido a las limitaciones de los proveedores e importaciones. Sin embargo, fue un año en donde se crearon nuevos productos y generaron nuevos mercados, incluso se abrieron operaciones en otros países de la región como México y Guatemala.

Foto creada por peoplecreations – www.freepik.es

2020 y la ciberseguridad de un mundo en crisis

Jorge A. Hernández    21 diciembre, 2020

Solo en el tercer trimestre del 2020 se produjeron más de 199.7 millones de ataques tipo ransomware en el mundo, sin embargo para muchas empresas de habla hispana la ciberseguridad no fue una prioridad. ¿Cómo estuvo la ciberseguridad en el 2020?

Las crisis suelen sacar lo mejor y lo peor de la sociedad y el coronavirus no fue la excepción, mientras ejércitos de doctores trabajaron sin descanso para superar la pandemia, los hackers aprovecharon la oportunidad para crear nuevos ataques.

Lo peor, muchos de estos ataques engañaron a miles con información falsa sobre posibles curas del covid-19 o sembrando teorías conspirativas que generaron más pánico en la población.

Y como si fuera poco, los cibercriminales decidieron atacar varios laboratorios para robar la información de las vacunas en desarrollo. Peor aún, desarrollaron un tipo ataque que alteraría la cadena de frío en el transporte de la misma vacuna.

En otras palabras, el 2020 fue también en el mundo del malware, el año del covid-19.

Otros vectores de ataque

Una de las grandes consecuencias del confinamiento fue el teletrabajo y con este un nuevo objetivo para los criminales que concentraron sus esfuerzos para robar los datos de los trabajadores remotos.

Para el segundo trimestre del 2020, el 73% de los trabajadores encuestados afirmó no recibir ningún entrenamiento previo de “security awareness” antes de asumir el teletrabajo.

Esta situación motivó a cientos de organizaciones a generar cursos online sobre los peligros y cuidados de usar Internet y de trabajar desde sus dispositivos y redes personales, cargando aún más a los departamentos de sistemas.

Otra amenaza del año fue el aumento de los Deepfakes, al facilitar su acceso a la población mediante apps, y siendo usando en campos tan variados como la política o las estrellas del entretenimiento. Los deepfakes permiten suplantar la identidad de casi cualquiera.

Otras tendencias del 2020 fueron el Stalkerware, un tipo de malware que ataca los dispositivos móviles y busca espiar las actividades de sus propietarios, y el auge de aplicaciones (apps) creadas con el fin de robar la información de sus usuarios, entre otros.

Foto creada por Racool_studio – www.freepik.es

Entendiendo los marketplaces y sus ventajas para las pymes

Jorge A. Hernández    21 diciembre, 2020

La pandemia obligó a muchas empresas a acelerar el desarrollo de sus canales de comercio electrónico, sin embargo, muchas de ellas ni siquiera tenían una página web, para casos como esto, los marketplaces se convirtieron en una opción ideal.

Comencemos definiendo los marketplaces, “son plataformas digitales, a menudo retailers gigantescos, que ofrecen su plataforma a otros comercios y marcas para que puedan comerciar sus artículos”.

Los hay de varios tipos y clasificaciones: híbridos y puros, siendo los puros aquellos cuyo dueño no vende directamente en la plataforma (eBay y MercadoLibre), y los híbridos donde el propietario de la plataforma también vende (Amazon).

También los hay generalistas, que venden todo tipo de objetos y los especializados como los que solo comercian ofertas de vivienda (FincaRaiz) o cursos educativos (Udemy). Los hay por demanda, donde se atiende al cliente en el momento que lo solicita (Uber) y los que son manejados por la comunidad, entre otros.

El punto a destacar es que los marketplaces tienen un 12% del comercio global y gracias a la pandemia está cifra está creciendo. Y aunque tienen ventajas y desventajas son una opción ideal para muchas empresas.

¿Conveniente para todos?

Aunque los marketplaces tienen varias ventajas, las dos más claras son su precio y alcance. Siempre será más barato vender los productos en un marketplace que montar un canal de ecommerce en un sitio web. Además, los marketplaces suelen tener millones de visitantes.

De esta forma, los marketplaces son herramientas ideales para pequeñas y medianas empresas, pero ¿esto aplica para el sector B2B? La respuesta es sí…

Los marketplaces entre grandes organizaciones sirven como un lugar de conexión entre empresas especializadas, proveedores y servicios, y se estima que las próximas startups billonarias del ecommerce vengan precisamente de este segmento.

Claro está, las transacciones B2B tienen sus propias particularidades como el tamaño de los pedidos, tiempos de entrega, aseguradoras, descuentos por volumen, entre otras variables que deben estar registradas en las plataformas. Algunos de los ejemplos más grandes de la actualidad son Alibaba, Amazon Business, 1688.com y SoloStocks, entre otras opciones, pero el mercado está creciendo.

Foto creada por lifeforstock – www.freepik.es

ElevenPaths Radio 3×05 – Entrevista a Gonzalo Asensio

ElevenPaths    21 diciembre, 2020

¿Qué tiene que ver la cerveza con el hacking? La profesión de CISO (Chief Information Security Officer) puede resultar muy estresante debido a la cantidad de procesos y medidas de seguridad que las personas que ocupan este cargo deben controlar.

En este episodio de ElevenPaths Radio hablamos sobre ciberseguridad, hacking y cerveza con Gonzalo Asensio, CISO de Bankinter y socio fundador de la cerveza Hackers, de CiberBeers.

Entrevista a Gonzalo Asensio ya disponible aquí:

Disfruta de todos nuestros podcast en tu plataforma favorita

Descubre más invitados de la tercera temporada de ElevenPaths Radio:

ElevenPaths Radio 3×07 – Entrevista a Mercè Molist
ElevenPaths Radio 3×06 – Entrevista a Aiert Azueta
ElevenPaths Radio 3×04 – Entrevista a Ángel Ortiz
ElevenPaths Radio 3×03 – Entrevista a María Campos
ElevenPaths Radio 3×02 – Entrevista a José Valiente
ElevenPaths Radio 3×01 – Entrevista a David Barroso

¡Y no te pierdas todos los episodios de la primera temporada y de la segunda temporada de ElevenPaths Radio!

Las primeras vulnerabilidades oficiales en Machine Learning, así, en general

Franco Piergallini Guida    21 diciembre, 2020

Hoy por hoy no eres nadie en el mercado si no usas un sistema de Machine Learning. Ya sea un sistema de “ifs” anidados o un modelo de inteligencia real con una envidiable curva ROC, esta técnica forma parte del discurso habitual en ciberseguridad, y como tal, se incorporado ya a la industria como un método más. Nos preguntamos si está siendo atacado o sufriendo vulnerabilidades, una forma de medirlo es saber si se ya conocen fallos oficiales y qué impacto han tenido.

¿Cómo se ataca un sistema de Machine Learning? Pues como casi todo en ciberseguridad, conociéndolo a fondo. Una de las fórmulas es “extraer” su modelo de inteligencia para poder eludirlo. Si sabemos cómo clasifica un sistema, podemos enviar muestras para que las clasifique a nuestro gusto y pase desapercibidas. Por ejemplo, en el año 2019 se registró en el NIST la primera vulnerabilidad asociada a un sistema de Machine Learning con un CVE concreto. Aquí se logró “imitar” un modelo de Machine Learning para la clasificación de correo basura (SPAM) recolectando la puntuación que iba asignando el sistema de Protección de Emails a los distintos los encabezados. Una vez replicado el modelo, extrajeron el conocimiento que serviría para generar un posterior ataque que eludía los filtros.

Básicamente, el conocimiento relevante que pudieron obtener los investigadores replicando el modelo original fueron los pesos que el sistema le asignaba a cada término que aparecía en la cabecera de un email para clasificarlo como «no spam». A partir de ahí, realizar pruebas añadiendo estos términos en un correo basura para “engañar” al modelo original y lograr el objetivo de poder clasificar un correo spam como no spam.

En nuestro post «Pensando en ataques a WAFs basados en Machine Learning» utilizamos la misma técnica para engañar modelos implementados en algunos WAF que detectan URLs maliciosas y XSS. Indagamos en los modelos para comprender o conocer cuáles son los términos que tienen más peso a la hora de clasificar una URL como no maliciosa y los incluimos a nuestra URL maliciosa para lograr generar una clasificación errónea en la predicción.

La respuesta por parte del fabricante a esta vulnerabilidad indican que parte de la solución a este problema fue la capacidad de su modelo de actualizar sus puntuaciones (pesos) en tiempo real. En otras palabras, sacrificar la estacionalidad por la adaptabilidad y reentrenar dinámicamente su modelo con nuevas interacciones de los usuarios. Si bien es una posibilidad interesante en este caso y que refuerza el sistema, esto no siempre es aplicable para cualquier modelo que utilicemos ya que podría acarrear otro nuevo vector de ataque en donde un adversario podría manipular los limites de decisión del modelo envenenándolo con inputs sintéticos que en realidad son “basura”.  Dado que para tener un impacto significativo el atacante debería insertar una gran cantidad de basura, los servicios que son más populares y ven un gran volumen de tráfico legitimo son más difíciles de envenenar para tener un impacto significativo en el resultado del aprendizaje.

Un nuevo mundo de oportunidades

La anterior vulnerabilidad se restringía a un producto, pero también hemos asistido a problemas genéricos en los algoritmos. Por hacer una analogía, sería como encontrar un fallo en la implementación de un fabricante, en contraposición a un fallo en el diseño del protocolo (que obligaría a actualizar a todos los fabricantes). En este sentido, quizás una de las implementaciones de Machine Learning más famosas son las basadas en los algoritmos entrenados a través del descenso de gradiente (gradient descent).

Hace no tanto se descubrió que son potencialmente vulnerables a ataques de clasificación errónea arbitrarios, como explican en esta alerta del CERT Coordination Center, Carnegie Mellon University. En este caso, ya estudiamos y compartimos en una aplicación del mundo real atacando un sistema de reconocimiento de videos Deep Fakes, y otra relacionada con el ataque de aplicaciones móviles para la detección de melanomas en la piel que publicaremos más adelante.

En conclusión, a medida que incorporamos esta tecnología al mundo de la seguridad, veremos más ejemplos de fallos de implementación, e incluso más esporádicamente, fallos de diseño en algoritmos que pondrán a prueba la habilidad de estos sistemas supuestamente inteligentes. Las consecuencias serán en general que los atacantes serán capaces de engañarles para clasificar erróneamente y por tanto, eludir probablemente ciertos sistemas de seguridad.

La experiencia gaming que lo cambia todo: Core Innovation y las redes programables

Innovation Marketing Team    21 diciembre, 2020

Durante el Telefónica Innovation Day del pasado 19 de noviembre, nuestros equipos de innovación interna y externa nos contaron las claves que definen las líneas de trabajo y las novedades por las que se está apostando en Telefónica. Durante la intervención de Core Innovation, se puso de manifiesto la importancia que la innovación en conectividad tiene dentro de la compañía, poniendo foco en las redes programables y en el mundo gaming.

La programabilidad de las redes es una de las características que la conectividad del futuro tendrá y que hará la vida de los usuarios infinitamente más sencilla, ofreciendo una experiencia mucho más personalizada. El sector del gaming es uno de los que más se podrá aprovechar de esta apuesta por las redes programables ya que su popularidad cada día va creciendo un poco más. Para saber cómo, el equipo de Connectivity Innovation está explorando las posibilidades que las redes programables ofrecen al mundo del gaming, hemos hablado con César Hernández, responsable del equipo de Gaming de Connectivity Innovation, quien nos ha contado las principales apuestas y avances que estamos llevando a cabo.

Redes programables: Core Innovation ofrece la experiencia más personalizable aplicada a los videojuegos y el gaming

P: Las redes programables, con su capacidad para personalizar la experiencia de cada usuario, son el futuro de la conectividad. ¿Cómo puede beneficiarse una industria como el gaming de estas nuevas prestaciones que están desarrollando las redes?

R: Una red programable es nuestra red de siempre pero más transparente y accionable. Es decir, en el pasado, un gamer jugaba y cruzaba los dedos para que la experiencia fuera buena. En caso de que la red no fuera óptima, el gamer o el juego serían los que tendrían que adaptarse a las condiciones de red (ya fuera reduciendo la calidad del streaming, buffereando, etc.). Hoy, y de cara al futuro cada vez más, las redes programables harán posible tanto a los jugadores como a los videojuegos (publishers) accionar y adaptar la red a la experiencia necesaria o deseada. De esta manera, la red deja de ser una caja negra para convertirse en un elemento más a tener en cuenta, poder configurar y programar dentro de toda la experiencia.

P: ¿Cómo estamos innovando sobre una plataforma ya existente, como es el caso de SmartWifi, para optimizar la experiencia de los jugadores?

R: SmartWifi es una herramienta que permite a nuestros clientes finales modificar y accionar su red del hogar, su red wifi. Esto les da la posibilidad de gestionar dispositivos conectados, resolver problemas de conectividad, gestionar la red de invitados, gestionar la seguridad, accionar el control parental, etc.

Ahora, adicionalmente, los clientes que jueguen a videojuegos podrán, en un click, optimizar su red wifi para su servicio de juegos favorito, sin perjudicar al resto de servicios que conviven en el wifi del hogar. Concretamente, el cliente podrá priorizar tráfico gaming en su wifi o gestionar una rápida apertura de puertos a servicios gaming concretos. Esto ha sido posible gracias a un entorno programable y accesible de la red del hogar de Telefónica (wifi), por un lado, y de sus plataformas (SmartWifi), por otro.

Próximos pasos en programabilidad

P: ¿Y qué hay más allá de SmartWifi? ¿Cuáles son los siguientes pasos para las redes programables y el gaming?

Más allá del hogar, será necesario extender esas mismas funcionalidades al resto de entornos de conectividad que impactan en la experiencia final del gaming de forma que los usuarios puedan jugar desde cualquier dispositivo en cualquier lugar. Necesitamos extender la programabilidad más allá del hogar en la red móvil y red fija, por ejemplo, integrándola con plataformas que no son nuestras, como las plataformas de videojuegos.

De esta manera, sacando partido no solamente a nuestras redes, sino también a nuestras plataformas e incluso en un futuro a las plataformas de nuestros partners, las redes programables están siendo diseñadas para ofrecer la máxima calidad de juego, en un entorno del hogar que imaginamos cada vez más conectado, cada vez más optimizado y cada vez más accesible. Es así como en Core Innovation trabajamos para que Telefónica pueda dotar de la mejor experiencia nuestros clientes y permitirles que disfruten sin límites de sus videojuegos favoritos.

Si no quieres que tu web se quede sin indexar por Google, adáptala al móvil

Mar Carpena    21 diciembre, 2020

De nuevo Google anuncia cambios y, en este caso, las novedades del buscador por antonomasia podrían afectar a miles de páginas web que, a partir del próximo mes de marzo, podrían convertirse en invisibles.

Y es que, para esa fecha, Google dejará de indexar en su buscador todas aquellas páginas web que no sean compatibles con navegadores móviles.

El algoritmo Mobile First Index

El anticipo a esta estrategia lo encontramos en 2018, fecha en la que Google lanzaba Mobile First Index, el algoritmo que comenzó a utilizar para posicionar las webs en su listado de resultados cuando alguien realiza una búsqueda.

Las llamadas ”arañas de Google” recorren la red y van saltando de url en url, recopilando información, esto es lo que conocemos como la fase de «crawleo» o rastreo.

Recopilan toda esa información y la organizan (fase de indexación) para después valorar ese contenido, definiendo qué paginas dan un mejor servicio al usuario para según que búsquedas.

Es esa valoración la que hace que, en los resultados de búsqueda, muestre una web en primera posición, en el número 20 o en el 50… Esto último es la fase de «rankeo», explica Rodrigo Rubio, especialista en SEO y B2B Digital Marketing Specialist en Alfa Laval.

Se trata de un criterio decisivo para la visibilidad de miles de empresas y comercios que, ahora, da un salto más.

Con el cambio anunciado, la compañía eliminará de su índice todas aquellas páginas web que no dispongan de compatibilidad con navegación móvil, así como todas las imágenes que contengan y los archivos asociados.

Webs invisibles para Google

Actualmente Google te penaliza o te da una posición baja si tu página no se ve correctamente en un navegador móvil.

«¿No te ha pasado a veces que en el móvil, en una página web, por ejemplo, no ves un botón? ¿O que el texto de ese botón es demasiado largo y se sale de la pantalla? Este tipo de cosas ofrecen una mala experiencia al usuario, algo que a Google no le gusta» asegura Rodrigo Rubio.

Ahora parece que no es que las vaya a posicionar bajo, sino que directamente no las va a indexar y si no la indexa, no pasa a la siguiente fase, es decir, no la mostrará en los resultados de una búsqueda.

Menos visitas y menores ventas

Este cambio podría afectar a miles de páginas web que podrían dejar de “existir” para Google, con lo que eso conlleva a nivel de visitas y, en consecuencia, de ventas.

Como explica Rubio, ”si actualmente, por ejemplo, una empresa tiene 1.000 visitas al mes a través de la web y, de esas 1.000, 700 llegan desde Google, a partir de ahora, un 70% de su tráfico podría esfumarse. Esto, en el caso de un ecommerce podría suponer que un 70% de sus ingresos no lleguen”.

Pero, ¿a qué tipo de webs podría sucederle? Actualmente es cierto que un gran número de webs ya cuentan con un diseño responsive, es decir, que se adapta a cualquier dispositivo, también es igual de cierto que el margen de mejora aún es grande.

De hecho, según el reciente informe Radiografía de las pequeñas empresas y autónomos españoles, de GoDaddy, pese a que contar con un diseño responsive es clave para ofrecer una experiencia de usuario plenamente satisfactoria, un 43% de las pymes españolas afirma que no sabe lo que es y tan solo un 11% lo usa, aunque un 89% podría aplicarlo para mejorar la experiencia de sus clientes potenciales y aumentar así sus ventas.

¿Cómo saber si una web es adaptativa?

El primer paso para saber si nuestra web es responsive o no, nos lo facilita el propio buscador.

Con su herramienta “Prueba de optimización para móviles”, basta con introducir la url de una web para que Google la analice y nos diga si está optimizada o no para la navegación móvil.

En caso de que el resultado sea negativo, el plazo para subsanarlo finaliza el próximo marzo.

Según afirman desde Google, “el 70% de los sitios web que se muestran en los resultados de búsqueda ya han cambiado y son rastreados con Mobile First Index”.

Pero, si tenemos en cuenta esta afirmación, hay un 30% de las webs que no están preparadas para el cambio.

El usuario, el más beneficiado

“Es cierto que, actualmente, prácticamente todas las plantillas, incluso gratuitas, que puedes encontrar para crear una web son ya responsive, pero está claro que habrá empresas, con sistemas antiguos y que manejan un gran volumen de datos, para las que el cambio es necesario y no será sencillo”, explica Rodrigo Rubio.

Cada vez más, como usuarios, usamos el móvil para consultarlo todo. Según los últimos datos de Google, alrededor de 1.000 millones de personas acceden a Internet desde sus teléfonos móviles. Y no es normal que te encuentres con páginas por las que navegar desde el móvil sea el infierno en la tierra.

«Lo lógico es que Google quiera que tengas una buena experiencia usando su buscador y no es algo que nos haya pillado por sorpresa. Lo llevan avisando años”, asegura Rubio.

Así que no queda otra opción. En marzo de 2021, la web será móvil o no existirá, al menos en lo que a Google respecta.

Imagen de Gerd Altmann en Pixabay

Se habla mucho de resiliencia pero poco del esfuerzo

Mercedes Núñez    21 diciembre, 2020

La incertidumbre como única certeza y la resiliencia como el superpoder capaz de salvarnos. Este año se han repetido ambas cosas hasta la saciedad. Pero si bien la capacidad de adaptarnos positivamente a las situaciones adversas es necesaria, creo que es más acertado hablar del esfuerzo que tendremos que hacer. Sí, aunque en estas fechas todos estemos ya exhaustos…

Lo puso sobre la mesa Ferrán Adrià, presidente de elBullifoundation, en el marco del HR Hybrid Forum, el principal foro de Recursos Humanos en España, del que volveré a escribir próximamente. “Oigo hablar poco de esfuerzo en estos meses y dudo que se pueda salir de esta pandemia sin un esfuerzo extraordinario”, aseguró Adrià. Coincido plenamente. Creo que la resiliencia se nos queda corta…O que el esfuerzo es el paso siguiente.

Recientemente leía un artículo sobre cómo recordaremos 2020 y los expertos alertaban: «¿Quién va a tirar del carro ahora? Parece que todos estamos esperando a alguien, ente o persona, que dirija esta recuperación, cuando en realidad parte mucho más de cada uno de nosotros… El mayor daño que se puede hacer a la población es hacerla creer en que todo es posible sin esfuerzo».

La del COVID-19 es, según los expertos, la peor crisis desde la Segunda Guerra Mundial. Aunque haya supuesto un avance de un lustro en digitalización ha ocasionado un colapso, algunos incluso hablan de una década pérdida…

No se trata de que cunda el desánimo pero es obvio que salir de esto requerirá de mucho esfuerzo. Será necesario el “empleo enérgico del vigor, el brío, el valor para conseguir algo venciendo dificultades”, como se recoge en la RAE.

Agilidad y mucho trabajo

El entorno ha cambiado de forma brutal y rapidísima y lo va a seguir haciendo y las organizaciones deben adaptarse a él. Ferrán Adrià puso el símil de un restaurante, en el que para atender a los comensales es necesaria la agilidad y una capacidad de trabajo extenuante.

Prueba y error, un método necesario

Además, Adrià, que revolucionó el mundo de la gastronomía, lo introdujo en una nueva era y apareció en la revista Time como uno de los diez personajes más innovadores del mundo en 2004, señaló que también se debe trabajar con la prueba y el error en la empresa. Ya escribíamos de la valentía como ventaja competitiva en estos momentos.

El aprendizaje solo puede ser continuo ya

Y para ello -señaló- es importante el aprendizaje continuo, la formación. En elBullifoundation, un proyecto del que Telefónica es partner tecnológico, se guarda el legado de El Bulli, considerado durante varios años el mejor restaurante del mundo. Una de sus claves fue la gestión de la innovación entendida de manera poliédrica.

Innovación con una visión sistémica y holística

Adrià se refirió en el encuentro de Recursos Humanos a la necesidad de una visión sistémica y holística. “Es necesario conectar el conocimiento para comprender, tener el contexto”. No se puede hacer nada interesante desde la limitación de los compartimentos.

La admiración en un equipo de trabajo

Otra receta que dio a los directores del área de Personas después de veinte años al frente de un equipo creativo es que la admiración es clave. Cuando un equipo es muy bueno todos quieren aprender unos de otros y esto repercute en el esfuerzo y la eficiencia, es la magia del talento. Cuando se da la admiración y no hay vanidad ni envidias surge la inspiración y la creatividad. Hay que conseguir el compromiso, pese a las circunstancias.

Gestionar la contingencia no es fácil y el panorama no es halagüeño pero hay que mirar el futuro con positividad. Se trata también de una oportunidad única de transformación de los empleados, las organizaciones, la economía y el modelo productivo.

Esfuerzo y colaboración: es tarea de todos

No podemos decaer ni parar. Para la salud emocional son clave las ilusiones y en el centro del huracán hay que mirar desde arriba las cosas. Eso llena de energía al equipo para seguir trabajando. Toca luchar por seguir adelante colaborando entre todos. Y va a requerir mucho esfuerzo, sí.

De lo ocurrido, no obstante, se pueden sacar lecturas positivas: la capacidad de adaptación de la gente, de hacer cosas que pensábamos que era imposible o que ahora nos preguntamos por qué no las poníamos en práctica antes, la velocidad a la que se han tomado decisiones, empresas que se han vuelto más humanas… Ahora toca aprender de ello.

No vamos a ir a mejor por defecto

Vamos a salir de ésta pero no vamos a salir iguales. Tampoco mejores por defecto. Hay que ver cómo queremos ser y trabajar en esa visión, ponerle ganas. Esfuerzo, una vez más.

Es el momento de hacer cosas nuevas, de buscar alternativas, de entender el valor de otros puntos de vista para resolver los problemas, de encontrar ángulos distintos y contemplar la diversidad como camino al éxito.

Es momento también de asumir la responsabilidad individual de trabajar y relacionarnos de otra manera, de conocernos mejor, de ser curiosos de nosotros mismos, se dijo en el encuentro.

En tiempos de crisis los empleados levantan la vista y exigen que los líderes sean auténticos, transparentes y empáticos. Eso ayuda a que los equipos estén preparados para hacer lo que toque, facilitan su esfuerzo.

Los buenos líderes, por su parte, quieren trabajar con gente mejor que ellos, eso no les crea ninguna inseguridad. Gente flexible también, equilibrada, con la fuerza que dan las habilidades blandas.

Hoy empieza el invierno y volveremos a ver bandadas de estorninos, el esfuerzo colosal que realizan y la seguridad que se proporcionan unos a otros al volar juntos. Ojalá también veamos a muchas organizaciones estornino.

Imagen: Arkangel

Blockchain 2021 Released

José Luis Núñez Díaz    21 diciembre, 2020

Se acerca por fin el nuevo año. Así que es momento de revisar lo que dio de sí este pandémico 2020 y escribir qué esperamos de 2021. Y como no puede ser de otra forma, me toca hacer ese análisis con foco en blockchain.

Lo que la pandemia nos dejo

Muchos seguimos desde hace 9 meses con el centro de operaciones en la habitación de al lado de donde dormimos. Ya sabemos lo mucho que la pandemia ha hecho por la digitalización de todo tipo de empresas. Nuestras relaciones laborales y personales se han movido a la nube. También buena parte de las operaciones y transacciones de las empresas son ahora completamente digitales.

En este contexto emergen nuevas necesidades y desafíos que requieren una confianza extra. Confianza entre dos partes, en que cada uno de ellos es quien dice ser. Seguridad de que la información intercambiada o consumida por una de ellas es veraz. Garantías de que las transacciones digitales se completan en el mundo físico. En definitiva, la confianza absoluta como forma de construir una reputación. De esta manera, a mayor/mejor reputación, mayores posibilidades de que, en el escaparate digital, mi servicio o producto sea elegido.

La mejor forma de construir esa reputación es con una buena ejecución. Y la forma más sencilla de demostrar la ejecución es con blockchain. Gracias a blockchain permitimos que cualquiera pueda verificar que los procesos o tareas se han ejecutado tal y como decimos. Además entran en juego otros principios como la sostenibilidad y el abastecimiento ético o el respeto del medioambiente. Gracias a blockchain podemos también demostrar cómo producimos nuestros productos aplicando estos principios. Todo ello suma a la hora de construir esa reputación.

La pandemia nos ha empujado a todos al mundo digital. Y como efecto colateral nos ofrece a los que trabajamos en blockchain una enorme oportunidad de capitalizar esa necesidad de demostrar fácilmente la correcta ejecución de nuestras operaciones como base o pilar para construir esa tan necesaria reputación. Podemos crearnos una reputación con base en evidencias verificables que construimos añadiendo Blockchain a nuestros productos y soluciones.

Tecnología accesible

Pero no vale que la necesidad exista. Cualquier empresa debe poder construir esa reputación en el mundo digital con blockchain. No podemos exigir a nuestras PYMES y emprendedores que contraten a expertos en Blockchain. Tampoco que dediquen tiempo y recursos a entender cómo aplicar la tecnología en sus procesos para construir esa reputación. Es responsabilidad de las compañías de tecnología como Telefónica ofrecer soluciones sencillas. Soluciones simples que permitan a las empresas beneficiarse de las ventajas de Blockchain fácil y rápidamente.

Por eso creemos que, una vez que hemos dejado atrás el mantra «Quiero una blockchain», en 2021 veremos como multitud de pequeñas empresas empiezan a usar blockchain de manera casi transparente. Blockchain va a dejar de ser un reclamo para levantar financiación o parecer disruptivo. En los próximos meses, multitud de productos van a ayudar a eliminar esas barreras de adopción. Blockchain va a convertirse en una herramienta que casi cualquiera va a poder usar. Tenemos la obligación de hacer realidad el «Blockchain para todos».

Blockchain para Todos

Para que el nuevo mantra de «Blockchain para Todos» sea una realidad, necesitamos un hito equivalente al iPhone en Internet. Antes del iPhone hablábamos de la Internet Móvil. Aquella versión de páginas web con navegadores especiales, el WAP, el WML, los portales cautivos de acceso. Contenido disponible al que nadie accedía. Con la llegada del iPhone, todo cambió y cualquiera era capaz de consultar la bolsa o las noticias. Resulta que la killer app que buscábamos era un botón que te decía directamente el tiempo en tu ciudad.

De manera similar, muchas voces claman por un rediseño completo de cómo se interacciona con blockchain. Desde luego, en el mundo de los wallets y la gestión de claves e identidades hay un reto. Pero más allá, la propia orquestación de servicios y tecnologías debe re-pensarse desde un punto de vista de las necesidades.

Tenemos que aplicar a blockchain los principios de diseño centrado en los usuarios y sus necesidades incuestionables en otras disciplinas. Si necesito trazar el origen de una naranja, no puedo preocuparme de la clave criptográfica de la naranja. Si quiero verificar si viene de Valencia o de Sevilla, no tengo porque utilizar un hash. Tengo que hacerlo todo con un click, o golpe de one-tap-app, como si abriera la app del tiempo.

Convergencia de redes

La otra barrera a la hora de hacer accesible y universal blockchain es la fragmentación. Un empresario que ya ha encontrado cómo blockchain puede ayudarle se encuentra a día de hoy ante la duda de qué tecnología utilizar. Debe elegir entre desplegar su propia red o utilizar algún servicio tipo SaaS. Incluso analizar las ventajas de unirse a los mil y un consorcios.

Las empresas que finalmente se lanzan están desplegando sus propios entornos. Hay grandes proyectos con complejas infraestructuras replicadas. Muchas de ellas utilizan poco más del 10% de la capacidad disponible. Desde un punto de vista económico parece obvio que no estamos desarrollando un mercado eficiente. Ahora que la tecnología está madura, los proyectos escalan y es necesario encargarse de la operación, administración y supervisión de los entornos. Empiezan a aparecer servicios especializados en la gestión de esta infraestructura.

Se habla mucho de la interoperabilidad de redes. Más que la interoperabilidad va a imponerse la convergencia. Y va a hacerlo por una razón tan prosaica de eficiencia. Los equipos de operación van a buscar sinergias que permitan simplificar los entornos y reaprovechar al máximo las capacidades. Distintos casos de uso convivirán en redes multipropósito de una misma empresa. También convivirán casos de diferentes empresas en redes compartidas. Vamos a abandonar las redes verticalizadas por casos de uso y operadas por consorcios.

Por tanto, hablamos de convergencia en vez de interoperabilidad aplicando criterios de eficiencia para maximizar el retorno las capacidades desplegadas. Lo consorcios sectoriales van a quedar relegados a foros de discusión para encontrar caso de uso. En su lugar, emergerán operadores de redes blockchain que ofrezcan sus servicios a las diferentes empresas abaratando los costes. Va a ser un movimiento similar al que se produjo con la virtualización de sistemas en el salto a la nube.

Entonces, ¿Qué esperamos de 2021?

Recopilando, durante 2021 blockchain seguirá ayudando a que las empresas afronten su digitalización con garantías. Para ello, es esperable que el mercado reciba nuevos productos que simplifican y democratizan blockchain.

El 2021 será el año de «Blockchain para Todos»

Por otro lado, la proliferación de redes privadas y silos verticales va a hacer inevitable la convergencia de ecosistemas. Foros como Hyperledger van a ser claves para determinar qué grado de interoperabilidad entre redes es deseable y/o necesario. Las empresas van a ser quienes determinen lo que piden de blockchain, sus necesidades concretas. El mercado y los proveedores de tecnología diremos como pueden satisfacerlas y las diferentes soluciones y redes convergerán. No por necesidad o por convicción, sino por meros criterios de eficiencia operativa.

Para mantenerte al día con el área de Internet of Things de Telefónica visita nuestra página web o síguenos en Twitter, LinkedIn y YouTube.

Noticias de Ciberseguridad: Boletín semanal 12-18 de diciembre

ElevenPaths    18 diciembre, 2020

Compromiso en la cadena de suministro: SolarWinds Orion

Investigadores de FireEye daban a conocer el domingo 13 de diciembre una importante operación global de espionaje y robo de información que aprovecha la cadena de suministro para lograr acceder a los sistemas de entidades públicas y privadas. El vector de entrada fue la inserción de código malicioso en actualizaciones legítimas de SolarWinds Orion, un software de gestión de infraestructura IT ampliamente utilizado. Entre marzo y junio de 2020, la web oficial del proveedor ofrecía para su descarga múltiples versiones digitalmente firmadas conteniendo una puerta trasera denominada por los investigadores como SUNBURST. Los atacantes tras esta campaña han mantenido el sigilo como elemento prioritario en sus incursiones, utilizando los mínimos artefactos de malware posibles, así como herramientas de difícil atribución y técnicas OpSec. Entre las víctimas se encuentran empresas de telecomunicaciones, consultoría, tecnología y extracción en Norteamérica, Europa, Asia y Oriente Medio; así como organizaciones gubernamentales. En lo que respecta al actor amenaza, investigadores de Volexity han desvelado detalles sobre tres incidentes independientes acaecidos entre diciembre de 2019 y julio de 2020, que habrían sido llevados a cabo por este mismo actor, al que han denominado Dark Halo (FireEye lo designa como UNC2452), contra una Think Tank estadounidense. El objetivo de estas intrusiones era la obtención de correos electrónicos asociados a individuos específicos de la organización (ejecutivos, políticos y personal IT). SolarWinds ha emitido por su parte una nueva actualización (2020.2.1 HF 2) con capacidad para inutilizar las trazas del malware SUNBURST que pudiesen haber quedado en aquellos sistemas que hubiesen tenido instaladas versiones maliciosas. Por su parte, en un esfuerzo por mitigar esta amenaza, Microsoft informaba de que su producto de antivirus Microsoft Defender pasaba también a introducir en cuarentena aquellos binarios del software Orion que forman parte de versiones maliciosas, lo que podría causar caídas en sistemas todavía sin actualizar. Al mismo tiempo, esta organización, junto a varios socios en ciberseguridad, han llevado a cabo una operación para tomar el control del servidor C&C utilizado por SUNBURST con el objetivo de prevenir el despliegue de payloads adicionales en los sistemas infectados e identificar las posibles víctimas. Por su parte, FireEye revelaba que las actuaciones llevadas a cabo por parte de Microsoft y sus socios para mitigar la amenaza del malware SUNBURST han permitido activar un “kill switch” presente en su código, que impedirá su ejecución al resolver todos los dominios y subdominios del servidor C&C a una IP propietaria de Microsoft. Se desconoce todavía cómo los actores amenaza lograron implantar el código malicioso en las actualizaciones de SolarWinds, aunque se elucubra con un posible vector de entrada vía servicios FTP incorrectamente securizados o vía compromiso inicial de su servicio de correo Office365. Investigadores de ReversingLabs, mediante un exhaustivo análisis del código de los binarios de Orion, han desvelado que versiones anteriores del software ya habían sido manipuladas para sentar las bases a la introducción posterior de código malicioso. Los atacantes llegaron a modificar el código fuente imitando el estilo de codificación y las normas de denominación de los desarrolladores del software, comprometiendo asimismo la infraestructura de empaquetado y los mecanismos de firma digital legítimos.

Más detalles: https://www.volexity.com/blog/2020/12/14/dark-halo-leverages-solarwinds-compromise-to-breach-organizations/

Vulnerabilidades en dispositivos Verifone e Ingenico

Los investigadores de seguridad Aleksei Stennikov y Timur Yunusov han expuesto en la presentación de la Black Hat Europe 2020 vulnerabilidades en los dispositivos Point of Sale (PoS) de dos de los fabricantes más importantes del sector, Verifone e Ingenico. Estos terminales son aquellos utilizados en establecimientos comerciales para gestionar el proceso de venta, cobro, impresión de tickets, entre otras cosas. Los fallos detectados tendrían afectación en los dispositivos Verifone VX520, la serie Verifone MX y la serie Telium 2 de Ingenico. Se trata de vulnerabilidades del tipo desbordamientos de pila y desbordamientos de búferque que podrían permitir la ejecución de código arbitrario. Asimismo, los investigadores destacan que ambas marcas utilizan contraseñas predeterminadas en sus accesos. La cadena de explotación de los fallos podría llevarse a cabo por diferentes vías, siendo tanto el acceso físico al terminal PoS como el remoto vectores de entrada válidos para los agentes amenaza, cuyo objetivo es exfiltrar información de tarjetas, clonar terminales o infecciones de malware en estos que podrían propagarse a la red en la que se encuentran. Ambas compañías confirman que han actualizado sus terminales para evitar la explotación de las vulnerabilidades que llevarían existiendo al menos 10 años.

Toda la información: https://www.cyberdlab.com/research-blog/posworld-vulnerabilities-within-ingenico-telium-2-and-verifone-vx-and-mx-series-point-of-sales-terminals

Omisión de autenticación SAML debida a fallos en el parser XML de Golang

Investigadores de seguridad de Mattermost, en colaboración con el equipo de seguridad de Golang, han desvelado tres vulnerabilidades críticas en el parser XML del lenguaje de programación Go. Los fallos, identificados como CVE-2020-29509, CVE-2020-29510 y CVE-2020-29511, todos ellos con un CVSS de 9.8, se deben a que el parser XML de Golang devuelve resultados inconsistentes al codificar y decodificar XML. Los agentes amenaza podrían aprovechar estas vulnerabilidades en las implementaciones SAML basadas en Go y modificar los mensajes SAML inyectando marcado XML malicioso para suplantar a otro usuario, lo que podría dar lugar a la elevación de privilegios y, en algunos casos, a la omisión total de autenticación. Hasta el momento, el equipo de seguridad de Go no ha logrado corregir estas vulnerabilidades.

Para saber más: https:/mattermost.com/blog/coordinated-disclosure-go-xml-vulnerabilities/

Nueva campaña de ciberespionaje de Lazarus Group

Investigadores de HvS Consulting han llevado a cabo una detallada investigación sobre una reciente operación de ciberespionaje atribuida a Lazarus Group y cuyo objetivo han sido múltiples entidades europeas en el sector eléctrico y manufacturero. Los incidentes comienzan a observarse en marzo y abril de 2020, extendiéndose hasta noviembre sin solución de continuidad. La ingeniería social ha sido el vector de entrada preferente, haciendo llegar a los usuarios ofertas falsas de empleo con macros maliciosas ya sea a través de correos electrónicos, contactos en redes sociales como LinkedIn o apps de mensajería como WhatsApp. El objetivo final es infectar la red completa y permanecer sin ser detectados para exfiltrar información de carácter confidencial. Cabe destacar que Lazarus cuenta con capacidades avanzadas de tunelización de tráfico, con una infraestructura flexible que le permite modificar sus servidores C&C con asiduidad y con herramientas que se ejecutan completamente en memoria, evitando así la detección.

Descubre toda la info: https://www.hvs-consulting.de/media/downloads/ThreatReport-Lazarus.pdf

La extorsión telefónica como nueva táctica de los operadores de DoppelPaymer

La Oficina Federal de Investigaciones de EE.UU (FBI) ha publicado una alerta en la que informa sobre la adopción de una nueva táctica de extorsión por parte de los operadores del ransomware DoppelPaymer. Cabe destacar que este software malicioso ya aplicaba la conocida táctica de doble extorsión, que consiste en publicar datos exfiltrados de sus víctimas en caso de que estas no realicen el pago exigido por los agentes amenaza. Según las investigaciones del FBI, habrían obtenido evidencias que consistirían en llamadas telefónicas a empresas víctimas con el fin de intimidarlas y coaccionarlas, al igual que a sus trabajadores, con el fin de conseguir que paguen el rescate de los datos cifrados y robados. Esta táctica se llevaría produciendo desde el pasado mes de febrero de 2020 por parte de los operadores de DoppelPaymer. Paralelamente, el medio digital ZDNet publicó a comienzos del presente mes información en la que indicaban que operadores de otros ransomware, como Sekhmet, Maze, Conti y Ryuk habrían asumido esta misma táctica de extorsión a sus víctimas. Asimismo, el FBI recomienda no pagar el rescate exigido y poner en conocimiento de las autoridades estos incidentes.

Más información: https://assets.documentcloud.org/documents/20428892/doppelpaymer-fbi-pin-on-dec-10-2020.pdf

Vulnerabilidad zero-day en el software de gestión de servidores de HPE

Hewlett Packard Enterprise ha revelado una vulnerabilidad zero day en su software Systems Insight Manager (SIM), que afectaría a los sistemas operativos Windows y Linux. El fallo, identificado como CVE-2020-7200, podría permitir a un agente amenaza sin privilegios la ejecución de código en servidores vulnerables, debido a una validación inadecuada de los datos proporcionados por el usuario. Si bien HPE no ha publicado aún la actualización de seguridad que corrige el fallo, ha proporcionado medidas de mitigación temporales para el sistema operativo Windows, basadas en deshabilitar las funcionalidades de «Federated Search» y «Federated CMS Configuration«. Desde la firma no se ha revelado si la vulnerabilidad está siendo activamente explotada, sin embargo, afirman que la corrección completa de la misma se hará pública en una versión futura del software.

Todos los detalles: https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=hpesbgn04068en_us

Y si quieres más información en tiempo real, suscríbete a nuestro canal de noticias y reflexiones sobre ciberseguridad creado por el equipo de Innovación y Laboratorio de ElevenPaths. Visita el canal de Telegram CyberSecurity Pulse aquí.

Para más información visita https://empresas.blogthinkbig.com/elevenpaths/ o https://cybersecuritypulse.e-paths.com.