5 cosas que aprendí de un ex hacker más buscado del FBI

En ciberseguridad, a menudo decimos: "Piensa como un atacante". Pero pocos de nosotros tenemos la oportunidad de escuchar directamente a alguien que vivió esa vida y la cambió.

En uno de los episodios más inolvidables de The Segment, me senté con Brett Johnson, una vez apodado el "Padrino original de Internet" por el Servicio Secreto de los Estados Unidos.

Luego de construir la primera comunidad organizada de delitos cibernéticos y aterrizar en la lista de los más buscados del FBI, Brett reconstruyó su vida y ahora sirve como una voz confiable para los líderes de seguridad y aplicación de la ley por igual.

Aquí hay cinco lecciones que Brett compartió de su vida delictiva reformada que más se me quedaron grabadas.

1. La percepción es la nueva realidad

En el centro del mensaje de Brett hay una verdad escalofriante: "No importa cuál sea la verdad. Importa de lo que pueda convencerte".

Eso no es solo una táctica criminal, es una preocupación social. Desde emails de phishing hasta desinformación política, la confianza se está convirtiendo en un arma. Y con el video y el audio deepfake evolucionando rápidamente, la línea entre lo real y lo falso está desapareciendo rápidamente.

"Estamos llegando al punto en que los deepfakes van a ser en tiempo real", advirtió Brett.

Usó un ejemplo de un ataque en el que los malos actores pueden falsificar a un CEO a través de una videoconferencia de Zoom. Nómina cree que están hablando con el CEO en tiempo real, pero en realidad están siendo engañados para enviar dinero a otra cuenta bancaria.  

"Eso es muy efectivo", dijo. "Y va a funcionar a las mil maravillas".

La conclusión es construir sistemas que verifiquen, no asuman. Zero Trust es un marco de seguridad, pero también es una forma de restaurar la confianza en un mundo de engaño digital.

"Estamos llegando al punto en que los deepfakes van a ser en tiempo real".

2. Los criminales son oportunistas, no genios

Hollywood pinta a los piratas informáticos como forajidos brillantes. Brett lo ve de manera diferente.

"La mayoría de los ataques se basan en efectivo y son oportunistas", explicó. "Estoy buscando el acceso más fácil que me brinde el mayor retorno de esa inversión criminal".

Es por eso que la higiene cibernética básica sigue siendo importante: parchear vulnerabilidades, proteger credenciales, cerrar puertos abiertos. Estos pasos no son llamativos, pero a menudo se omiten.

La seguridad no tiene por qué ser costosa. Pero debe ser consistente.

3. La confianza se basa en el comportamiento

Los atacantes saben que confiamos en nuestros dispositivos. Usan esa confianza en nuestra contra.

"Confiamos inherentemente en nuestros teléfonos celulares, nuestras computadoras portátiles, nuestras computadoras de escritorio", dijo Brett. "Confiamos en los sitios web a los que vamos, y eso tiende a abrir la puerta de la confianza".

Brett insta a las personas y organizaciones por igual a redefinir la confianza en nuestros sistemas digitales. Verifique el comportamiento, preste atención al contexto y diseñe sistemas que no dependan de una sola señal de legitimidad.

"Puedes detener todo el fraude del mundo. Lo único que tienes que hacer es cerrar el sitio web", bromeó. "Quieres tener ese equilibrio entre seguridad y fricción, pero ese equilibrio tiene que pesar más hacia el lado de la seguridad".

4. Los piratas informáticos colaboran. También deben hacerlo los defensores.

¿Una de sus críticas más agudas? "Los malos son mejores para compartir y colaborar que ustedes", dice.

Los ciberdelincuentes intercambian herramientas, tácticas y consejos. Pero los defensores a menudo están aislados por la industria, la competencia o la burocracia.

"Si estoy en una industria en individua y mi compañía se ve afectada por un tipo específico de ataque, compartir esa información significa que otros en el mismo espacio también pueden proteger antes de ser atacados", dijo.

El resultado final: el panorama de amenazas no está aislado, por lo que nuestras defensas tampoco deberían estarlo.

"Si estoy en una industria en individua y mi compañía se ve afectada por un tipo específico de ataque, compartir esa información significa que otros en el mismo espacio también pueden proteger antes de ser atacados".

5. Zero Trust es la forma en que reconstruimos la confianza

Brett cree que el contenido generado por IA, como los deepfakes, está dificultando que las personas sepan en qué confiar. Es crucial pensar críticamente y mantener escéptico en línea. Pero las organizaciones deben encontrar formas de reconstruir la confianza.

"Cada nuevo compromiso entre el cliente y la organización debe ser desde el punto de vista de Zero Trust ", recomienda.  

En un mundo donde la percepción se puede fingir en tiempo real, no se puede asumir la confianza. Debe ganar, una y otra vez.

"Haga todo lo que pueda en segundo plano para anticipar el potencial de fraude y luego actúe en ese momento", aconsejó Brett.

Zero Trust no es solo una estrategia técnica. Es un hábito diario y una mentalidad. Y en este entorno de amenazas en evolución, es nuestra mejor oportunidad para mantenernos preparados.

Escucha, suscríbete y opina sobre The Segment

¿Quieres saber más de Brett Johnson? Vea el episodio completo de The Segment: A Zero Trust Leadership Podcast en nuestro sitio web, Apple Podcasts, Spotify o donde sea que escuche.