Bienvenidos a LA RED PRIVADA, Soy Hector Fuentes

En este episodio de La Red Privada, desarmamos tres temas críticos que amenazan la privacidad y la seguridad de los usuarios en México y el mundo.

Primero, analizamos el alarmante reporte de vulnerabilidades en las sedes del Mundial 2026: el 17% de las redes públicas operan con protocolos obsoletos, abriendo la puerta a ataques Evil Twin y Man-in-the-Middle. Además, nos sumergimos en la física de la radiofrecuencia para explicar cómo el Wi-Fi Sensing (CSI) convierte los routers modernos en radares pasivos capaces de espiar micromovimientos, latidos y respiración a través de las paredes. Finalmente, desglosamos las implicaciones legales y técnicas de la reciente tipificación del phishing en la Ciudad de México: ¿un avance penal o un riesgo para los peritos informáticos?

En este episodio cubrimos:

• Introducción
• Radiografía de las redes Wi-Fi públicas rumbo al Mundial 2026.
• Protocolos obsoletos, Evil Twin y robo de credenciales bancarias.
• La física del Wi-Fi: RSSI vs. CSI (Channel State Information).
• Cómo tu router puede convertirse en un sensor biométrico pasivo.
• Análisis a la nueva ley contra el phishing en CDMX: Penas y agravantes.
• Las zonas grises legales que ponen en riesgo el análisis forense digital.
• Conclusiones y contramedidas.

Informacion de Contacto:

Whatsapp: chat.whatsapp.com/CyCMw8juKot7P07xfVfUaz

Telegram: t.me/laredprivada

Web: hectorfe.com

Para agendar una cita presencial o por videoconferencia, ingresa a la página y haz clic en el botón “Registra una cita” o simplemente hazlo desde aquí.

Bienvenidos a la red privada, yo soy Héctor Fuentes.

Hoy, 6 de junio de 2026, vamos a tener un programa muy interesante.

Va a salir de varios temas pequeños, porque son básicamente noticias de,

Algunas investigaciones acerca

del Wi-Fi, como ya se acerca del asunto de la FIFA y aquí en México.

Entonces, los riesgos de seguridad en el Wi-Fi es el tema central y de ahí algunas

derivadas del mismo tema,

del Wi-Fi vulnerable en las sedes como Guadalajara, Monterrey,

Ciudad de México, ¿verdad?

Entonces de eso vamos a hablar, también hay un nuevo servicio de VPN gratuito que vale la pena.

Mencionarlo porque es un VPN nuevo un nuevo proveedor de servicios de VPN pero,

en realidad a mí no me gustan las cosas gratuitas porque dicen que uno es el

producto pero en este caso vale la pena porque es un VPN que,

pues como va empezando pues aunque

tiene restricciones pero no tiene restricción de

velocidad ni de megabytes ni de megabytes o gigabytes de transferencia entonces

con eso es suficiente aunque es se puede seguir en la sede donde te vas a conectar

pues es random vas al azar porque es gratuito pero vale la pena entonces Entonces,

vamos a mencionar este proveedor y algún otro tema por ahí que salga en el transcurso del programa.

Entonces, sin más, bienvenidos de nuevo y empezamos.

Bueno, entonces empezamos con el tema del día de hoy, que es acerca del Wi-Fi.

Y eso es porque un estudio de un equipo de investigación que se llama GREAT,

o sea, se abrevia, que es Global Investigative Analysis, de Kaspersky,

evaluó una infraestructura pública, pues, por lo del fútbol,

o sea, para ver cómo estaban los Wi-Fi gratuitos que hay en las ciudades, que vas al hotel,

que vas al parque, que vas al café, en cualquier restaurante,

en todos los lugares públicos.

Y hizo una investigación de más de, se analizaron más de 84 mil señales Wi-Fi

y casi 70 mil puntos de acceso público en las ciudades sede,

que son Guadalajara,

Monterrey y la Ciudad de México y que fue lo que se detectó.

Que casi el 17% o sea, uno de cada seis de esos puntos de acceso son inseguros,

o sea, debido a que cuentan con un cifrado débil o no existe el cifrado o sea,

esto Esto ya es conocido en el ámbito de la ciberseguridad, la informática forense y todo esto.

Y pues todo el mundo que está en el mundo de la computación sabe que el Wi-Fi, el WPS famoso...

No se debe de tener activo, o sea, muchos routers antiguos lo traían como predeterminado

activo, prendido, y pues eso es una.

Es una falla de seguridad muy, muy grave, o sea,

que claro, es mejor eso a que no tenga nada de ni contraseña que está abierto completamente,

pero no hay gran diferencia porque va a ser que el famoso WPS es un código numérico

como un pin de 4 o 6 dígitos máximo entonces con un brute force se puede fácil,

detectar entonces básicamente es como que no existe,

y todavía si hay unos que ya traen un pin predeterminado por la marca y por el año y por todo eso,

entonces pues se reduce todavía más a lo mejor el 1, 2, 3, 4 0,

0, 0, 1, 1 1, o sea etcétera, entonces,

todavía se reduce más el número de de.

Como se puede decir, de combinaciones numéricas que se pueden que se ocupan para entrar a esa señal.

Entonces, básicamente, se puede decir,

que no es nada, nada seguro, ¿no? Entonces, y también detectaron,

por ejemplo, que en un desglose.

Esta investigación dice que la tasa de riesgo varía ligeramente entre las ciudades

que albergan los partidos,

presentando dos problemas principales, la falta general de seguridad y la presencia

de configuraciones obsoletas, como el WPS, y las redes inseguras, o sea,

entonces, por ejemplo, en Guadalajara existen 18.5% de redes inseguras,

y ¿cuáles son las redes inseguras?

Vamos a decir que las redes inseguras son primero,

las redes abiertas porque la gente dice hay internet gratuito y sin clave super

bien y ahí va todo el mundo en este mundo de la ciberseguridad,

existen unos dispositivos que se llaman honeypots que se ponen dentro de las

redes y estos son es como al proceso de bajar y pues no es como.

Un vaso con miel y entonces llegan las abejas y luego,

huelen la miel y vámonos o sea igual entonces la gente dice oh un wifi abierto

y está rápido y le ponen un nombre atractivo o sea vamos a decir que,

si estás en un café pues que se camuflaje con el con el lugar,

¿no? Ah, estoy en un café.

Entonces, ah, el nombre de la red.

Café late, ¿no? Y la clave, uno, dos, tres, o sin clave, ¿no?

Este, y entonces la gente se conecta porque dice, oh, pues, está,

es del café, o sea, y a lo mejor no.

O sea, puede ser que si la red sea del café legítimamente, pero también puede

ser que alguien esté simulando un wifi como un man in the middle, se puede decir,

y no es nada difícil hacer eso.

Simplemente conectes una tarjeta inalámbrica como un, vamos a decir,

un dispositivo de marca Alpha que tú puedas.

A transferir, recibir y inspeccionar paquetes, ¿no?

Entonces, a través de, vamos a decir, WireShark. Entonces,

un dispositivo alfa con el WireShark

y simulas un Wi-Fi conectado al Wi-Fi genuino del móvil de un café.

Entonces tú puedes

ver todo todo el contenido

este quien quien

no esté cifrado porque también hay que

tomar en cuenta que las páginas ya todas tienen htps es la mayoría

entonces tal vez no puede ver todo el tráfico claro o sea una vez que tú eres

man in the middle o sea tiene ese posible poder y le puedes bajar el grado de

seguridad a través de otro procedimiento,

pues no voy a explicar todo aquí.

Y pues le dices, oye, esta página no existe con HTTPS, pero está la página.

HTTP y le baja la seguridad y pues la persona cree que está en la página original

o no o aunque los navegadores ya te avisan, pero la gente ni caso les hace,

entonces se comunican a través del HTP.

Y ya que no va cifrado, pues ahí sí puede ver todo lo que está mandando y recibiendo,

y si quieres capturarlo, pues lo capturas, y si no, pues no lo capturas,

pero por lo menos lo puedes ver.

Y entonces, esto es así como, vamos a decir, algo muy,

estoy hablando muy general, muy así, porque no se trata de dar una clase de

hacking ético ni nada de eso, ¿no?

O sea, y aunque sería muy bueno, porque es para aprender a protegerse, ¿no?

O sea, entonces, así que ya saben que si su navegador les manda un mensaje que

dice Oye, te bajaron el cifrado de HTTPS a HTTPS, ah, un problema.

Mejor me cambio de red o cierro esta página y abro con el mismo otro navegador y a ver qué pasa, ¿no?

O sea, pero mejor me cambio de red y uso mi VPN, ¿no?

O sea, entonces más vale, ¿no?

O sea, y bueno, después decía que en Guadalajara pues las redes inseguras es el 18.5%,

El Monterrey es el 17.2% y en la Ciudad de México 16.5% de las redes son inseguras.

Y seguras pues por eso o porque tienen

son redes abiertas o porque

son redes falsas que simulan son una red pues una red genuina no pero lo que

tiene que lo que siempre tiene en común general o sea generalmente las redes es de que te ponen,

una red siempre abierta para que la gente piense, wow, está abierta.

No ocupo ni clave ni nada, y ahí va la gente.

Y otra es que le ponen la clave, pero muy sencilla,

así como, es más, casi te la ponen en el nombre, la red café clave late,

y así 1, 2, 3, 4, 5 es algo muy fácil entonces,

esas son como las cosas con que se puede uno fijar y se da cuenta cuando algo

así como que esto no encaja aquí,

también otra cosa es si hay varias redes en el mismo lugar o sea por ejemplo,

si es un café vamos a decir que Porque estamos hablando de la gente que viene

de afuera y que no es de aquí.

Entonces va a ir a un lugar y va a llegar a un restaurante, a un café, ¿no?

Entonces, si eres de café, vamos a decir.

Un café, no sé, el latte, este, el nombre del café, entonces, ah, ok.

Y, ¿cómo se llama?

La red no pues este un late

caramelo no se llama

la red del wifi no te cortas al late

caramelo no es que pero si si hay varias redes iguales si puede haber porque

hay varias frecuencias muchas veces si tienen prendidos así del wifi con 2.4

gigahertz pues este y el 5 gigahertz y también está el hermano que de 6,

o sea, puede haber esas 3 redes con el mismo nombre, o sea, pero ahí hay que

fijarse si son diferentes.

Frecuencias, si vamos a decir, si es la misma frecuencia entonces está raro

o sea, es decir que una de las redes está clonada, o sea, y aparte se puede

clonar con otro nombre, también por eso, si están igual de fuertes todas las

redes, vamos a decir, la misma,

que todas tienen 5 rayitas,

y aunque tengan diferentes nombres pero...

Vamos a decir, hay dos que son 2.4, dos redes con nombres diferentes, pero de 2.4 y 5 rayitas.

Y dices, oh, está muy raro esto, porque, vamos a decir, si tiene la misma potencia,

es decir, que está más o menos en el mismo lugar.

Y para que un café, por ejemplo, un restaurante va a tener dos redes con la

misma frecuencia, con la misma potencia,

es como vas a poner dos aparatos, vas a poner, generalmente los negocios no

quieren gastar tanto en esas cosas, lo menos que se puedan,

entonces eso es lo que hay que fijarse, llegas a un lugar y dices,

a ver, ¿cuántas redes hay aquí que tengan la misma potencia?

1, 2, 3 ok, ahora vamos a ver si de esas que tienen la misma potencia están en la misma,

frecuencia 2.4, 5, 6 GHz o,

están en diferente si están en diferente podría ser genuino o sea pero si,

están en la misma frecuencia es más extraño o sea, no necesariamente pero son

como indicios que uno se tiene que ir fijando para ir como teniendo una idea que sí que no,

y claro pues si ya dices, bueno, no quiero andar batallando con wifi,

mejor agarro mi teléfono, comparto mi internet y me conecto al internet desde mi teléfono,

la computadora la conecto desde mi teléfono y de ahí me parece súper súper recomendable entonces.

Esa es la la la parte interesante no y también aquí,

La sede, por ejemplo, de Guadalajara, que decía que tiene, esa es otra estadística,

que tiene 50.9% de redes Wi-Fi con el WPS activo.

Y como dijimos al principio, el WPS activo es una falta de seguridad muy grave

que ya ni se debería hablar porque es algo estándar.

O sea, que cualquier persona que sepa un poquito de computación sabe que cuando

compra un router, si aún trae WPS, lo debe apagar.

Lo primero que debe hacer es entrar y desactivar esa función.

Igual. Entonces, también, por ejemplo, Monterrey dice que el 47.5% de las redes tiene el WPS activo.

Y en la Ciudad de México el 53.7%. O sea, fíjense, más de la mitad de las redes

tienen WPS activo. Entonces, ¿eso qué debe decir?

Que si ustedes se conectan a una de las redes que tienen WPS activo y supongamos

que sea un router de los más comerciales que hay o hasta los que te da,

vamos a decir Telmex, Telnor,

Easy, todas esas empresas.

Que vamos a suponer que tienes disponibles 250 IPs, ¿no?

Y que para que no esté lento, que el administrador lo limitó a 100 IPs.

Entonces 100 personas se pueden conectar a ese aparato. Y si hay 100 personas

conectadas, ¿cómo sabes que uno de esos no está.

Pues capturando tráfico

de esa red o sea

o sea que porque con

WPS pues es fácil entrar en la red wifi por eso debe estar desactivado todo

el tiempo pero de aquí en la ciudad de México en Guadalajara y en Monterrey

pues básicamente todos tienen se puede decir si Si lo hacemos así como redondeo,

pues el 50%, o sea,

de todas las redes están vulnerables, o sea, la mitad,

o sea, en cualquiera de las tres ciudades que llegues, o si vives en una de esas,

pues vas a, te conectas en una red pública, tienes el 50% de la probabilidad

de que, pues, puede ser hackeada, porque tiene WPS activo.

Así que, como se fijan,

no es nada bueno conectarse a las redes públicas, entonces ¿cuál es la recomendación?

Pues que no usen las Wi-Fi públicas, que tengan WPS.

O sea, cuando se conectan en su celular, por ejemplo, la computadora,

pueden seleccionar a qué tipo de redes se pueden conectar.

Entonces, ahí debería ser WPA2, por lo menos.

O sea, WPA, claro que es mejor que WPS.

Pero es vulnerable también aunque un poquito más seguro que WPS vamos a decir

pero para estar bien seguros WPA2 o WPA3,

o sea si en su teléfono en su computadora en la conexión de wifi ahí dice ¿a

qué redes me puedo conectar?

Y si le pones automático pues se conecta a todas pero tú le puedes seleccionar

ahí en cualquiera en Windows, en Mac que en Android, en iOS,

a qué tipo de conexión o protocolo te puedes conectar.

Entonces, si le seleccionas, por ejemplo, el cifrado más moderno como WPA2 o

WPA3, pues estás más seguro.

No quiero decir que estés 100% seguro, pero mucho, mucho más seguro que WPS.

Ok, entonces Ese es el El asunto del.

Del wifi Y Tengo una sorpresa en este mismo tema Pero vamos a hacer Una pausa

de unos segundos Y continuamos.

Ok, este tema Está súper Súper interesante, bueno a mi me encanta No sé, no sé La verdad Este...

Pero voy a tratar de hacer una versión así como muy, muy reducida,

muy compacta, así para que no,

con términos un poco lo más claro que se pueda, porque es algo que tiene que

ver con, pues básicamente,

¿cómo se puede decir?

Pues la física detrás del wifi.

Es algo medio complejo, pero vamos a tratar de hacerlo,

así como resumirlo unos 5 o 10 minutos máximo y que quede así como la idea clara.

Entonces.

Bueno, ¿de qué se trata? Primero Este,

Pues pueden buscarlo también Por internet En youtube donde quieran Y hay un

montón No es algo nuevo Pero no se porque no se difunde tanto No se porque no

No se hace como ese tipo de conciencia De la gente,

De cuando se está al wifi Yo por ejemplo En la oficina no tengo wifi para nada todo está cableado,

claro que eso no salva o no me salva mucho porque tendría que estar aislada

en la oficina para que no entre en redes wifi de otros lugares y tengan el mismo

efecto pero ¿de qué estamos hablando?

Ya se lo imaginan ¿verdad? ok entonces y.

Vamos a decir que básicamente los routers pueden pueden comportarse como radares

no así hace como radares pasivos para mapear el espacio físico y detectar movimiento

sin necesidad de cámaras,

y así es como funciona a nivel técnico no sé si lo así lo vamos a manejar no

ser imagínense que Cada aparato wifi que tengan en su casa, su oficina,

donde sea En el café,

en el restaurante Está transmitiendo una señal ¿No?

Entonces, la señal wifi no viaja en la línea recta Perfecta,

o sea, no Entre el router y tu teléfono.

Rebota la señal en las paredes En los muebles y pues en los cuerpos humanos,

en las mascotas, en todos lados, ¿no?

Y eso se conoce como propagación multitrayecto.

En inglés se llama multipath propagation, ¿no?

Entonces, cuando una persona se mueve en una habitación, altera la geometría

de cómo rebotan las ondas.

Porque si saben, pues son ondas electromagnéticas, ¿no?

O sea, eso es esencial, ¿no?

O sea, entonces todo eso no debería ni de explicarlo, ¿no?

Porque es algo básico, ¿no? Se puede decir.

Ok, bueno, entonces, y, ok, dice, ¿y qué tiene que reboten, no?

O sea, las ondas, ¿no?

O sea, ¿qué importa que reboten? Pues para estos rebotes se interpretan.

Y para eso existen dos tipos de mediciones de los rebotes de las ondas.

Espero que si me esté explicando vamos a decir como metros, centímetros o sea,

ese es otro tipo de medición que mide

como en qué está

rebotando y cómo rebota si se

imagina como una habitación que fuera vamos a decir que esté llena de vamos

a decir como de humo blanco y que cuando se van moviendo van dejando la estela

y van viendo cómo se mueve el humo blanco ese.

Pero pues esto es invisible. Entonces.

El primer método se llama RSSI. ¿Qué quiere decir?

En inglés es Recibe Signal Strength de Fuerza Indicator.

Entonces es que esto es el método, se puede decir,

más básico, y el RSSI mide la potencia o la fuerza de la señal que llega al

receptor, vamos a decir,

Entonces, cómo detectan los movimientos, ¿no?

Entonces, si caminas entre el router y la computadora,

tu cuerpo absorbe y bloquea parte del agua y la señal de radiofrecuencia, ¿no?

Porque el cuerpo tiene agua, entonces bloquea parte de la señal en la radiofrecuencia,

provocando, vamos a decir, una caída temporal.

Te pones en el... creas como una distorsión, te pones entre medio la señal,

¿no? Porque te estás moviendo.

Entonces, detecta esas distorsiones, ¿no?

Y este protocolo, o sea, esta medición, pues es muy ruidoso o inestable, o sea,

no tiene algo muy,

o sea, nomás sirve para decir algo grande cruzó por aquí, una mascota,

una persona o algo pero este sistema de medición no te puede dar,

detalles muy precisos

o detalles finos pero es así como empezó todo luego está el otro La otra forma de medición es el CSI,

que se llama Channel State Information.

Que es el verdadero, vamos a decir, entre comillas, sensor, ¿no?

Entonces, aquí es donde la terapia se vuelve así como mucho más precisa,

se puede decir, quirúrgica, así como, ¿no?

Súper, ¿no? Entonces, y aquí, en este, en el CSI, es el, vamos a decir,

el verdadero riesgo de la privacidad.

A diferencia del RSSI, el CSI desglosa la señal en múltiples subportadoras gracias

a la modulación OFDM que usan las redes modernas.

Ahorita vamos a explicarlo, ¿no?

Pero, básicamente, la extracción de metadatos.

El CSI no solo mide la fuerza de la señal como la anterior, sino también la

amplitud, la fase de cada una de las ondas individuales. ¿Ok?

Entonces, tiene una precisión micrométrica.

Al registrar las alteraciones en las fases de las ondas, el CSI captura patrones

de interferencia increíblemente detallados.

Con ayuda de algoritmos de inteligencia artificial y machine learning,

se puede limpiar el ruido de estos datos para identificar firmas únicas aquí está el problema,

y que es lo que puede revelar el CSI, es tan preciso que puede distinguir si

una persona está caminando,

cayéndose, tecleando si está sentada incluso si estás simulando que estás tecleando

en el aire ya ves que a veces como que mueve los dedos así, como que estás tecleando.

Hasta eso lo puede.

Detectar. También el movimiento de tu respiración.

El latido del corazón. Todo eso lo puede detectar. Y ni cuenta te das.

Nomás por tener el wifi prendido.

Luego...

Pues, ¿qué implica, no? ¿Qué implica esto?

O lo podemos detallar más, pero creo que es suficiente, ¿no?

Ahí díganme en los comentarios si quieren que hagamos una versión bien detallada de esto.

Desde la perspectiva del análisis forense, por ejemplo,

y la ciberseguridad, Eso transforma cualquier router moderno en un radar que te espía, ¿no?

Y existe un estándar que se llama Wi-Fi Sensing, que así como,

vamos a decir, de pura casualidad.

Los ejércitos de algunos países bélicos, ya tienen años usándolo, el Wi-Fi Sensing,

es un sensor biométrico pasivo,

Y si un atacante logra comprometer el router y extraer la telemetría del CSI,

puede saber exactamente cuántas personas hay en una habitación.

Puede monitorear sus patrones de actividad a través de las paredes.

O sea, puede salir de ti todo sin una cámara, o sea, a través de las paredes,

todo utilizando simples paquetes de red, o sea, porque ya saben,

los paquetes de red son cómo funciona el TCP y IP, cómo funciona el internet,

pues a través de paquetes, o sea, no sé.

Y vamos a decir todavía más específicos, ¿no?

O sea, paquetes secuenciados, ¿no? O sea, porque así funciona el TCP y IP, ¿no?

O sea, agarra el paquete, lo manda, o sea, y pues ya saben el...

Bueno, como si me pongo a explicar cuáles son los siete pasos del TCP y IP,

de principio a fin como del hardware hasta el software o al revés,

el software hasta el hardware los siete pasos es muy técnico los siete layers del TCP y P,

o los básicos, los siete layers básicos porque

después cada uno se subdivide y un montón

de cosas pero al final de

todo son paquetes son paquetes de datos que se envían de un punto a otro de

una dirección IP que sale a través de una tarjeta una NIC.

Y esa puede ser a través de Ethernet o puede ser a través de Wi-Fi entonces,

ya son otros detalles que ya salen del tema principal que es este de la seguridad.

Pues el problema aquí está en el Wi-Fi ahora.

¿Tienes Wi-Fi en tu casa? ¿Tienes Wi-Fi en la oficina?

Yo siempre he recomendado cableado. No me hacen caso porque es más fácil el Wi-Fi, ¿no?

Y sí, pues es el mismo que el teléfono lo conectes, vamos a decir,

y con cable, pues sí se puede, ¿eh?

Sí se puede, pero pues no es nada práctico.

O sea, sí entiendo esa parte,

pero la verdad deberían de eliminar o minimizar el uso del Wi-Fi y...

Si es por ejemplo la oficina, no tiene necesidad para nada de Wi-Fi.

Y el cableado ya en esas épocas, a esas alturas, ya el cableado ya ni es tan caro.

O sea, la verdad, ya un cableado estructurado, o sea,

categoría 5E, 6, 6 a menos que sea para exterior, porque para el interior no se ocupa categoría 6.

O sea, la verdad, para lo normal de todos los días, pues no.

A menos que me da un cable por el exterior, pues sí categoría 6 para que esté

protegido contra el sol, radiación y todo lo demás, ¿no?

Entonces, pero pues ni es tan caro.

O sea, la verdad, vale la pena hacer el esfuerzo y por ejemplo si en la casa

tiene una televisión conectada al internet con wifi, pues mejor conecten un

cable al router y deshabilitan el wifi de la televisión.

La televisión, tu cuerpo y la seguridad te lo van a agradecer.

Así que ese tema que acabo de tratar así de forma rapidita, porque no quiero,

me trae muy técnico o sea muy así,

pues nomas imagínense que el wifi es un radar que está diciendo que están haciendo

en su casa en su oficina en todo y,

imagínense que está teclando o sea si notan que están teclando o sea y a través

de la IA al rato vas a poder saber que teclas estás apretando si me entienden o sea o sea,

Al rato vas a poder, a través de las paredes vas a poder saber qué teclas,

qué contraseña estás tecleando.

O sea, cómo está tu corazón latiendo, si estás estresado, si estás angustiado,

si tomaste mucho café y todo esto.

Entonces, pues ya depende de ustedes si les gusta ser espiados, ¿verdad?

Porque eso parece al no hacer algo al respecto, ¿no?

Entonces, porque siempre lo más fácil es ir siempre a salir ganando,

¿no? Lo más práctico, ¿no?

Entonces, ok. este tema fue un tema nomás porque como estaba hablando del wifi,

del estadio del FIFA que ya viene a México y eso pues se me ocurrió,

agregar este mini pedacito de algo extra acerca de lo mismo tema del wifi,

entonces ese fue un tema extra y ahora sí Y vamos con el último tema del programa

del día de hoy y continuamos.

Bueno, entonces vamos a hablar de un tema importante.

Pues más en el área político-legal, pero es acerca del pitching.

Pero esto que voy a decir pasa cuando políticos y esa gente hacen cada ley que

no entienden el contexto y no saben las implicaciones técnicas que conllevan.

Entonces, nomás se fijan en lo político, en lo que va a salir en el periódico.

Wow, eso nos va a dar votos, no sé qué se fijará.

Pero bueno, esa es una ley, una reforma.

A una reforma que adiciona una fracción al artículo 231 del Código Penal para el Distrito Federal,

o sea, para la Ciudad de México, dotando al pitching como una identidad jurídica propia.

Pero, ¿por qué aunque sea para la Ciudad de México lo digo así?

Porque generalmente después agarran y copian, y decían, pues,

ah, vamos a estar a nivel nacional.

Entonces, pues lo bueno es que ahorita,

Nomás está para la Ciudad de México Pero no dudo que pronto Eso se expanda Y

bueno, ok Entonces, ¿de qué se trata esta cosa?

Dice, primero tiene una penalidad severa Establece

que las sentencias Van de 3 a 9 años de prisión Acompañadas por multas económicas

Después dice la ley persigue específicamente el acto de enviar al suelo digital ya sea por SMS,

correo llamadas o sitios web falsos donde el atacante suplanta la identidad

de instituciones bancarias gubernamentales o proveedores de servicios para extraer credenciales,

dinero o datos ok y cuáles son los agravantes de vulnerabilidad, dice.

Un asiento jurídico de la forma en que las penas se incrementan automáticamente

si el delito se comete contra sectores demográficos específicos,

como adultos mayores,

personas con discapacidad o

menores de edad, quienes son los principales objetivos de estas campañas.

Ok, entonces, pero aquí si se fijan, o sea,

pues, luego leyendo se te das cuenta de algunas implicaciones técnicas y algunas

zonas grises, por ejemplo,

a pesar de que es un avance legal, pues, ha tenido sus críticas, ¿no?

Porque debido a que pues es deficiente su redacción, pues así de fácil o sea por ejemplo,

en lugar de centrarse estrictamente en la ingeniería social y la suplantación

de identidad o sea que eso es lo principal del pitching, porque el pitching

es suplantar la identidad de alguien o de alguna empresa,

de algo para que tú creas que estás conectándote con el banco,

con una entidad de gobierno, con una empresa.

Y la redacción de la ley apila términos informáticos inconectos,

porque no saben y no preguntan, son unos idiotas.

O sea mezclan conceptos como radiodifusión red de redes o sitios espejo o sea.

Reinyección de datos y manipulación de vulnerabilidades del sistema operativo.

O sea, esta falta, o sea, son cosas, o sea, red de redes.

O sea, está hablando del internet, porque red de redes no necesariamente es el internet.

O sea, tú puedes tener un intranet, tú puedes tener un extranet.

O sea, o el internet, ¿no?

O sea, son cosas diferentes y a todos y todos esos son redes de redes, ¿no?

O sea, claro que se entiende, se puede asumir que...

Quieren decir internet cuando hablan de redes, pero no es, se puede decir un

término exacto, red de redes.

Por ejemplo, sitios espejo está mal también.

O sea, ¿qué es eso? ¿Qué sitios espejo? O sea,

sitios espejo, tú puedes tener un sitio y puedes tener la réplica de tu sitio

por si se cae de un servidor,

Lo tienes duplicado en otro lugar Aunque no sea visible No sea público en el

momento Pero lo puedes tener en otro De hecho es muy común Por ejemplo en las bases de datos Tener,

es más, los discos duros Cuando tú tienes un RAID 10 O vamos a decir.

Que es Un mirror, así se llama de hecho Mirror,

que es un disco duro Copia al otro disco duro Si entienden O sea,

entonces no es así como un sitio de internet, un sitio de espejo puede ser legal,

o sea, no necesariamente tiene que ser ilegal.

Sí puede ser que ese sitio de espejo esté copiando o reflejando otro genuino

y eso es una copia ilegal, sí puede ser, pero no necesariamente un sitio de espejo es ilegal.

O sea, entonces, son tantas cosas que, ¿qué onda con estos cuates?

O sea, espero que esa ley, si un día se llega a la ley nacional,

que esté bien redactada.

La verdad es una super gacho la falta de previsión técnica.

Pues no sé los ministerios públicos no sé cómo le van a hacer ¿no?

O sea, ¿cómo van a armar el caso?

O sea, porque está cañón eso. O sea, y aparte, como está tan mal,

pues el riesgo de criminalización del sector profesional pues es eminente, ¿no?

Al tener una redacción tan amplia y no delimitar con precisión la intención

maliciosa, o sea, el dolo, pues,

la reforma genera un vacío legal.

Y para los especialistas que trabajan en estos incidentes,

la ley no traza una línea clara que proteja el análisis forense informático del otro.

O sea, las pruebas de penetración el pen testing que se llama que es algo legal

que hasta las empresas lo solicitan a ver,

trata de hackearme mi red para ver que tan segura está es un servicio o sea,

quiero que me des un informe de mi red si está seguro o no.

Entonces ya vas con tu equipo y todo y trata de hackear la red,

ah, no, pues no puede hackearla, está súper segura porque mira,

está así, o al revés, ¿no?

Ah, sí, pues mira, usé estos procesos, metodología, usé este software,

usé este equipo, y traté de infiltrarme en su red, pero no se pudo, o sí se pudo, ¿no?

Ah, sí se pudo porque mira, aquí no se ha cifrado, aquí esto,

aquí lo otro, y ya sabe la empresa que hacer para remediar eso, ¿no? Y eso es legal.

Y aquí, pues ya no, o sea, ya casi te van a pasar, no, ¿sabes qué?

Pues al bote, ¿no? Pues ya sé qué pasó ahí, ¿no?

Porque si la ley no distingue entre

atacante que suplanta la

identidad y por ejemplo un perito

o un investigador que audita o interactúa con

una infraestructura falsa para extraer evidencia pues que onda ahí tiene que

estar del invitado el trabajo legítimo de ciberseguridad queda expuesto a interpretaciones penales no sé,

Entonces, no me gusta para nada. Por eso quise traer este tema,

aunque es más legal que nada, pero pues tiene mucho que ver con mi área, ¿no?

O sea, entonces, pues, así como que andan con estos cuates que ya no les sirve

el cerebro, ¿qué pasa, no?

O sea, ¿por qué no consultan a alguien que sepa esos términos para ponerlos

en sus leyes antes de revertir una cosa de esas?

Ahora,

vamos a decir que los especialistas en derechos digitales señalan que la ley

penaliza el último eslabón de la cadena, por ejemplo,

en este caso el engaño en sí, pero ignora la raíz técnica del problema.

O sea, ¿y cuál es la raíz?

Las filtraciones masivas.

O sea, un atacante hoy no necesita hackear un teléfono de una víctima.

Basta con cruzar bases de datos gubernamentales o privadas filtradas con nombres,

curves, número de cuenta, etc., ¿no?

Para generar correos phishing, o sea, súper hiper personalizados, ¿no?

Antes te llegaba un correo del banco y cuando eran falsos pues te das cuenta

porque decía algo así como no sé señor, señora y no traía nombres.

Detectamos que es su cuenta y le inventaron un número X y,

tuvo unos movimientos y no sé qué, y qué, X, ¿no? Y ya.

O sea, pero luego no te das cuenta porque después no tenía tu nombre,

ni tu número de cuenta, ni nada, ¿no?

Ni número de teléfono, nada personal.

Pero ahora con esos hiper, se puede hacer correos, SMS, WhatsApp,

hiper personalizados, porque el mismo gobierno se ha filtrado toda su información, ¿no?

Entonces ya puedes decir, oh, sí, mira, ahora ya en lugar de ponerle así como señor, señora este,

ciudadano, x ya le ponen tu nombre y le ponen tu, ah con el número de cuenta

y a lo mejor ya tienen el número de cuenta y con tu curva tal y esto, y ala pues si todos esos,

todos esos datos, aunque no se toman la cuenta porque muchos no se lo saben

de memoria pero ya se asustan por lo menos cuando tienen su nombre completo y su curva por ejemplo,

o su rumor de teléfono y de dónde salió parece que sí es real,

claro que otros hay que fijarse en otros detalles de dónde viene,

si la dirección del correo es del banco y todo eso pero por lo menos si te da

una impresión por lo menos ya tiene más datos míos que antes y eso es culpa del gobierno.

Entonces por qué no se censuran ellos mismos primero antes de empezar a hacer

leyes para los ciudadanos, que se hagan leyes para ellos mismos,

que por hacer sistemas tan fáciles de hackear y de penetrar,

pues del pentesting, O sea,

pues, que se censuren ellos mismos, por no decirlo de otra manera.

No, eso es el origen, ¿no?

De todo el pitching y todo lo que está pasando ahorita.

O sea, y la ley castiga nomás al operador del fraude, ¿no? pero no exige mayor

responsabilidad técnica de

las instituciones que perdieron el control de los datos en primer lugar.

Por ejemplo, en cualquier país avanzado si una institución pierde datos,

tienen la obligación de anunciar que se perdieron los datos y cuáles datos se

perdieron y cuándo y todo esto, ¿no?

Entonces, aquí, dices, oh, no, no, no pasó nada, ah, este nomás eran datos de hace 10 años ¿sí?

O sea, seguro ¿qué más?

¿no? entonces aquí no pasa nada o sea, así como que oh, este,

y para que veas, ahora vamos a perder tus datos biométricos también,

para que no estés quejando ¿y quién nuestros datos biométricos, no?

O sea, entonces no, está mal esto, pero quería dejar esto bien claro porque

aunque esto nomás se aplique en la Ciudad de México ahorita.

No creo que ahí vaya a terminar esto.

Entonces, más vale ir revisando esta ley, porque al rato se les ocurre a estos

cuates otra tontería y la aplican a nivel nacional.

O sea, a lo mejor algún político, ¿no?

A lo mejor Harfuch o alguien dice, ah, ocupo esa del pitching por la nivel nacional.

Ah, sí, ahorita mañana la subimos a la Cámara de Diputados y la votamos en la

noche y ya para mañana ya amanece en la Cámara de Senadores y ya el otro día

está publicada en el diario oficial y órale, vámonos, ¿no?

En tres días ya está lista la ley a nivel nacional y así de gacha como está

redactada, ¿no? O sea, no manches.

Entonces, ese es el otro tema del día de hoy.

Y pues creo que ahora sí me pasé.

Ahora sí me pasé de las...

40-45 minutos, pero estos temas de ciberseguridad y la política,

pues la verdad sí hacen que me enojen, porque hacen pura tontería,

pues no son informáticos,

no son ingenieros de sistemas,

no tienen ninguna acreditación técnica,

y si la tienen, a lo mejor estudiaron hace 20, 30 años y no están al día,

pues una cosa es que lo hayas estudiado y pues si te dedicas a la política y

otra cosa que estés en el mero,

o sea,

en el trabajo o sea de campo en el área pues y sepas como se.

Maneja todo ahí y otra cosa que te lo cuenten así como un cuento de hadas y

ya hagas una ley así como como sea entonces pues no está bien eso,

Entonces ahí se los dejo y lo siento por los que viven en la Ciudad de México

porque la verdad está callo en eso, está muy difícil.

Y los profesionistas de pen testing y todo eso tienen que, yo creo que hacer

10 contratos antes, o sea, más bien 5 contratos y cláusulas y no sé qué diga.

Yo soy profesionista en esto y me contrataron para que intentara o para que

jacquiera esta empresa o este negocio para mejorar la seguridad y que la empresa

le firme y todo lo de no sé qué tendría que hacer.

Un montón de cosas para que cualquier cosa no vea decir, oh este pues está haciendo

algo ilegal como esta ley, ya todo lo considera ilegal.

Porque pues se puede interpretar como quiera así con esos términos que le ponen red de redes,

que quiere decir eso para empezar la verdad, la verdad bueno ya para que se

me baje Hasta aquí lo dejamos.

Que tengan un muy buen sábado. Muchas gracias por su tiempo.

Nos vemos la próxima semana y no se les olvide inscribirse ahí en los grupos de Telegram, WhatsApp.

Estamos en comunicación. Denle like en la plataforma que me estén escuchando.

Muchas gracias por su apoyo y estamos en comunicación el próximo fin de semana. Hasta entonces.