La edición 2025 de Kaspersky Horizons, celebrada en Madrid, ha servido como foro internacional para analizar los riesgos emergentes de la inteligencia artificial (IA) y la computación cuántica en el ámbito de la ciberseguridad. El evento ha reunido a expertos, medios y líderes del sector de más de 15 países, destacando la necesidad de cooperación global, ética tecnológica y acción política ante un cibercrimen cada vez más profesionalizado y potenciado por IA.
Horizons 2025
Oscar Suela, General Manager Iberia de Kaspersky, ha dado la bienvenida a los asistentes, subrayando que este es un momento emocionante y a la vez crítico para la ciberseguridad y la innovación. El evento está diseñado para ofrecer conocimientos e inspiración sobre cómo la IA está transformando todas las industrias, teniendo presente la ciberseguridad, la propia IA y la computación cuántica como pilares fundamentales en los que se centra este evento.
Ciberdelincuencia profesionalizada
La ponencia inaugural, a cargo del experto y evangelista en ciberseguridad Clément Domingo, ha desvelado un inquietante retrato de los grupos delictivos actuales: con estructuras corporativas, equipos dedicados a RR.HH., desarrollo y finanzas, y ganancias millonarias como en el caso de Lockbit. Según Domingo, la percepción del cibercrimen como actividad de bajo riesgo está atrayendo a una nueva generación de delincuentes juveniles, que operan con IA generativa para crear malware, deepfakes o correos de phishing cada vez más sofisticados y automatizados.
Ética, gobernanza y cooperación
Jochen Mickels, Jefe de Asuntos Públicos de Kaspersky para Europa, presentó la segunda keynote centrada en el papel de la ética y el enfoque multi-stakeholder para una IA segura. Mickels ha destacado la participación activa de Kaspersky en iniciativas como No More Ransom o el Pacto Europeo de IA, así como su adhesión a foros internacionales como el IGF de la ONU.
Kaspersky ha expuesto también sus principios éticos para el uso de IA en ciberseguridad, que incluyen transparencia, control humano, privacidad, seguridad y uso exclusivamente defensivo. Además, presentó una serie de directrices para el desarrollo seguro de sistemas de IA, abogando por integrar la seguridad desde el diseño.
- Transparencia: Informar a los clientes sobre el uso de la IA/ML, explicando su propósito y permitiendo la revisión del código fuente a través de sus 30 Centros de Transparencia globales.
- Seguridad: Prioridad máxima, con pruebas exhaustivas, auditorías y red teaming para garantizar procesos seguros de desarrollo de software.
- Control Humano: Mecanismos para monitorear el rendimiento de los sistemas de IA/ML, asegurando que los especialistas tengan acceso en tiempo real para corregir su funcionamiento si es necesario.
- Privacidad: Cumplimiento estricto con regulaciones como el GDPR, la Ley de IA de la UE y la Ley de Ciberresiliencia.
- Propósitos Defensivos Exclusivamente: Usar la IA/ML solo para proteger a los clientes y organizaciones, nunca para fines ofensivos.
- Apertura al Diálogo: Publicar documentos, interactuar con expertos y contribuir a iniciativas globales como el Compacto Digital Global.
Desafíos éticos y sociales de la IA
En mesa redonda bajo el título: “Responsible AI: desafíos, elecciones y cambio”, ha participado Liliana Acosta, investigadora en ética de la IA; Clément Domingo; y Marc Rivero, de Kaspersky GReAT. Entre los temas tratados: la concentración de poder en pocas empresas tecnológicas, la opacidad en los modelos de IA, los sesgos algorítmicos, la erosión del pensamiento crítico y la falta de comprensión sobre cómo funciona realmente la IA.
Se ha defendido la necesidad de equipos multidisciplinares, auditorías internas y externas, y la incorporación de la ética como criterio técnico y estratégico desde las primeras fases de desarrollo. “No podemos dejar la ética en manos del algoritmo”, concluyeron los panelistas.
Funsec, el ransomware impulsado por IA
El broche final llegó con la presentación de Marc Rivero, que ha desvelado los hallazgos sobre Funsec, un ransomware multiplataforma programado en Rust que combina cifrado, exfiltración y funciones de evasión en un único binario. Este malware, distribuido bajo el modelo Ransomware-as-a-Service (RaaS), incluye soporte al afiliado y herramientas generadas con IA que facilitan el reclutamiento y personalización de ataques, marcando un nuevo nivel de profesionalización en la economía del delito.
Rivero: “Cuanto más confortable o cómodo estás, menos seguro eres”
Durante su intervención, Rivero destacó una frase central: “cuanto más confortable o cómodo estás, menos seguro eres”. Más tarde, en entrevista en exclusiva para Silicon, nos ha explicado que esta premisa se aplica directamente al sector empresarial. Medidas de seguridad necesarias como la autenticación de doble factor o los cambios de contraseña cada 90 días, si bien son barreras efectivas contra los atacantes, a menudo resultan molestas para el usuario. La comodidad del usuario suele estar inversamente relacionada con el nivel de seguridad implementado, un desafío constante para las empresas que buscan equilibrar la protección con la usabilidad.
La ingesta de datos y los riesgos de seguridad con proveedores externos
Uno de los temas críticos abordados fue la seguridad de la ingesta de datos por parte de la inteligencia artificial, especialmente cuando el proveedor no se encuentra dentro de la zona de control de datos de la empresa, como puede ser la Unión Europea con su estricta regulación. Rivero ha señalado que el discurso sobre la regulación de datos no ha cambiado significativamente, recordando los debates iniciales con plataformas como Facebook o Twitter. Europa es un ferviente defensor de la regulación, especialmente en lo que respecta al tratamiento de datos personales, ejemplificado por normativas como el GDPR.
El principal problema radica en que, incluso para usuarios expertos, es extremadamente difícil saber si los datos están siendo alojados en Europa o no, ya que esta información a menudo está oculta o redactada con jerga técnica en los términos y condiciones. Rivero ha enfatizado la necesidad de que la industria vehicularice mecanismos de cooperación para asegurar que los proveedores de datos masivos se alineen con los estándares de tratamiento de datos de la región donde operan. Además, la eliminación pura de datos una vez que han sido ingresados en un sistema externo es un desafío, y la solución dependerá en gran medida de la regulación específica. Se citó el ejemplo de aplicaciones que declaran abiertamente que los datos serán tratados por el Partido Comunista Chino, y a pesar de ello, los usuarios continúan utilizándolas.
La preocupación de los clientes sobre estas prácticas varía según su madurez en ciberseguridad. Gobiernos y grandes empresas, que son clientes más maduros y sensibles, sí que trasladan estas precauciones y preocupaciones, las cuales son abordadas a través de programas de concienciación.
FUNSEC: El primer malware parcialmente desarrollado por IA
En cuanto a los desarrollos de malware, la investigación exclusiva presentada en el evento destacó a FUNSEC. Lo que más llama la atención de FUNSEC es que, hasta la fecha, es el primer malware conocido que ha sido parcialmente desarrollado con inteligencia artificial. No se han identificado otras familias de malware con esta característica.
Además de su génesis con IA, FUNSEC ha logrado combinar el uso de la IA para desarrollar herramientas que los afiliados pueden usar para mejorar sus capacidades de ataque en las empresas. También se ha entregado una prueba de concepto funcional que cualquiera puede utilizar para probar el servicio “premium” de afiliación, lo que lo hace “realmente brutal”. Finalmente, FUNSEC combina en la misma muestra la parte de cifrado y la parte de “as-a-service”.
Zero Trust: Una pieza más del rompecabezas de la ciberseguridad
Respecto a la filosofía Zero Trust, Rivero afirmó que no es la única solución válida para garantizar la seguridad. La seguridad es un tema multifactorial, y no existe una frase única que garantice la invulnerabilidad. Zero Trust es ideal para redes grandes donde se implementa una confianza cero desde el inicio, exigiendo la autorización de cada dispositivo que entra en la red. Esto ofrece una granularidad y un control muy estrictos.
Sin embargo, su aplicación puede no ser cómoda o viable en todos los casos de uso, especialmente para empresas que no tienen la madurez suficiente para manejar el “overhead” y la gestión que implica. En estos casos, otras medidas como el control de aplicaciones (permitiendo solo aplicaciones y elementos específicos) pueden ser más adecuadas. La clave es aplicar las técnicas que sean posibles y que se ajusten al ecosistema de la organización para aumentar la madurez, la ciberresiliencia y la ciberhigiene.
Concienciación y autenticación multifactor contra el phishing
Finalmente, en el caso del phishing, Rivero enfatizó que la concienciación del usuario es fundamental para que los empleados sospechen y eviten hacer clic en enlaces maliciosos. Sin embargo, también son necesarias medidas posteriores, como el bloqueo automático de credenciales comprometidas. La razón principal por la que el phishing sigue siendo efectivo es la falta de autenticación de doble factor. Si las personas utilizaran la autenticación de doble factor, la complejidad para los atacantes de comprometer credenciales aumentaría significativamente.
En definitiva, Kaspersky Horizons 2025 ha dejado un mensaje claro: frente al avance de la IA en manos del cibercrimen, la única defensa efectiva es la cooperación internacional, la ética tecnológica y el compromiso activo de todos los sectores. La carrera por la ciberresiliencia exige actuar con urgencia, visión y responsabilidad compartida.
