Reunimos en una misma página todas las noticias más importantes de NextVision, incluyendo el contenido de los comunicados de prensa, artículos de Ciberseguridad, investigaciones, novedades de nuestro equipo NV y mucho más!
Con el objetivo de contribuir en la construcción de un mundo ciberseguro, publicamos diariamente las últimas vulnerabilidades de seguridad. En orden a las publicaciones oficiales, empleamos la nomenclatura estándar, establecida por CVE para la identificación de cada brecha, a fin de facilitar el intercambio de información entre las diferentes fuentes.
En esta sección encontrarás el número de identificación de referencia de cada vulnerabilidad (CVE-ID), su descripción, impacto, causas, productos afectados, valoración y consecuencias. Además, su gravedad es referenciada por el color asignado, siendo estos: Crítico, Alto, Medio y Bajo.
Con el objetivo de contribuir en la construcción de un mundo ciberseguro, publicamos diariamente las últimas vulnerabilidades de seguridad. En orden a las publicaciones oficiales, empleamos la nomenclatura estándar, establecida por CVE para la identificación de cada brecha, a fin de facilitar el intercambio de información entre las diferentes fuentes.
En esta sección encontrarás el número de identificación de referencia de cada vulnerabilidad (CVE-ID), su descripción, impacto, causas, productos afectados, valoración y consecuencias. Además, su gravedad es referenciada por el color asignado, siendo estos: Crítico, Alto, Medio y Bajo.
El uso de la inteligencia artificial (IA) está revolucionando nuestra vida cotidiana, desde las recomendaciones de contenido en plataformas digitales hasta los asistentes virtuales que ayudan a organizar el día. Sin embargo, también plantea importantes desafíos relacionados con la protección de datos y la privacidad. Para abordar estos retos, la Unión Europea (UE) ha diseñado una nueva legislación: la Ley Europea de Inteligencia Artificial (AI Act).
A continuación, te explicamos de manera sencilla qué implica esta normativa y cómo está vinculada con la protección de los datos personales de los usuarios.
¿Qué es la Ley Europea de Inteligencia Artificial?
La AI Act es la primera legislación integral diseñada para regular el uso de sistemas de inteligencia artificial en Europa. Su objetivo principal es garantizar que la IA sea segura, transparente y respete los derechos fundamentales, incluida la protección de datos personales.
Esta ley clasifica los sistemas de IA en diferentes niveles de riesgo:
Riesgo inaceptable: Sistemas prohibidos por su impacto negativo en derechos fundamentales (por ejemplo, manipulación psicológica o sistemas de vigilancia masiva no justificados).
Riesgo alto: Aplicaciones que afectan áreas sensibles, como contratación laboral, educación o servicios públicos. Estos sistemas deben cumplir estrictos requisitos de transparencia y evaluación.
Riesgo limitado y mínimo: Sistemas con menor impacto, como asistentes virtuales, que deben cumplir normas de información básica para los usuarios.
Relación entre la AI Act y el RGPD
El Reglamento General de Protección de Datos (RGPD) y la AI Act trabajan de la mano para proteger los derechos de las personas en el entorno digital:
Protección de datos desde el diseño: Los sistemas de IA deben incorporar medidas que minimicen la recopilación de datos personales y garanticen su seguridad.
Transparencia: Las empresas deben informar cómo y por qué utilizan los datos personales en sistemas de IA. Por ejemplo, si un chatbot está diseñado para recopilar información personal, esto debe ser claro y comprensible.
Prohibición de discriminación: La AI Act exige que los sistemas de IA de alto riesgo sean evaluados para evitar sesgos que puedan conducir a decisiones injustas o discriminatorias.
Derechos de los usuarios frente a la IA
Gracias a la AI Act y el RGPD, los usuarios tienen derechos clave sobre cómo se utilizan sus datos en sistemas de IA:
Saber si están interactuando con una IA: Las empresas deben informar cuando utilicen un sistema automatizado.
Acceso y rectificación de datos: Las personas pueden solicitar qué información ha sido utilizada y pedir su corrección si es incorrecta.
Intervención humana: Si una IA toma decisiones que afectan significativamente a una persona (como en un proceso de selección laboral), se tiene derecho a cuestionarlas y solicitar revisión humana.
Ejemplos prácticos:
Contratación laboral: Si una empresa usa IA para filtrar currículos, debe garantizar que el sistema no discrimine por razón de género, edad u otros factores. Además, debe informar que los datos han sido procesados por una IA.
Reconocimiento facial: Los sistemas de reconocimiento facial con fines de vigilancia están prohibidos en la mayoría de los casos, salvo en circunstancias excepcionales definidas por la ley.
Asistentes virtuales: Si un asistente como Alexa o Google Assistant recopila datos sobre las preferencias de los usuarios, la empresa debe ser transparente sobre cómo utiliza esa información y ofrecer opciones para limitar su uso.
¿Qué significa esto para los usuarios?
La AI Act busca garantizar que la inteligencia artificial sea una herramienta que beneficie a las personas sin comprometer su privacidad ni sus derechos. Los usuarios pueden esperar:
Mayor transparencia sobre cómo funcionan los sistemas de IA que utilizan.
Más protecciones frente al uso indebido de sus datos personales.
Herramientas para ejercer sus derechos y mantener el control sobre su información.
La AI Act marca un gran paso hacia un futuro donde la tecnología y los derechos de las personas conviven de manera equilibrada. Las personas están en el centro de este cambio, con más herramientas y derechos para proteger su privacidad en la era de la inteligencia artificial.
¿Qué significa esto para las empresas?
La AI Act representa un cambio significativo para las organizaciones que desarrollan o implementan sistemas de inteligencia artificial. Estas empresas deben adaptarse para garantizar el cumplimiento de los nuevos estándares, lo que incluye:
Realizar evaluaciones de impacto para identificar y mitigar riesgos asociados con el uso de la IA.
Implementar medidas de transparencia que permitan a los usuarios comprender cómo se utilizan sus datos.
Garantizar la equidad en los procesos automatizados para evitar decisiones sesgadas o discriminatorias.
Desde NextVision, ofrecemos un servicio integral de DPO as a Service (Delegado de Protección de Datos como Servicio) para apoyar a las empresas en este proceso de adaptación. Nuestro equipo de expertos puede ayudar a garantizar el cumplimiento normativo, minimizar riesgos y construir confianza con los usuarios en un entorno regulatorio cada vez más exigente.
—
Autora de la nota: María del Rosario Santillán- Abogada. Consultora Legal en Tecnología.
La vulnerabilidad CVE-2024-55591 en Fortinet FortiOS, contiene una omisión de autenticación que podría permitir a un atacante remoto no autenticado obtener privilegios de superadministrador a través de solicitudes manipuladas al módulo websocket de Node.js
Con el objetivo de contribuir en la construcción de un mundo ciberseguro, publicamos diariamente las últimas vulnerabilidades de seguridad. En orden a las publicaciones oficiales, empleamos la nomenclatura estándar, establecida por CVE para la identificación de cada brecha, a fin de facilitar el intercambio de información entre las diferentes fuentes.
En esta sección encontrarás el número de identificación de referencia de cada vulnerabilidad (CVE-ID), su descripción, impacto, causas, productos afectados, valoración y consecuencias. Además, su gravedad es referenciada por el color asignado, siendo estos: Crítico, Alto, Medio y Bajo.
• GRAVEDAD: 8.1
• CVES RELACIONADOS: N/A
• FECHA DIVULGACIÓN: 27/03/2014
• ACTUALIZACIÓN: 27/03/2014
• RESUMEN: Vulnerabilidad de Cross-Site Scripting (XSS) en la página de inicio de sesión de WebVPN del software Cisco ASA, que permite la ejecución de scripts arbitrarios.
• CAUSAS: Falta de validación adecuada de entradas en la página de inicio de sesión de WebVPN.
• CONSECUENCIAS: Los atacantes podrian inyectar scripts maliciosos que podrían robar cookies, redirigir a sitios maliciosos o realizar acciones no autorizadas en nombre del usuario.
• IMPACTO:
- Confidencialidad: Medio - Integridad: Baja - Disponibilidad: Baja
• MITIGACIÓN: Aplicar las actualizaciones del software Cisco ASA proporcionadas en los parches de 2014.
• RESUMEN: Vulnerabilidad en las funciones strip_tags() y el filtro de plantilla striptags de Django que permite un ataque de denegación de servicio mediante entradas con secuencias de entidades HTML anidadas incompletas.
• PRODUCTO AFECTADO: Django versiones 5.1 anteriores a 5.1.4, 5.0 anteriores a 5.0.10, y 4.2 anteriores a 4.2.17
• CAUSAS: Falta de limitación en el procesamiento de entradas con entidades HTML anidadas incompletas.
• CONSECUENCIAS: Un atacante podria provocar una denegación de servicio al enviar entradas especialmente diseñadas que consumen recursos excesivos durante el procesamiento.
• IMPACTO:
- Confidencialidad: Ninguna - Integridad: Ninguna - Disponibilidad: Alta
• MITIGACIÓN: Actualizar a las versiones corregidas de Django: 5.1.4, 5.0.10 o 4.2.17.
• RESUMEN: Vulnerabilidad de tipo use-after-free en el controlador AFD.sys, que permite la ejecución de código arbitrario con privilegios elevados en sistemas Windows vulnerables.
• PRODUCTO AFECTADO: Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (21H2, 22H2, 23H2, 24H2), Windows Server (2012, 2012 R2, 2016, 2019, 2022)
• CAUSAS: Problema de gestión de memoria en el controlador AFD.sys.
• CONSECUENCIAS: Los atacantes podrian obtener privilegios de sistema, instalar programas, modificar datos o crear cuentas con derechos elevados.
• IMPACTO:
- Confidencialidad: Alto - Integridad: Alto - Disponibilidad: Medio
• MITIGACIÓN: Aplicar los parches de seguridad proporcionados por Microsoft en la última actualización.
• RESUMEN: Vulnerabilidad de inyección SQL en Django que afecta al uso directo de django.db.models.fields.json.HasKey en bases de datos Oracle, permitiendo a un atacante ejecutar comandos SQL arbitrarios.
• PRODUCTO AFECTADO: Django versiones anteriores a 5.1.4, 5.0.10 y 4.2.17
• CAUSAS: Uso directo de HasKey con datos no confiables en bases de datos Oracle sin la debida sanitización.
• CONSECUENCIAS: Un atacante podria ejecutar comandos SQL arbitrarios, comprometiendo la integridad y confidencialidad de la base de datos.
• IMPACTO:
- Confidencialidad: Alta - Integridad: Alta - Disponibilidad: Alta
• MITIGACIÓN: Actualizar Django a las versiones 5.1.4, 5.0.10 o 4.2.17, donde se ha corregido esta vulnerabilidad.
A principios de este año, reflexionábamos sobre la importancia de invertir en ciberseguridad como una prioridad empresarial. Hablábamos de evaluaciones de riesgos, monitoreo en la dark web y la importancia de fomentar una cultura cibersegura. Ahora, al cierre del 2024, es el momento de evaluar qué nos dejó este año en materia de riesgos y cómo nuestras decisiones de inversión impactaron la seguridad de nuestras organizaciones.
Evaluaciones proactivas de terceros: Para anticiparnos a las amenazas ocultas en nuestra cadena de suministro.
Cibervigilancia activa: Detectar patrones en la clear, deep y dark web que pudieran indicar ataques inminentes.
Programas de concientización: Crear una primera línea de defensa en los usuarios.
Estas estrategias, inspiradas en ejemplos históricos como el Caballo de Troya, subrayaron que las amenazas más peligrosas suelen infiltrarse a través de la confianza y la falta de vigilancia.
Lo que Enfrentamos: Realidades de 2024
El 2024 trajo consigo un aumento en ataques altamente personalizados gracias al uso de inteligencia artificial. La superficie de ataque se amplió con el auge de dispositivos IoT y servicios en la nube, mientras que las normativas internacionales plantearon nuevos desafíos para las empresas que aún no priorizan la gobernanza de datos.
Algunas lecciones clave de este año incluyen:
La velocidad y sofisticación de los ataques: Los ciberdelincuentes utilizaron herramientas de IA para analizar y explotar puntos débiles más rápido que nunca.
El impacto de los terceros: Los proveedores y servicios de terceros se consolidaron como puntos críticos de entrada para ciberataques.
La importancia de la cultura cibersegura: Las empresas que invirtieron en concientización tuvieron menores tasas de éxito en ataques de phishing y malware.
Expansión de la superficie de ataque: El Internet de las Cosas (IoT) y la conectividad global ampliaron las oportunidades para explotar vulnerabilidades.
Lo que Aprendimos: Hacia el Futuro
Con el paso de los meses, quedó claro que la prevención es clave, pero la capacidad de adaptarse rápidamente a nuevas amenazas es lo que marca la diferencia. Algunas lecciones clave que nos dejó este año son:
El tiempo es crítico: Las empresas que lograron responder en minutos y no en horas a incidentes tuvieron menores impactos financieros y reputacionales.
La colaboración es esencial: Compartir información sobre amenazas entre sectores y organizaciones fortalece la capacidad colectiva de defensa.
La innovación no es opcional: Herramientas avanzadas como la inteligencia artificial y el aprendizaje automático deben ser utilizadas tanto para la detección como para la mitigación de riesgos.
Mirando Hacia el 2025
El cierre del 2024 nos deja con una idea clara: la ciberseguridad no es un gasto, sino una inversión estratégica que garantiza la continuidad y el crecimiento de cualquier empresa. En NextVision, seguimos comprometidos con apoyar a las organizaciones en este camino, ofreciendo soluciones como NV Awareness y NV Cibervigilancia que permiten anticiparse a las amenazas.
A medida que nos preparamos para el 2025, la pregunta sigue siendo: ¿Estás listo para el próximo nivel de riesgos digitales?Recuerda, cada decisión que tomes hoy puede ser la diferencia entre una organización resiliente y una vulnerable.
Con el objetivo de contribuir en la construcción de un mundo ciberseguro, publicamos diariamente las últimas vulnerabilidades de seguridad. En orden a las publicaciones oficiales, empleamos la nomenclatura estándar, establecida por CVE para la identificación de cada brecha, a fin de facilitar el intercambio de información entre las diferentes fuentes.
En esta sección encontrarás el número de identificación de referencia de cada vulnerabilidad (CVE-ID), su descripción, impacto, causas, productos afectados, valoración y consecuencias. Además, su gravedad es referenciada por el color asignado, siendo estos: Crítico, Alto, Medio y Bajo.
• GRAVEDAD: 7.8
• CVES RELACIONADOS: N/A
• FECHA DIVULGACIÓN: 22/11/2024
• ACTUALIZACIÓN: 22/11/2024
• RESUMEN: Permite a atacantes remotos eludir la protección "Mark-of-the-Web" en WinZip, manipulando archivos comprimidos. Los archivos extraídos pierden esta marca, lo que puede ser aprovechado para ejecutar código arbitrario en el contexto del usuario actual.
• PRODUCTO AFECTADO: WinZip (versiones afectadas no especificadas)
• CAUSAS: Manejo incorrecto de archivos comprimidos con la marca "Mark-of-the-Web".
• CONSECUENCIAS: Ejecución de código arbitrario en el contexto del usuario, comprometiendo el sistema afectado.
• RESUMEN: Vulnerabilidad que permite a un atacante remoto no autenticado acceder como administrador a dispositivos Palo Alto Networks que ejecutan PAN-OS mediante su interfaz web de gestión.
• MITIGACIÓN: Aplicar los parches proporcionados por Palo Alto Networks. Limitar el acceso público a la interfaz de gestión según las guías de mejores prácticas del fabricante.
• RESUMEN: Esta vulnerabilidad permite la ejecución de código arbitrario debido a un defecto en JavaScriptCore en productos Apple, lo que podría comprometer los sistemas.
• RESUMEN: Vulnerabilidad en Laravel debido a una incorrecta manipulación de cadenas de consulta (query strings), que afecta el entorno durante el procesamiento de solicitudes.
• PRODUCTO AFECTADO: Laravel (versiones 7.0.0 hasta 7.30.7, 8.0.0 hasta 8.83.28, 9.0.0 hasta 9.52.17, 10.0.0 hasta 10.48.23, 11.0.0 hasta 11.31.0)
• CAUSAS: Uso de manipulación de consultas.
• CONSECUENCIAS: Permite a los atacantes modificar el comportamiento de la aplicación, comprometiendo la seguridad del servidor.
• IMPACTO:
- Confidencialidad: Medio - Integridad: Alto - Disponibilidad: Alto
• MITIGACIÓN: Actualizar a Laravel 6.20.45, 7.30.7, 8.83.28, 9.52.17, 10.48.23, o 11.31.0, que corrigen esta vulnerabilidad.
El Día Internacional de la Seguridad de la Información nos propone una reflexión sobre los desafíos actuales y futuro de la ciberseguridad, asimismo nos invita a considerar los recursos que hoy en día tenemos disponibles y cómo podemos lograr alcanzar un equilibrio, como en el yin y yang, esencial para estos tiempos. Por un lado, las soluciones tecnológicas avanzadas (yang) representan la fuerza, la automatización y la capacidad de respuesta frente a las amenazas digitales. Por otro lado, el factor humano (yin) aporta la intuición, el criterio y la capacidad de adaptación que complementan y fortalecen las herramientas.
Este equilibrio no solo es deseable, sino imprescindible.
Las tecnologías como la Inteligencia Artificial, el Machine Learning y el enfoque Zero Trust han elevado los estándares de defensa, permitiendo detectar y mitigar amenazas en tiempo real. Sin embargo, estas herramientas son más efectivas cuando las personas están preparadas para interactuar con ellas de manera estratégica. Por ejemplo, un sistema avanzado puede identificar un correo phishing, pero un empleado capacitado en awareness será quien, al reconocer los signos de un engaño, evite que se convierta en un problema. Esta interacción armoniosa entre la fuerza tecnológica y la sabiduría humana es el núcleo de un ecosistema de ciberseguridad robusto.
En los próximos años, esta dualidad será más relevante que nunca. Adoptar el enfoque yin-yang significa invertir tanto en innovación tecnológica como en la concienciación de los usuarios. Ambos elementos no solo se complementan, sino que se necesitan mutuamente para mantener la resiliencia frente a un panorama de amenazas en constante cambio.
La ciberseguridad no es solo tecnología ni solo educación: es el equilibrio entre ambos.
Al igual que el yin y yang, uno no puede prosperar sin el otro. Juntos, crean una defensa completa que protege tanto a las organizaciones como a las personas que confían en ellas.
Con nuestros servicios de ciberseguridad inteligente las organizaciones pueden lograr alcanzar objetivos de seguridad y proteger sus negocios de las incesantes amenazas existentes.
La reciente edición del XXVI Jornada Internacional de Seguridad de la Información en Madrid de ISMS Forum reafirmó su posición como uno de los eventos clave en el ecosistema de ciberseguridad en España. Este espacio, diseñado para reunir a los principales actores del sector, brindó una plataforma única para explorar las tendencias emergentes, intercambiar ideas y generar conexiones estratégicas.
NextVision estuvo presente en el stand en esta jornada junto a nuestro equipo de NV Ibérica: Roberto Heker, Víctor Iniesta y Sabrina Guerrera. Desde allí, vivimos intensas sesiones de networking con asistentes provenientes de diversas industrias, compartiendo experiencias, desafíos y soluciones innovadoras para enfrentar las amenazas digitales actuales.
Soluciones que están transformando la forma en que las empresas enfrentan las crecientes complejidades del panorama digital. Los asistentes pudieron conocer de cerca cómo implementar estrategias inteligentes que fortalezcan tanto la resiliencia como la continuidad del negocio.
Además, este evento permitió conectar con partners estratégicos y generar sinergias que van más allá del intercambio de ideas. La colaboración fue un elemento central de la jornada, destacando la importancia de trabajar juntos para construir un ecosistema de ciberseguridad más robusto y sostenible.
Esta XXVI Jornada Internacional de Seguridad de la Información no solo fue una oportunidad para mantenerse al día con los desarrollos del sector, sino también para consolidar nuestro compromiso con la ciberseguridad. En un mundo donde las amenazas evolucionan constantemente, estos encuentros son imprescindibles para intercambiar conocimientos, tendencias y experiencias, como así también los principales desafíos de las organizaciones.
Agradecemos a todos los asistentes, partners y organizadores de ISMS por hacer de este evento una experiencia enriquecedora.
La edición 2024 de EKOPARTY, el evento más importante de hacking y ciberseguridad en América Latina, nos dejó un balance inmejorable. Durante tres días de pura intensidad, NextVision estuvo presente compartiendo experiencias, conocimientos y colaborando con una comunidad vibrante y en constante crecimiento.
Desde el primer momento, nuestro stand tuvo distintas actividades, juegos y sorteos. Junto a nuestro partner Security Scorecard, realizamos demostraciones en vivo de nuestras soluciones de Gestión del Ciberriesgo propio y de terceras partes. información precisa de la postura de ciberseguridad de cada empresa y su superficie de ataque junto con un scoring de ciberriesgo.
Uno de los momentos más destacados fueron las charlas que pudimos brindar.
Nuestra CEO, Gisela Pasik presentó una evolución en los programas de concientización: «Awareness 4.0: Redefiniendo el Comportamiento Humano en la Ciberseguridad». Ante una sala llena en el «Main Track», expuso la importancia de integrar la seguridad en cada acción cotidiana, aprovechando tecnologías como la IA, la realidad aumentada y los «momentos de verdad» para transformar cada interacción en una oportunidad de aprendizaje.
Nuestro consultor especialista en ciberseguridad Alejandro Fleming Gonzaléz, presentó “Más allá del firewall: Riesgos de Terceros y la Guerra de Superficies en un Mundo Conectado”, presentando a los asistentes cómo mejorar la seguridad de sus organizaciones mediante una gestión estratégica y efectiva de su superficie de ataque que integre la gestión de terceras partes, en un contexto donde están incrementando los ciberataques producto de un ataque a su cadena de suministro.
Además, fue un placer acompañar al BlueSpace Village donde auspiciamos el CTF y además estrenamos nuestro Escape Room, juego que realizamos en el marco de nuestro programa de Awareness y que invita a aprender de ciberseguridad de una manera entretenida y disruptiva con situaciones reales.
Gracias a todo el equipo de NV por su dedicación y energía para llevar a cabo todas las actividades. Especial agradecimiento a nuestro partner SecurityScorecard por haber llevado adelante juntos este evento. Y a nuestros clientes y asistentes que pasaron a visitarnos.
This website uses cookies to improve your experience. We'll assume you're ok with this, but you can opt-out if you wish. Cookie settingsACCEPT
Privacy & Cookies Policy
Privacy Overview
This website uses cookies to improve your experience while you navigate through the website. Out of these cookies, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may have an effect on your browsing experience.
Necessary cookies are absolutely essential for the website to function properly. This category only includes cookies that ensures basic functionalities and security features of the website. These cookies do not store any personal information.
Any cookies that may not be particularly necessary for the website to function and is used specifically to collect user personal data via analytics, ads, other embedded contents are termed as non-necessary cookies. It is mandatory to procure user consent prior to running these cookies on your website.
