Se podrán vender datos personales: Brasil impulsa una iniciativa única en el mundo
Además: bloquean plataforma cripto en Argentina, Disney demanda a Midjourney por el entrenamiento de su IA y YouTube relaja la moderación de contenido.
Dark News es un resumen semanal de noticias de ciberseguridad, privacidad y hacking. Los temas están producidos y seleccionados por Juan Brodersen según estos criterios de edición.
📧 Envío desde Washington, DC.
🏔 Importante: Dark News entra en un receso de actualidad por vacaciones hasta el 11 de julio.
☕ Los domingos 21 de junio y 5 de julio habrá dos publicaciones atemporales (long-reads), fuera de agenda.
6>13
jun
⚡TL;DR
“Muchos piensan que la inteligencia artificial está generando robots que atacan de manera autónoma y se pelean entre sí. Pero los cibercriminales están usando la IA para mejorar ataques que ya realizan: por ejemplo, hacer mejores engaños a través de phishing”.
La idea la arrojó un alto ejecutivo de AWS junto a la directora de inteligencia artificial de la CIA. Fue el martes 11, en el AWS Summit Washington, DC, al que asistí en plan de cobertura periodística.
Aunque no es una idea nueva, sí sirve para bajar un poco el hype que hay en la industria tech en general respecto de la IA generativa, y darle un marco de referencia un poco más claro. La semana que voy a re:Inforce, en Philadelphia, para asistir al evento centrado 100% en ciberseguridad cloud.
Si de IA hablamos, hubo distintas demandas contra empresas del rubro, en algo que ya se volvió una constante semanal: Disney y Universal, por un lado, apuntaron contra Midjourney; por el uso de contenido de Los Simpson y Star Wars; Getty Images, contra Stability IA. Mientras, OpenAI se pelea en la corte por sus logs.
Fuera de esta agenda, un tema que me llamó mucho la atención pasó en Brasil: el Gobierno está preparando una prueba piloto para que los usuarios puedan vender ellos mismos sus datos personales. Si las compañías tech lo hacen, ¿por qué los propios usuarios no podrían hacerlo? Hay polémica y quejas de organizaciones de protección de datos.
Justo esta semana, Europol publicó un informe donde explican la vigencia que tiene el mercado underground de datos personales, que sirve para entender un poco mejor cómo operan los brokers y por qué se interesan por esta información.
Mientras, en el mundo del ransomware, una nueva víctima argentina fue listada esta semana: EVASA, especializada en ingeniería. Y la Justicia local bloqueó una plataforma cripto que se negó a brindar información sobre estafas.
Entre otros reportes, encontré uno que me llamó bastante la atención, que habla de un nuevo grupo llamado Librarian Ghouls, un APT que sólo roba información por la noche, focalizado en criptowallets.
Google Cloud sufrió una caída, pero hasta el momento de la publicación de esta entrada no había componente cyber. Se pueden ver los reportes de los servicios que se cayeron y que fueron volviendo de a poco: Discord, Spotify y otros.
La perla de la semana: X (Twitter) demandó a los “content farmers”: esas cuentas que, con una verificación paga, responden automáticamente tuits e inundan a la red social de contenido sin sentido.
Quién hubiera imaginado que permitir pagar por un badge y premiar a esas cuentas por reproducciones terminaría en la enshittificación de la plataforma: replies automatizados que rompen el espíritu de la alguna vez llamado “foro público del siglo XXI”.
En esta edición:
👨⚖️ En Brasil, los ciudadanos podrán vender sus datos personales
💰 Bloquean una plataforma cripto en Argentina por no brindar información sobre estafas
📑 OpenAI se pelea en los tribunales para no guardar los logs de ChatGPT
🤖 Disney, Universal y Getty Images demandan a empresas de Inteligencia artificial
📼 YouTube relaja la moderación y empieza a mostrar videos controversiales
🔧 Un día después de su lanzamiento, encuentran un exploit en Nintendo Switch 2
⏰ Substack dice que leer este correo completo lleva 13 minutos
Dark News #146
Sheriff es la plataforma de inteligencia de amenazas de BCA LTD para visualizar incidentes en un solo lugar, organizados y con evidencia adjunta. Sin censura, sin marcas de agua, con acceso directo a las muestras publicadas por actores de amenazas. Para más información, clic en la imagen.
En Brasil, los ciudadanos podrán vender sus datos personales
El Gobierno de Brasil anunció una prueba piloto: los ciudadanos podrán monetizar sus datos personales y venderlos en el mercado. Es una iniciativa inédita en el mundo.
Qué se anunció. El proyecto, impulsado por el Gobierno y empresas tech, propone un modelo en el que los ciudadanos puedan usar billeteras digitales —dWallet— para vender los datos que generan al interactuar con servicios digitales.
Cómo funciona. Los usuarios pueden crear un contrato con datos a la venta, que se guardan en su wallet, y las empresas pueden hacer ofertas por esa información. Si el usuario acepta, recibe un pago que puede transferir a su cuenta bancaria. El sistema es optativo.
La justificación. Según sus impulsores, esto podría corregir un desequilibrio histórico: hoy los datos son utilizados por las plataformas para maximizar ganancias, mientras las personas que los generan no reciben ninguna compensación. Además, permitiría al Estado acceder a datos anonimizados a gran escala para mejorar políticas públicas, especialmente en áreas como salud, educación y transporte.
Alerta. Especialistas en privacidad y derechos digitales advirtieron que el proyecto podría tener efectos regresivos. Uno de los principales temores es que, al transformar los datos en un bien comercial, su precio suba y se vuelva inaccesible para pequeñas empresas o dependencias estatales con presupuestos limitados.
Antecedentes. Aunque no hay iniciativas de este tipo a escala nacional, en 2019 el exgobernador de California Gavin Newsom propuso un “dividendo de datos” que nunca prosperó.
En cambio, la propuesta brasileña ya cuenta con un marco legal en discusión en el Congreso y respaldo de dos partidos. Si avanza, podría sentar las bases de un nuevo modelo de propiedad de datos que combine derechos digitales con inclusión financiera.
Por qué importa. Brasil se convierte así en el primer país en desarrollar una alianza público-privada para que la ciudadanía, y no solo las empresas, se beneficie económicamente de sus datos personales.
Bloquean una plataforma cripto en Argentina por no brindar información sobre estafas
Por primera vez en Argentina, un tribunal ordenó bloquear el acceso a un exchange de criptomonedas: HTX (ex Huobi), con sede en Seychelles. La decisión responde a su negativa a entregar datos de una billetera investigada por una estafa de tipo pig butchering.
El caso. La denuncia fue presentada en 2022 por una víctima identificada como M.R., que perdió unos 13 mil dólares en USDT tras ser engañado en un falso esquema de “minería con bonificaciones”. La fiscalía de ciberdelitos de San Isidro (Provincia de Buenos Aires) rastreó los fondos y encontró fondeos cruzados con una wallet de HTX.
Por qué importa. HTX ignoró los pedidos legales para revelar datos de KYC (Know Your Customer), una exigencia para abrir cuentas en exchanges centralizados. La Justicia lo interpretó como falta de cooperación y ordenó el bloqueo total del sitio y su app en el país.
Qué significa. Es un precedente local relevante: marca un cambio de tono en la presión judicial sobre plataformas cripto que no responden a requerimientos en investigaciones penales. También plantea interrogantes sobre jurisdicción, cooperación internacional y el acceso a plataformas desde Argentina.
HTX no está registrada en el país ante la Comisión Nacional de Valores (CNV).
Disney, Universal y Getty Images demandan a empresas de Inteligencia artificial
Disney y Universal presentaron una demanda conjunta contra Midjourney, la plataforma de generación de imágenes por IA, por usar sin autorización personajes de sus sagas más reconocidas.
El reclamo. Disney acusa a Midjourney de haber distribuido imágenes generadas por IA que reproducen personajes de Star Wars, Los Simpsons, Cars, Toy Story, Shrek, Avengers y los minions de Despicable Me, entre otros. Las compañías afirman que enviaron advertencias formales que fueron ignoradas, y califican a Midjourney como “un agujero negro de plagio”.
Por qué importa. Es la primera acción legal de este tipo que emprenden los grandes estudios de Hollywood contra una empresa de inteligencia artificial.
Las empresas argumentan que este tipo de prácticas pone en jaque los incentivos fundamentales de la ley de copyright de EE.UU. Midjourney, que facturó 300 millones de dólares el año pasado, no respondió públicamente a las acusaciones.
Otro caso. En paralelo, Getty Images demanda en el Reino Unido a Stability AI, por usar millones de imágenes protegidas por copyright para entrenar su modelo Stable Diffusion, sin autorización. La empresa alega que incluso se reprodujeron marcas de agua y se violaron derechos de base de datos y marca registrada.
Getty es uno de los bancos de imágenes más grandes del mundo.
OpenAI se pelea en los tribunales para no guardar los logs de ChatGPT
OpenAI está luchando contra una orden judicial que le ordena conservar todos los registros de usuarios de ChatGPT, incluidos los chats eliminados y los confidenciales registrados a través de su API.
Qué pasó. La medida, ordenada por un juez federal, fue solicitada por medios que acusan a la compañía de infringir derechos de autor y argumentan que OpenAI podría estar destruyendo evidencia al eliminar chats automáticamente.
La empresa niega esta acusación y sostiene que la orden fue emitida sin fundamentos sólidos ni oportunidad de defensa previa.
Qué significa. La orden cambia el manejo de datos de OpenAI: antes sólo se almacenaban chats si el usuario no se oponía; ahora la empresa debe guardar incluso los que fueron eliminados manualmente o realizados en chats temporales. Esto también afecta a empresas que usan la API y comparten información sensible.
Por qué importa. OpenAI advierte que la orden judicial pone en riesgo la privacidad de millones de personas que usan sus servicios diariamente, tanto en la versión gratuita como en ChatGPT Plus, Pro y en su API.
YouTube relaja la moderación y empieza a mostrar videos controversiales
YouTube relajó los controles de moderación en los videos que permite y muestra la plataforma, motivo por el cual comenzará a mostrar material considerado “polémico”, incluso en casos de discursos que desinformen políticamente.
Qué pasó. Desde diciembre, YouTube modificó su enfoque interno hacia la moderación de contenidos que puedan contener desinformación o lenguaje ofensivo. Según documentos de entrenamiento revisados por The New York Times, la empresa instruyó a sus moderadores a no bajar videos que infrinjan sus normas si se evalúa que el material tiene valor informativo o político.
Cómo impacta. La medida incluye temas sensibles como elecciones, ideologías, raza, género, aborto, inmigración o censura.
El umbral de tolerancia también se amplió: antes, si un cuarto del contenido violaba las reglas, el video debía ser removido. Ahora, se permite hasta la mitad del contenido “problemático”.
Por qué importa. El cambio refleja una corriente generalizada entre plataformas como Meta y X (Twitter), que empezaron a desarmar mecanismos de control de contenidos tras el regreso de Trump a la Casa Blanca. Mark Zuckerberg justificó el giro diciendo que censurar incluso un 1% de publicaciones puede afectar a millones de personas y que hubo “demasiada censura”.
En el caso de YouTube, la nueva política se apoya en una exención ya existente que permite mantener contenido polémico si tiene valor educativo, documental, científico o artístico. Pero ahora se expande explícitamente a contenidos políticos y sociales.
Ejemplo. Uno de los videos que ahora está permitido bajo la nueva norma es RFK Jr. Delivers SLEDGEHAMMER Blows to Gene-Altering JABS, que antes se habría bajado por desinformación médica. Según YouTube, en este caso el “interés público supera el riesgo de daño”.
Un día después de su lanzamiento, encuentran un exploit en Nintendo Switch 2
Un día después del lanzamiento global de Nintendo Switch 2, un hacker dio a conocer el primer exploit, una vulnerabilidad que permite correr código personalizado sobre el sistema operativo de la consola. No da acceso al kernel.
Cómo. El desarrollador David Buchanan publicó en Bluesky una demo donde se puede ver una falla en una librería compartida que permite ejecutar un userland Return-Oriented Programming (ROP). Esto es, una forma de engañar a un programa para que haga algo que no debería hacer, usando partes de su propio código.
La técnica consiste en sobrescribir la dirección de retorno de una función para redirigir la ejecución del programa hacia otras partes de código legítimo ya cargado en memoria, y así forzar un comportamiento no previsto. En este caso: mostrar un patrón visual de cuadrados en pantalla.
Alcance. El exploit tiene más valor de research que efectos sobre la consola. No es un acceso al kernel del sistema ni brinda privilegios root, por lo que el hallazgo es más técnico que práctico: Buchanan reconoció que no tiene aplicación y que ni siquiera pudo demostrar de forma concluyente que no era un video reproducido en YouTube.
Por qué importa. Nintendo Switch 2 es la sucesora de la exitosa consola de la compañía japonesa.
Su lanzamiento generó que toda la industria de los videojuegos esté atenta, pero también los hackers: apenas sale nuevo hardware al mercado, la comunidad intenta hacer distintos tipos de hacks, desde el que se conoció la semana pasada hasta un posible jailbreak que permita poder correr juegos sin tener que pagarlos a Nintendo.
🔓 Breaches y hacks
SentinelOne evitó un ataque de un APT vinculado a China
Desmantelan una red de 20 mil IPs maliciosas que filtraban información (Operation Secure)
🔒 Ransomware
Nuevo grupo de ransomware: Global
Black Basta debuta en el modelo PhaaS
Descubren nuevas técnicas empleadas por Fog Ransomware
💣 Exploits y malware
ClickFix apunta ahora a usuarios de Apple
Encuentran una nueva variante del troyano bancario Blitz
Explotan un zero day RCE de Windows WebDav
🔍 Threat intel y vulnerabilidades
iProov encuentra un nuevo grupo que apunta a la industria cripto y bancaria
Kaspersky lanza un nuevo reporte sobre Mirai Botnet
Reportes: Google, Kaspersky, Red Hat, Check Point, Malwarebytes, Bitsight.
🛠️ Tools y updates
Por seguridad, Outlook va a bloquear dos extensiones más de archivos
Google lanzó Android 16; Apple, iOS 26, ambos con actualizaciones de seguridad
Palo Alto y Trend Micro lanzan updates de seguridad
📋 Privacidad y regulaciones
Italia admitió usar spyware contra organizaciones no gubernamentales
El FSB (Rusia) puede interceptar ciertos mensajes de Telegram
China vende ahora bypasses para su gran firewall
Este newsletter fue escrito por un humano. Para cualquier comentario, corrección o sugerencia de cobertura de temas, podés responder este mail.
Si te sirvió, compartilo: tu recomendación orgánica es mucho más valiosa que cualquier campaña publicitaria.
"...incluso en casos de discursos que desinformen políticamente..."
Me llamó la atención el conjunto de presupuestos que se desprenden de la sección dedicada a la censura en YouTube.
El término "desinformación" ha sido usado enteramente como eufemismo, como mecanismo de justificación para la censura. Algunos ejemplos en extremo aberrantes ya han sido expuestos, como la narrativa única impuesta con mano de hierro durante la pandemia.
Se desprende de las declaraciones mismas, que de hecho, la etiqueta "desinformación" y la censura, fueron de la mano.
Lo que siempre existió, fueron narrativas contrapuestas, que muchas veces distorsionan la realidad intencionalmente. En Argentina lo sabemos muy bien. Pero eso se aborda con más educación y más libertad, no con una elite auto designada como portadora de la verdad (pocas cosas pueden imaginarse más autoritarias).
El resultado, a las claras, ha sido la normalización de la asunción de que cualquier expresión por fuera de la conveniencia de la elite del momento, se vuelve "desinformación" y puede ser censurada sin más.
Se lo debemos, irónicamente, al progresismo en todo el mundo.