Bitácora de fernand0 Cambiando de aires

Nombrando amenazas: Microsoft y la meteorología

La niebla en Zaragoza, es una pasta pegajosa

Alguna vez hemos hablado de los nombres con que identificamos las cosas y, a veces, las consecuencias que eso tiene. Por eso me hizo gracia leer How Microsoft names threat actors.

Tienen una clasificación para los nombres de los agentes que suponen una amenaza que utiliza la temática del tiempo meteorológico (weather).

Microsoft uses a naming taxonomy for threat actors aligned with the theme of weather.

Para los diferentes tipos de agentes utilizan cinco grupos:

  • Estados nación
  • Agentes con motivación económica
  • Actores ofensivos privados
  • Operaciones de influencia
  • Grupos en desarrollo.

De esta manera, asignan nombres a cada uno de los actores o agentes y la combinación de varios de ellos nos da información de su tipología, origen, etc…

Por ejemplo, tifón indicaría que el origen es China (sucesos meteorológicos representan países o regiones) y tempestad indicaría que se trata de un actor movido por objetivos financieros (en este caso, el nombre representa una motivación).

In this taxonomy, a weather event or family name represents one of the above categories. For nation-state actors, we assigned a family name to a country/region of origin tied to attribution. For example, Typhoon indicates origin or attribution to China. For other actors, the family name represents a motivation. For example, Tempest indicates financially motivated actors.

Como curiosidad, el nombre asignado a España es derecho que, en meteorología, y según la Wikipedia es un fenómeno meteorológico al estilo de una tormenta de viento en línea recta, extensa y de larga duración. China, como decíamos sería tifón, y Alemania un temporal. Ninguno de nuestros vecinos tiene nombre específico.

Los grupos en desarrollo serían tormentas y las operaciones de influencia serían inundaciones.

Curioso.

Por cierto, como la imagen representa una escena con niebla estaríamos hablando de Gran Bretaña, claro.

Un poco de soberanía tecnológica: ejecuta una IA en tu PC

Desde que descubrí la cosa vengo haciendo pruebas con IAs locales: esto es, inteligencias artificiales de las que llaman abiertas open que, esencialmente, permiten descargar un modelo y ejecutarlo en nuestro propio sistema. Las ventajas son claras: adiós a la contabilidad de tokens y privacidad, fundamentalmente. Los inconvenientes también: raramente tendremos un sistema tan potente como necesitaríamos, los modelos ocupan espacio (desde muchos megas, a bastante gigas), …

Para darle más emoción yo lo tengo en una Raspberry Pi con 4 procesadores y 8Gb de RAM (los modelos tienen que ‘caber’ en memoria) pero para algunas tareas puedo esperar la respuesta (minutos, típicamente) y no expongo la información a ningún servicio externo.

Por eso guardé Run Your Own AI que explica como hacerlo y que recomiendo a cualquiera que quiera probar.

El siguiente paso en esta ‘soberanía’ tecnológica sería entrenar nuestros propios modelos, pero eso es algo que todavía no hemos mirado con detalle y que suena mucho más complicado.

Mi elección para estas pruebas ha sido:

Y he probado algunos modelos. Los que mejor resultado me han dado:

Se pueden ver algunas pruebas que he ido haciendo en este hilo de X:

Como dice allí mismo una parte está dedicada a sistemas de Apple, pero se puede hacer en sistemas que no lo sean:

On a PC, skip the steps about MLX and use Ollama to download a model. Then install the llm-ollama plugin instead of llm-mlx.

Como dice el autor, otra de las fuentes de inspiración ha sido Simon Willison y todos esperamos el día en que podamos correr uno de estos LLMs en nuestro teléfono móvil.

Fatiga regulatoria, riesgos y consecuencias

Obligación estadística

Cuando hablamos de seguridad (aunque también si hablamos solo de llevar adelante nuestro trabajo) aparecen los aspectos de las regulaciones: muchas veces nos parecen un inconveniente y un freno, pero la realidad es que a veces hay que hacer normas para que determinadas operaciones (que parecen de lógica) se lleven adelante: las operaciones son lo importante, y hacer las cosas ‘bien’ siempre es algo que puede esperar.

Otra coas es el exceso de regulaciones y, claro, el exceso de tareas asociadas. En Compliance Fatigue Is Real—And It’s Putting Cybersecurity at Risk se habla del tema como un riesgo más.

Se basa en un estudio de una consultora (Bridewell Consulting) que afirma que el 44% de las empresas financieras en Gran Bretaña señalan las tareas relacionadas con el cumplimiento normativo (compliance) como uno de los principales retos para la ciberseguridad. No solo por la propia, sino por las obligaciones relacionadas con su operación en diferentes países del mundo.

New research by Bridewell Consulting revealed that 44% of all financial services institutions in the UK listed compliance as the top cybersecurity challenge their organizations currently face. And it may be no surprise as many financial institutions do business in other countries, making them subject to not only UK-based cybersecurity law but those established around the world.

Cuando el cumplimiento se convierte en una tarea más, y es de las importantes, puede ocurrir que otras se dejen de lado. Por ejemplo, gestión de vulnerabilidades, actualización de sistemas y reducción en los equipos de respuesta a incidentes.

When inundated with a lot of Governance, Risk, and Compliance (GRC) documentation, it can all start to blur. Compliance fatigue is the result of such overwhelm and can ironically jeopardize security measures at the helm.

Luego lista una serie de regulaciones de Gran Bretaña que incluye cinco de estas normas y que no es completa.

This list is not comprehensive; other frameworks like NIS2, AML/CTF regulations, and more widely apply as well.

Interesante.

Lo que decía arriba de la necesidad de regulaciones no es solo mi idea. Un experto como Bruce Schneier ya lleva tiempo diciéndolo en artículos como Why Was SolarWinds So Vulnerable to a Hack? donde habla de incentivos, asimetría de la información y otras cuestiones que muchas veces se pasan por alto.

Así que: desregular no, regular sí, pero con cuidado.

En Buenos Días Aragón hablando de reconocimiento automático de contenido (ACR)

Parece que en EEUU ha habido una demanda contra algunos fabricantes de aparatos de televisión sobre el espionaje que hacen estos aparatos de nuestros hábitos de uso Texas sues TV makers for taking screenshots of what people watch . En particular, por el uso del ACR (reconocimiento automático del contenido) que saca imágenes de nuestro aparato de TV, extrae algunas características relevantes y contrasta esos datos con los de su base de datos, para saber qué es lo que estamos viendo.

Para hablar un poco de este tema me llamaron de Aragón TV y el resultado puede verse (por unos días) en BUENOS DÍAS ARAGÓN - 28/01/2026 08:01, alrededor del minuto 41. Luego salió también una parte en las noticias (al menos por la noche), y puede verse en ARAGÓN NOTICIAS 2 - 28/01/2026 20:29 , alrededor del minuto 35,20.

Hablamos del sistema en sí que, efectivamente, elige fragmentos de lo que vemos y los envía para identificar lo que vemos (con fines publicitarios, perfilado, recomendaciones …). Una televisión moderna se parece mucho a un teléfono móvil porque es un ordenador donde se pueden instalar aplicaciones, tiene micrófono, algunas veces cámara… La ley obliga a que los fabricantes incluyan mecanismos para evitar ese seguimiento, y los fabricantes deberían respetarlo. No debemos olvidar que estos aparatos tienen características avanzadas: este sistema en sí no parece la puerta de entrada a ningún ataque, pero los ataques con sistemas informáticos siempre son posibles.

Publicado originalmente en En Buenos Días Aragón hablando de reconocimiento automático de contenido (ACR).

Añadido para este sitio: me llama la atención cómo una industria que está en todos los hogares, con poca discusión, haya llevado una adaptación tan mala a los tiempos. Aparatos lentos, incómodos, difíciles de configurar y encima con características que mucha gente no aprecia de ninguna manera.

En la sesión sobre 'Tecnología en la competencia global' del título 'Geopolítica Aplicada a la Empresa'

El martes 27 de febrero se celebró la sesión del módulo ‘Tecnología en la competencia global’, dentro del título propio de la Universidad de Zaragoza sobre Geopolítica Aplicada a la Empresa, que he tenido el placer de coordinar.

Hay un grupo de estudiantes estupendo, que claramente están porque les interesa y preocupa el tema, que se nota en el desarrollo de la sesión.

Fue una sesión muy interesante, donde contamos con personas de la empresa:

  • Carlos Rubio, de la consultora GFT hablándonos de Ciberseguridad para directivos)

De la Universidad:

  • Ana Gascón Marcén, de la Universidad de Zaragoza, hablándonos de Riesgos tecnológicos y regulaciones

Del ejército:

  • Luis Alberto Hernández García, Jefe de la Sección de Análisis y Prospectiva (SEAYP), que nos habló de la Tecnología como fuerza motriz del cambio en materia de seguridad, y

  • Enrique Pérez de Tena junto a Alejandra Vicens Martínez del Campo, del Mando Conjunto del Ciberespacio, que nos explicaron algunas cuestiones sobre la guerra tecnológica.

Con nuestro agradecimiento a Victoriano Blanco Carabanes, delegado de Defensa en Aragón por las gestiones para contar con el personal del ejército.

Además, algunas instituciones como:

El título está coordinado por José Antonio Laínez Gadea con el apoyo de Emilio Martín Vallespín y todavía le quedan unas cuantas sesiones dedicadas a diversos temas.

Esta entrada se publicó originalmente en En la sesión sobre ‘Tecnología en la competencia global’ del título ‘Geopolítica Aplicada a la Empresa’.