Boti: un reporte plantea dudas sobre la seguridad del chatbot de la Ciudad de Buenos Aires
Además: incautan servidores del grupo de ransomware 8Base, cierran 5.700 canales de piratería en Telegram y Reuters gana el primer caso de copyright contra una IA.
Dark News es un resumen semanal de noticias de ciberseguridad. Los temas están producidos y seleccionados por Juan Brodersen según estos criterios de edición.
7>14
feb
⚡TL;DR
Esta semana publiqué un reportaje en Clarín a partir de un informe que advierte sobre el uso y la seguridad de Boti, uno de los chatbots más usados en Argentina: se trata de un asistente virtual que funciona vía WhatsApp en la Ciudad de Buenos Aires y que, para la Asociación por los Derechos Civiles, no está del todo claro cómo maneja los datos personales de los ciudadanos.
El informe es parte de una serie de estudios comparativos que la ONG Derechos Digitales realizó en América Latina. Consulté al Gobierno porteño, a AWS (que realizó el prototipo en Amazon Bedrock) y a dos fuentes independientes para contrastar la información del reporte.
A nivel internacional, incautaron servidores de del ransomware 8Base. También hay un escándalo grande en Estados Unidos con DOGE, el Departamento de Eficiencia Gubernamental creado por el presidente Donald Trump y dirigido por el multimillonario Elon Musk: tres demandas intentan frenar la transferencia de datos personales de los ciudadanos al área nueva. Y en el terreno de los juicios por copyright contra empresas de IA, Reuters ganó la primera gran batalla.
Por otro lado, si cada vez te cuesta más encontrar ese libro que estás buscando en esa biblioteca online, no sos el único. La piratería en Telegram está cada vez más complicada y durante el último año se dieron de baja casi seis mil canales para descargar contenidos. Justo cuando nos enteramos por VX-Underground que empleados de Meta torrentearon cerca de 82TB de libros pirateados para entrenar inteligencia artificial.
Algunos temas interesantes que leí: un informe advierte que los CAPTCHA de Google “no sirven para nada y son, básicamente, spyware”, un estudio de la BBC dice que -sorpresa- los chatbots como ChatGPT, Gemini y Perplexity distorsionan las noticias cuando las resumen y Kaspersky resumió los supply chain más grandes de 2024.
La perlita: Jeep empezó a mostrar avisos en las pantallas de sus autos cada vez que se detienen. Del otro lado, Valve -empresa de videojuegos- empezó a prohibir juegos que obligan a los jugadores a ver publicidades.
Una noticia personal, pero que tiene impacto en la agenda del newsletter. El año pasado gané el premio ESET de Periodismo en Seguridad Informática por esta nota en Clarín.Además del reconocimiento, el galardón incluye un viaje a Europa del Este para visitar las oficinas de la empresa, en Bratislava, con unos días extra para recorrer. Voy a pasar por la Universidad de Praga para visitar a otras fuentes y, seguramente, me quede recorriendo unos días por fuera de toda agenda. Por este motivo, la próxima edición de Dark News será un tema de investigación que trabajé durante la semana pasada y que publiqué también en Clarín.Por este motivo, el break de actualidad será hasta el 28 de febrero, cuando retome la dinámica habitual de esta publicación. En esta edición:
🤖 Boti: cuán seguros están los datos de los usuarios en el chatbot porteño
👩⚖️ Thomson Reuters ganó el primer caso grande de copyright por IA
💻 Incautan servidores del grupo de ransomware 8Base y lo vinculan a Phobos
💾 DOGE, la oficina de Elon Musk en el Gobierno de Trump, en la mira por los datos
📲 Telegram: cierran canales de piratería
⏰ Substack dice que leer este correo completo lleva 10 minutos
Dark News #126
Boti: cuán seguros están los datos de los usuarios en el chatbot porteño
Un reporte plantea dudas sobre la seguridad de los datos personales que se cargan en Boti, el chatbot de la Ciudad de Buenos Aires que usan los porteños para realizar trámites como renovar la licencia de conducir, pagar infracciones o consultar el estado del tiempo.
El informe. Se trata de un estudio de la Asociación por los Derechos Civiles (ADC), una organización sin fines de lucro, bajo la dirección de la ONG Derechos Digitales (con foco en América Latina), que ya realizó 10 trabajos comparativos en América Latina, desde 2019.
Consultada por Dark News, Lucía Camacho, Coordinadora de Políticas Públicas en Derechos Digitales, explicó:
El caso de Boti deja serias dudas sobre las intenciones futuras del Gobierno de la Ciudad en el tratamiento de los datos que recolecta. La vaguedad de sus políticas y la imprecisión de aspectos claves asociados a su seguridad dan cuenta de lo mucho que falta avanzar para que las autoridades tomen más en serio la protección de los datos de la ciudadanía. Boti es una iniciativa loable que, desde el punto de vista de los derechos de los titulares de los datos, necesita ser robustecida.
Además, Teno, investigador independiente del reporte, complementó:
Hay un escenario preocupante sobre la privacidad estructural de Boti. La plataforma sugiere múltiples formas de vulnerabilidades en la privacidad, debido a la integración directa con servicios terceros, tales como WhatsApp y soluciones de inteligencia artificial que pueden ser susceptibles a filtraciones o análisis incorrectos. Está hecho bajo el concepto de security through obscurity, donde se omite información esencial sobre sistemas operativos, tecnología y software empleados, lo que puede conducir a un modelo de seguridad basado en conocimiento inadecuado.
AWS. Amazon Web Services (AWS), la división de computación en la nube de Amazon, siempre pone como ejemplo de éxito el desarrollo de Boti en Argentina. El prototipo del chatbot se realizó en Amazon Bedrock. Dark News también consultó a la empresa, que respondió mediante Lorena Zicker, líder de Sector Público para la región Cono Sur:
Lo que trabajamos con la Secretaría de Innovación porteña, particularmente con el equipo de la Subsecretaría de Canales Digitales, fue un prototipo usando modelos de IA generativa para resolver un caso de uso específico dentro de los cientos de casos que maneja Boti, que es la información sobre los más de 1,300 trámites que un ciudadano puede acceder dentro de todas las dependencias y servicios que maneja la Ciudad”
La respuesta del Gobierno. Dark News le consultó específicamente al Gobierno de la Ciudad para pedir una respuesta al informe, pero respondieron con un comunicado general.
Tanto el chatbot Boti como los demás activos digitales del Gobierno de la Ciudad de Buenos Aires se rigen bajo estrictos estándares de seguridad establecidos por la Agencia de Sistemas de Información, que establecen los requisitos que deben cumplir todas las aplicaciones del Gobierno de la Ciudad. Dichos estándares pueden ser consultados en este enlace.
También consulté a Marcela Pallero, especialista en regulaciones sobre seguridad de la información y ciberseguridad, Responsable del Programa STIC de la Fundación Sadosky.
El artículo completo se puede leer en este enlace.
Thomson Reuters ganó el primer caso grande de copyright por IA
Thomson Reuters, empresa multinacional de medios e información legal-contable, ganó la primera gran disputa en una demanda por infracción de derechos de autor contra una empresa de inteligencia artificial.
La demanda. En 2020, el conglomerado británico-canadiense presentó un escrito sin precedentes por derechos de autor de IA contra la startup de IA jurídica Ross Intelligence. Allí, Thomson Reuters alegaba que la empresa de IA reproducía materiales de su empresa de investigación jurídica Westlaw.
El fallo. El miércoles, un juez falló a favor de Thomson Reuters, al declarar que los derechos de autor de la empresa fueron infringidos por las acciones de Ross Intelligence. “Ninguna de las posibles defensas de Ross se sostiene. Las rechazo a todas”, escribió el juez del Tribunal de Distrito de Delaware, Stephanos Bibas, en la sentencia.
Precedente. El caso es relevante en el terreno de el conflicto entre medios de comunicación, editoriales y negocios históricos cimentados en el concepto de copyright. El New York Times, junto a otros medios de comunicación, llevó a juicio a OpenAI a comienzos de 2025.
La resolución completa de Reuters se puede leer en este enlace.
Incautan servidores del grupo de ransomware 8Base y lo vinculan a Phobos
Una operación conjunta de fuerzas de seguridad entre Estados Unidos, Europa y Asia dio de baja la base operativa del ransomware 8Base, además de dejar un saldo de cuatro europeos arrestados.
El grupo. La actividad de 8Base fue detectada en 2022 y se estima que atacaron a más de mil víctimas y recaudaron 16 millones de dólares en criptoactivos.
Los arrestos. Como parte del operativo, medios locales mostraron a los cuatro arrestados, que fueron sorprendidos en Phuket, Tailandia, donde confiscaron 40 dispositivos como evidencia (teléfonos, laptops y criptowallets).
“Operation Phobos Aetor”. Los arrestos fueron parte de una operación que vincula a 8Base con Phobos Ransomware, un commodity ransomware, es decir, una cepa que es usada por atacantes sin necesidad de programar código, usualmente propagado por RDP (Remote Desktop Protocol).
8Base fue uno de los grupos de ransomware más prolíficos de 2023.
DOGE, la oficina de Elon Musk en el Gobierno de Trump, en la mira por los datos
El acceso a los datos de la nueva oficina DOGE, creada por Donald Trump y que tiene a Elon Musk como su director, fue cuestionado y descrito por una de tres demandas judiciales como “la mayor filtración de datos en la historia de los Estados Unidos”.
La última demanda. El Servicio DOGE de EE. UU., Elon Musk, la Oficina de Gestión de Personal de EE. UU. (OPM) y el director interino de la OPM, Charles Ezell, fueron acusados en una demanda presentada ayer en el Tribunal de Distrito de EE. UU. para el Distrito Sur de Nueva York. Dice:
La Ley de Privacidad [de 1974] prohíbe a los Demandados de la OPM ceder el acceso a millones de registros de personal de la OPM a los Demandados de DOGE, quienes carecen de una necesidad legal y legítima de dicho acceso. Ninguna excepción a la Ley de Privacidad cubre el acceso de los Demandados de DOGE a los registros que posee la OPM.
Qué es DOGE. El Departamento de Eficiencia Gubernamental (DOGE, por sus siglas en inglés, y un juego con la criptomeme que impulsó Musk), está enfocado en el gasto público y remodelar las agencias gubernamentales, algo que generó mucho revuelo durante estas semanas en los empleados federales de los Estados Unidos, además de enfrentar múltiples desafíos legales.
Telegram: cierran canales de piratería
Al menos 5.700 canales de difusión de contenido pirata en Telegram fueron dados de baja durante 2024.
Números. Gazprom-Media, uno de los conglomerados de medios más grandes de Rusia, presentó 900 demandas por violaciones a los derechos de autor y ganó 770 de ellas, además de lograr el takedown de casi 6 mil canales de piratería. Según el reporte anual de la empresa, los motores de búsqueda también son un flanco a cubrir: pidieron que se remuevan 6.2 millones de enlaces en Yandex, buscador ruso.
Contexto. El reporte es apenas uno de los que se dieron a conocer en un ecosistema donde diversos conglomerados de medios luchan para dar de baja contenidos pirata. En Hispanoamérica, el caso más resonante de 2024 fue el de Magis TV (IPTV), un servicio que empezó a costarles millones de dólares a los conglomerados de medios con señales que son propiedad de DirecTV, Telecom y Telefónica.
Gazprom-Media es dueño de más de 40 medios, entre informativos, deportivos y de entretenimiento.
🔓 Breaches y hacks
Swiss Medical y SancorSalud aparecen listadas en un foro de compraventa de datos
Atacan a una de las empresas de diarios más grandes de Estados Unidos: Lee Enterprises
Apple confirma un sofisticado RCE
🔒 Ransomware
Comprometen a 120 mil personas en un ataque de ransomware contra un hospital
Sarcoma ransomware lista a Unimicrom (fabricante de PCBs) como víctima
Fog Ransomware habría atacado a un colegio de Chile
💣 Exploits y malware
Microsoft expande su programa de bug bounty y sube los pagos
Encuentran dos modelos de machine learning que explotan una técnica inusual en Hugging Face
Explotan Google Tag Manager para estafas con tarjetas de crédito
🔍 Threat intel y vulnerabilidades
Usan la técnica ClickFix para instalar el troyano NetSupport RAT
“Browser syncjacking”, una nueva técnica para controlar un equipo vía Chrome
Un reporte advierte un incremento de ataques contra password managers
🛠️ Tools y updates
Zimbra lanza actualizaciones de seguridad para tres tipos de vulnerabilidades
Ghidra 11.3 lanza actualizaciones de seguridad
Nvidia presenta una IA generativa para análisis de CVEs
📋 Privacidad y regulaciones
Como ya lo hizo el FBI, Reino Unido le pide a Apple que ponga un backdoor en su cifrado
Sancionan a un hosting ruso por darle hosting a LockBit
Apple da marcha atrás y vuelve a pautar en X
Este newsletter fue escrito por un humano. Para cualquier comentario, corrección o sugerencia de cobertura de temas, podés responder este mail. Se acepta (y agradece) todo tipo de feedback.
Si te sirvió, compartilo: tu recomendación orgánica es mucho más valiosa que cualquier campaña publicitaria.
