Dignum: La dignidad humana en la era del dato. 17 de Junio en Madrid

La Inteligencia Artificial, el uso masivo de datos y la creciente automatización están transformando nuestras vidas a una velocidad sin precedentes. Pero, ¿quién define las reglas? ¿Cómo garantizamos que la tecnología siga estando al servicio de las personas? ¿Cuál es el contrato social que necesitamos para la era del dato? Con estas preguntas nace DIGNUM, una iniciativa académica de la Facultad de Ciencias Económicas y Empresariales de la Universidad Pontificia Comillas, dedicada a situar la dignidad humana en el centro del debate sobre la inteligencia artificial, la soberanía del dato y el futuro de nuestras sociedades.

Figura 1: Dignum: La dignidad humana en la era del dato. 17 de Junio en Madrid

El centro será presentado en un evento muy especial por muchos motivos, pero más todavía para mí. En primer lugar porque lo he visto nacer en la mente de su principal impulsor muchos años en primera fila, ya que José María Álvarez-Pallete es quién está co-liderando este centro dentro de la universidad, y por supuesto cerrará la jornada.

Figura 2: José María Álvarez-Pallete co-lidera Dignum

Si eso fuera poco, además el centro Dignum se presenta con un paper fundacional que algunos afortunados nos lo pudimos leer antes de ser publicado. Las ideas que defiende esta iniciativa las tenéis todas en el paper: "Personal Data as a Human Right: A New Social Contract Based on Data Sovereignty, Human Dignity and Data Personalism" que recoge toda la base de la economía de los datos, desde un punto humanista.

Figura 3: "Personal Data as a Human Right: A New Social Contract Based on Data Sovereignty, Human Dignity and Data Personalism"

Si esos motivos no son suficientes para que sea un evento especial, además se da la casualidad que tendremos entre los ponentes, además de al propio José María Álvarez-Pallete, al magnífico Ignacio Cirac - eminencia científica de Europa -, o al grandísimo Carlos Santana (DotCSV).

Figura 4: Agenda de presentación de Dignum - 17 de Junio en Madrid

La lista de ponentes es mucho más larga, con ponentes de un nivel espectacular, pero además es que se reúnen todos en mi día de cumpleaños, así que me tengo que pasar sí o sí, aunque sea a última hora - porque a primera tengo otro compromiso.

Figura 5: Agenda de presentación de Dignum - 17 de Junio en Madrid

Espero que con todo esto te haya animado a pasarte por el evento, así que si quieres hacerlo, debes registrarte en la web del evento, que yo ya lo he hecho.

Figura 6: Registro al evento de "La dignidad humana en la era del dato"

Así que, si te pasas por allí, acuérdate de traerme mi regalo y felicitación de cumpleaños, que estaré haciéndome un poco más mayor ese día, al mismo tiempo que disfrutando de unas charlas espectaculares. Nos vemos pronto por Madrid.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

El negocio de la venta de datos de los asistentes a eventos: EuskalHack Security Congress, Sport Summit Madrid y muchos, muchos más.

En uno de esos buzones de correos que tengo yo para pruebas he comenzado a recibir en los últimos tiempos ofertas - una tras otra - para comprar datos de asistentes a eventos. No uno, ni dos, sino una larga lista de eventos de los que se ponen a la venta los datos personales y de contacto de los asistentes, y algunos de ellos conocidos por mí.

Figura 1: El negocio de la venta de datos de los asistentes a eventos.

EuskalHack Security Congress, Sport Summit Madrid y muchos más.

El mensaje es muy sencillo, viene desde una cuenta de Gmail "random" firmado por una persona cualquiera - y siempre diferente - pero el formato del mensaje es siempre el mismo.  Así que puede ser perfectamente una ciberestafa creada alrededor de la venta de datos y que realmente no haya dato alguno.

Figura 2: Venta de Datos de EuskalHack Security Congress

Como podéis ver, el asunto es tan "tricky" que venden datos de conferencias de hacking y espíritu CON, como es el próximo EuskalHack Security Congress que se hará la semana que viene en San Sebastián, es decir, incluso antes de que tenga lugar. Algo que hace sospechar mucho porque los organizadores no están vendiendo ningún dato a nadie.

Figura 3: Venta de datos del Congreso APEX FTE Ancilliary & Retailing 2026 en Dublin

Como podéis ver, los datos están a la venta antes de que se realice el congreso, así que entiendo que si existieran dichos datos estos deberían venir de algún partner de la tiquetera, o de los propios servicios de la tiquetera que se está utilizando para vender las entradas.

Figura 4: Venta de datos de MOVE Middle East 2026

Yo he ido a ver las tiqueteras que utilizaban algunos de estos eventos, y no son la misma, así que o todas tienen servicios de compra de datos, o bien en los Terms & Conditions cuando se sacan las cuentas los eventos, aceptan que la tiquetera puede hacer uso de esos datos, y hay empresas gente que los están comercializando masivamente, para después comprárselo a la tiquetera, o realmente es una estafa y punto.

Figura 5: Venta de datos del Pure London x JATC Summer 2026

Si no es la tiquetera, la alternativa sería que que hubiera un patrocinador común, con acceso a los datos, a todos estos eventos, pero no hay ninguno que yo vea que esté en todos, y dudo que ellos tengan acceso a los datos hasta que termine el evento. Así que huele mal.

Figura 6: Venta de datos de Forward Festival Frankfurt 2026

Me podría pasar el día dejándoos aquí ofertas de venta de datos de eventos que no han tenido lugar aún, pero que ya se están comercializando. No os voy a dejar todos, pero sí una gran muestra de ellos porque quiero que entendáis que esto no es algo puntual, sino práctica común y habitual este tipo de campañas.

Figura 7: Venta de datos de evento Offprice 2026

Además, tampoco hay una temática concreta, y se venden datos de todo tipo de eventos, incluido - como os he dejado al principio - eventos de hacking y ciberseguridad, lo que no deja de ser llamativo para hacer dudar sobre esto.

Figura 8: Venta de datos de Food 4 Future World Summit en Bilbao

Si antes os había dejado un evento en San Sebastián, pues justo el anterior tuvo lugar en Bilbao, que en este caso es un evento pasado, pero del que recibí la oferta de compra justo antes de que se realizara.  No está mal de datos que son más de once mil.

Figura 9: Venta de datos de "IGSX iGaming Customer Experience Summit 2026.

Otro evento para el día de mi cumpleaños.

Estos mensajes, como podéis ver, darían además una muestra de qué tamaño tiene el evento y de cuánto de exitoso ha sido en los registros, ya que para hacer más "apealing" la oferta, te indica en el correo el número de asistentes. Estos deberíamos entender que son "registrados" y no "asistentes" porque aún no han tenido lugar los eventos, así que todo muy raro.

Figura 10: Venta de datos del Sports Summit Madrid

Como se puede ver, en muchos casos, como en el ejemplo anterior, estos datos llevan el correo electrónico y el número de teléfono, lo que deja mucho de tu vida digital al descubierto. Estas bases de datos, si alguien las comercializa de verdad - que algunas se comercializan - luego alimentan a las plataformas de venta de datos asociados al Linkedin, y sufrimos spam telefónico masivo todos los que de una manera u otra caemos, por desgracia, en ella.

Figura 11: Venta de datos del evento SIL Barcelona

Estos "Data Brokers" se alimentan de todos estos datos conseguidos mediante compras, y esta información, en un mundo IA-First, seguro que son muy golosos para entrenar modelos de IA para el mundo del cibercrimen, o para crear Agentic AI de Hacking de compañías que tiren de un RAG/GrapRAG donde tienen los datos de los empleados de las compañías. 

Figura 12: Venta de datos del evento SIMAPRO Madrid 2026

Así, con estas bases de datos a mano, los Agentic AI de Red Teaming pueden hacer Spear Phishing en lugar de hacer Spam Phishing, o directamente llamarles por teléfono para encontrar la debilidad humana en el organización y conseguir colarse. Pero repito, no creo que estas ofertas lleven detrás  los datos realmente.

Figura 13: Venta de datos de Reset Connect 2026 en Londres

Insisto, no son todos los correos con todas las oferta de venta de datos que he recibido, pero sí que he querido que pudierais tener una representación larga de estos, para que entendáis que probablemente casi cualquier evento acabe aquí, entre otras cosas, porque puede que sean solo un gancho para la ciberestafa.

Figura 14: Venta de datos del evento Healthcare Leadership Quorum en Texas

Visto esto, por si acaso, hay que intentar no dar tu número de teléfono ni tu dirección de correo electrónico que pueda se utilizada para robar tu identidad o hacerte ataques automáticos, y ya os contaré lo que estamos construyendo en MyPublicInbox para atacar este problema. Seguro que os mola.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Tu SmartTV de Sony, Samsung, LG, Hisense & TCL te vigila y les han demandado en USA

Hace unas semanas os contaba mi frustración con algunos procesos que hemos construido sobre la usabilidad de la tecnología en el artículo que titulé: "La "shittización" en contra de hacer las cosas simples", y cómo los requisitos para, por ejemplo, usar un servicio tan simple y tan común como la televisión,  habían subido exponencialmente en el nivel cognitivo que requieren a las personas.

Figura 1: Tu SmartTV de Sony, Samsung, LG, Hisense & TCL

te vigila y les han demandado en USA

El motivo por el que todo esto sucede, tiene mucho que ver con el "Growth" o el "Crecimiento del negocio", y de eso centré mi artículo de "El futuro está por hackear - Solo para gente Smart" donde explicaba que cada usuario que ve una SmartTV es una oportunidad para venderle algo - mediante anuncios - o de capturar más datos para poder vender a esa persona a los anunciantes, que es de lo que va este caso, justamente.

Figura 2: Demanda contra Samsung por espiar en sus SmartTVs

Y de eso mismo van las demandas que han puesto en Texas a los fabricantes de SmartTV Sony, Samsung, LG, y las compañías chinas Hisense y TL, por hacer capturas periódicas de lo que estás viendo en la pantalla, analizarlo, hacer un fingerprinting y enviarlo a sus servidores.

Figura 2: Funcionamiento de ACR descrito en la demanda

Como se puede ver en la demanda puesta a Samsung, el software ACR que están instalando en las SmartTVs los fabricantes demandados, se está capturando lo que hay en pantalla, y se está enviando un fingerprint para hacer una perfilado completo de ese usuario, independientemente de si son vídeos en Youtube, o cámaras de seguridad de la casa - con zonas privadas -. 

Figura 4: Datos que captura ACR en ls SmartTVs

Hay que tener presente que cuando un usuario de una SmartTV está viendo contenido en una app, como Netflix, Amazon Prime, o Disney+, el sistema operativo sigue teniendo control de la pantalla, así que puede hacer capturas y acceder a datos que de otra manera le estarían lejos de su alcance. 

Figura 5: Explicación de los horarios perfilados por ACR

Así que aprovechar esa capacidad, les permite espiar qué está viendo cada usuario en la televisión, y sacar el máximo de insights posibles utilizando técnicas avanzadas de Machine Learning, que ya sabemos cómo se hace eso en detalle.

Figura 6: Libro de Machine Learning aplicado a Ciberseguridad de
Carmen Torrano, Fran Ramírez, Paloma Recuero, José Torres y Santiago Hernández

Pero no solo eso, ya que también se están capturando los datos incluso si la televisión está desconectada de Internet, para enviarlos cuando esta se reconecta, y permite generar a qué horas se levanta, acuesta, ve la televisión o llega del trabajo. Algo que tienen instrumentalizado para su negocio de anuncios.

Figura 7: Tipos de insights generados con los datos

Pero claro, en la pantalla de la SmartTV también se pueden ver otras cosas, como la navegación de Internet - incluso por tu banco -, las fotos o vídeos personales, o los juegos a los que estás jugando en tu consola, algo que le da muchos datos de competencia a los fabricantes de SmartTVs. 

Figura 8: Datos de Samsung para campañas políticas

Todo ello genera un perfil personal que puede ser utilizado para campañas políticas, como puede verse en este artículo en el que Samsung DSP explica los beneficios de utilizar los datos extraídos, para poder poner anuncios dirigidos con intereses políticos. Lo que es un claro riesgo de ingerencia extranjera si, como dicen en las demandas, el Partido Comunista Chino tiene acceso a estos datos de las SmartTVs chinas HisSense y TCL.

Figura 9: Los permisos para la captura de datos

Las demandas hacen especial hincapié en cómo la información que se da a los usuarios para conseguir el consentimiento no está correctamente explicada, ni al alcance de cualquiera, ni al mismo nivel la posibilidad de aceptar  y denegar el permiso, ya que las opciones están muy ocultas cuando se trata de revocar el permiso de acceso a los datos.

Figura 10: Smart Hub Tems & Conditions de Samsung SmartTV

Estos permisos se buscan conseguir en el momento de la instalación, justo cuando los usuarios quieren tener cuanto antes funcionando su televisión, que es lo que os he contado en los artículos que he estado escribiendo estos días. Un momento en el que el usuario tiene urgencia, algo muy beneficioso y conocido por todos, para lograr un YES, ya sea a una venta o a un consentimiento fácil como "I Agree to all"

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

TechForce: El gobierno de EEUU busca 1.000 expertos en Ciberseguridad & Inteligencia Artificial para su Cuerpo de Élite de Ingenieros

Esta semana el Gobierno de Estados Unidos ha creado un programa de reclutamiento de talento llamado TechForce, donde, ayudado por muchas empresas tecnológicas, busca identificar profesionales en Inteligencia Artificial y Ciberseguridad, con los que construir un grupo de élite que cree las herramientas del futuro del gobierno de los USA.

Figura 1: TechForce: El gobierno de EEUU busca 1.000 expertos

en Ciberseguridad & Inteligencia Artificial para su cuerpo de Élite

Como se puede leer en la página, donde está descrito todo el programa, está apoyado por la Casa Blanca, pero deja claro que no es un programa político, y su objetivo va a ser ocuparse los problemas más complejos y a gran escala, que afectan a las sociedad civil y la defensa. Desde las infraestructuras del sistema financiero gestionado por el Departamento del Tesoro, hasta los programas más innovadores del Departamento de Defensa... y todo lo que hay entre medias. Vamos, sin límites.

Figura 2: Descripción de las tareas del Elite Corps of Engineers

Si miramos las FAQs del programa, el objetivo principal es Acelerar la Inteligencia Artificial, y controlar los retos tecnológicos más importante. No hay que olvidar que desplegar sistemas en producción de IA requieren resolver los problemas de Prompt Injection, Halluciantions, Jailbreak, Unaligment, y hacerlo a escala es un problema enorme. 

Figura 3: Acelerar IA en el Gobierno

Ayer os dejaba un "pequeño" resumen de todos los puntos de control de seguridad que se deben poner en el despliegue de IA en una empresa, para que os hagáis una idea de la magnitud de este trabajo, y os dejé además alguna de mis charlas donde hablo de estos retos.

Figura 4: Ciberseguridad e Inteligencia Artificial.Riesgos y oportunidades en un mundo híperconectado

Por eso, si miramos las habilidades que se piden son, Inteligencia Artificial, Ciberseguridad, Data Analytics y Project Management, para poder sacar los proyectos adelante. Lógicamente, además de esos, Machine Learning aplicado a Ciberseguridad es una "Core Skill" como suma de todo.

Figura 5: Capacidades requeridas

Por supuesto, todos los problemas serán complejos, así que las habilidades de Problem-Solving son fundamentales, y si quieres los mejores, habrá que pagar salarios altos, o buscar gente que tenga muchas ganas de trabajar en el gobierno. 

Figura 6: Libro de Machine Learning aplicado a Ciberseguridad de
Carmen Torrano, Fran Ramírez, Paloma Recuero, José Torres y Santiago Hernández

Los salarios, pues entre 150.000 USD y 200.000 USD, además de todos los beneficios de los programas del gobierno, más extras por rendimiento. 

Figura 7: Retribución a los ingenieros del Elite Corps

Por último, exigir años de experiencia en Inteligencia Artificial a los nuevos miembros no parece muy razonable, sobre todo cuando los modelos de Deep Reasoning tienen recién cumplido un año, y estamos a marcha forzada construyendo el mundo de Agentic AI, así que el programa no exige más que conocimiento en las materias.

Figura 8: Requisitos del programa

Todo este programa responde claramente a la escasez de talento que hay en este mundo profesional, y, además, muchos creen que es consecuencia de haber reducido muchas de las oportunidades de importar talento para el mundo empresarial con la retirada de la Visa B1, lo que ha encarecido la captura de profesionales en los Estados Unidos.

Figura 9: US Wants You!

Muchos en los foros dicen que el programa recuerda al famoso cartel de USA Wants You! pero adaptado al mundo de hoy en día, donde ya os dije que estamos viviendo una especie de nuevo "Proyecto Manhattan de la Súper Inteligencia Artificial". Pero lo más importante es que deja claro que, si quieres dedicarte al mundo tecnológico, Hacking e Inteligencia Artificial, Machine Learning y Ciberseguridad son disciplinas fundamentales para construir tu perfil profesional.

Figura 10: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso, 

Si te interesa la IA y la Ciberseguridad, tienes en este enlace todos los posts, papers y charlas que he escrito, citado o impartido sobre este tema: +300 referencias a papers, posts y talks de Hacking & Security con Inteligencia Artificial.

 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cómo WebScrapear al WebScraper que ya WebScrapeó sin que tengas que hacer WebScraping

En toda esta batalla por de quién son los datos de la Web pública, donde muchos generadores de contenido están comenzando a bloquear. las bots de los principales modelos de IA, o a utilizar herramientas de cobro por acceso a contenido como Pay per Crawl, hay una técnica que está utilizando mucha gente, que es pedirle los datos al modelo de IA que él ya ha "WebScrapeado".

Figura 1: Cómo WebScrapear al WebScraper que ya WebScrapeó

sin que tengas que hacer WebScraping

Con toda esta polémica puedes ver cómo ciertos medios, como por ejemplo El Mundo, ya restringe su contenido para las arañas de Internet, que están haciendo su negocio de Answering Machine y de Comercialización de APIs - que dan datos - para generar sus ingresos.

Figura 2: El periódico El Mundo bloquea el acceso a los bots de IA

Pero igual que ellos han hecho su modelo con la captura de los datos de la Web, muchas aplicaciones están haciendo lo mismo con ellos. 

Figura 3: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso, 

Basta con pedirle que te de los datos ya filtrados y formateados. Eso sí, tienes que tener cuidado con los límites de tokens que responden, así que puede que tengas que pedirlos por partes, y puede que tengan detección de "abuso", pero al final, se supone que un API comercial de un modelo de IA se paga porque te da respuestas.

Figura 4: Un JSON con datos sin WebScrapear nada

Por ejemplo, aquí podéis ver que le he pedido un JSON con los datos de la Primera Plantilla del Real Madrid C.F. con los datos que me han parecido bien, para utilizar en mis cosas. Son datos que él ha sacado de "dónde sea", y que son accesibles vía esta API, así que .. ¿para que WebScrapear por ahí?

Figura 5: Un Script para WebScrapear sin WebScrapear usando ChatGPT

Si quisieras los datos de todos los jugadores de LA LIGA de este año tendrías que primero pedir los datos de los clubs, luego ir pidiendo uno a uno los datos de todas las plantillas por separado, y en unos minutos, listo, ya tienes todos los datos. Además, le puedes pedir que te haga el Script en Python para pedírselo a ChatGPT.

Figura 6: El Script en Python para sacar los datos de ChatGPT

Estos datos no tendrían los cambios de última hora, sino los que hubiera en el último WebScraping que hiciera su bot. Pero seguro que para mucho de lo que necesitas en un determinado servicio es más que suficiente, ¿verdad? 

Figura 7: Pidiéndole el JSON de los "Irons" a DeepSeek

Lo mismo, ahora con los datos de los discos de los Iron Maiden, aunque como son muchos, hay que hacerlo poco a poco, o por tipos, pero la verdad es que es increíble como se construye una base de datos sin pasar por "No soy un robot", luchar con captchas, etc.. 

Figura 8: Marchado un JSON

Esto da mucho que pensar, sobre todo porque estos datos iniciales están en una web que un bot para hacer AI ha WebScrapeado, pero que comercializa vía API o vía Suscripción a la Answering Machine, y donde el que los genera no es parte del negocio. Da que pensar, ¿no?

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)