Estando en Argentina me preguntaron por una capacidad de los Guardarraíles para DLP de Cloudflare. "¿Cómo evitamos que los usuarios envíen documentos gráficos con DNIs, Pasaportes o tarjetas de Crédito?" La idea es sencilla, y no es una opción por defecto en muchos DLPs, pero es que hoy en día en los Guardarraíles, o en los WAF, o en el CASB de la plataforma de Cloudflare puedes hacer una llamada a un Worker y correr cualquier check que quieras, y con la llegada de los Modelos de Decisión como Cloudflare Clef, esto es muy sencillo de realizar.
Así que le puse a mi "wingman" en Cloudflare, el gran Carlos Luengo, un audio que le decía algo así como "Su misión, en caso de aceptarla, consiste en hacer un Worker AI que reciba una imagen, la pase por Clef y nos diga si es un leak de un documento oficial (DNI o Passport) o una tarjeta de crédito." Así que nada, en lo que dura un ping a Cloudflare , con el Vibe Coding hizo una PoC llamada Visor muy sencillita.
La arquitectura utiliza las piezas de Cloudflare para construir en el Edge, y la podéis probar vosotros mismos, ¿quién necesita una región en la cloud para esto cuando tienes Region Earth en Cloudflare? Utilizar Turnstile y Precursor para evitar los bots, luego un Worker para validar la imagen que sube, un Worker AI para hacer la ejecución de Clef, y el almacenamiento de imágenes para las pruebas en R2 y D1 para tener la información en tablas y un registro de las decisiones tomadas, que pueda servir para ajustar la configuración de las decisiones.
El resultado es VISOR, una web con la PoC muy sencilla, en la que puedes subir la imagen y probar la decisión. Sube imágenes fake creadas para esto que Internet está lleno, y en unos milisegundos tienes la respuesta en la misma web.
Yo lo he probado con todo tipo de imágenes, y lo ha hecho muy bien, pero si quieres probar esto en tu entorno y antes testearlo - como hemos hecho nosotros - puedes hacer que procese batches, en nuestro caso lo hemos hecho con imágenes que hemos cargado con URLs desde búsquedas en la web, y el resultado es perfecto.
Y luego, una vez cargado el análisis - en este ejemplo hecho por mí solo he tenido en cuenta DNI y Pasaporte, pero puedes añadir el que quieras - tomas la decisión adecuada a cada uno de ellos.
Así que si quieres, puedes hacerte este Worker AI con Clef y meter este DLP en todos los puntos de control que desees. En el SGW, en el CASB, en el eMail Security, en los Guardrrailes, etcétera. La capacidad se puede consumir desde dónde tú quieras. Esta en el Edge mundial de Cloudflare, a 50 milisegundos en media en todo el mundo.
Y si has entendido esta prueba, imagina la cantidad de controles de seguridad que puedes poner en todos los procesos de tu organización, y en todos los servicios digitales que tienes añadiendo checks de seguridad con Clef. En este vídeo tenéis el proceso completo, y los valores devueltos por Clef para todas las imágenes en la prueba individual y en Batch.
¿Se te ocurren controles de seguridad en llamadas telefónicas de tu Contact Center, en chats con clientes, en ficheros del sistema, en mensajes de email enviados y recibidos? A mí sí, y seguro que a ti también se te ocurren muchas ideas al respecto.
El SEPE (Servicio Público de Empleo Estatal) ha sido víctima de la archiconocida crisis del COVID-19 enlazando la avalancha de expedientes de regulación temporal de empleo (ERTE). Su sistema de citas previas, a su vez, se ha visto seriamente perjudicado. Empezar con el procedimiento de la petición ya sea tanto vía telefónica como vía online, es sencillo, el problema de verdad lo tenemos a la hora de su obtención.
Pero… ¿Por qué empeñarse en acudir de manera presencial cuando el paro se puede gestionar desde internet? Cierto, si dispones de DNI-e, Cl@ve Pin… Ésta vía seria la óptima y cómoda. Pero existen otros casos particulares por la cual conviene hablar con una “persona de cara y huesos”.
Motivación Personal
Unos vecinos me pidieron ayuda, necesitaban obtener una cita previa en el SEPE para una gestión particular. Como ciudadano, me dirigí a mi ordenador para así empezar con el trámite. Rápidamente me vi en un “callejón sin salida”… Tras insertar el código postal de la zona, motivo de la asistencia y DNI, el sistema siempre decía que no se disponía de citas en dicho momento.
ç 2: Datos solicitados al inicio de un trámite para concertar cita previa
También lo probé llamando al teléfono nacional (prefijo de Madrid). Un sistema de contestador automático iba descartando/filtrando según las opciones marcadas.
Llegados al final se convertía en un bucle (acabando con la llamada). Era sin duda, un desgaste innecesario.
Las Mafias detrás de la disponibilidad de las citas del SEPE
Mis vecinos sabían que un camino directo, era dirigirse a un locutorio para obtenerla de manera - casi - inmediata por un módico precio de unos 5 € o más. Ante la desesperación, el precio podía adaptarse al bolsillo de cualquiera, pero ese método es el que debe ser desechado cuando es bien sabido que no tiene coste alguno para nadie, pero no debemos alimentar estas ilícitas practicas JAMÁS.
Figura 4: Las mafias del SEPE según Perplexity
Al parecer, o bien tienen contactos o utilizan métodos que evaden la trayectoria peticionaria habitual. Sea como sea, debía de hackearse al malo para que le salga “el tiro por la culata” y eso es lo que hice, esa fue mi siguiente misión, ayudar a toda aquella persona con los mismos problemas que han tenido mis vecinos, que pueda tener yo o cualquier ciudadano español.
Jugar a Cara o Cruz hasta salirse victorioso
Con un poco de IA (prompts en Perplexity, Copilot…) y búsqueda tradicional, encontré alguien que había descubierto un método interesante. El truco trata de conmutar entre 2 opciones en el menú desplegable tras la carga de cada una de ellas, de este modo la página refrescaba sin tener que volver al inicio de la petición, con lo que se ganaba agilidad.
Aunque sea un buen "trueque" o hack el conmutar entre Cita – Presencial y Cita - Telefónica, era algo muy manual y podía llegar a volverse tedioso. El video muestra como con un script de Python, se logra hacer esos clics por ti. Y cuando aparece la cita, entonces detener el script que corría en ventana de consola.
El autor verdadero del script no es el del video, el usuario thePalms le tilda como plagiador de su trabajo. Al parecer, thePalms brindaba el script de manera gratuita por email a todo aquel que lo requería. Esta bien, pero le veía una mejora… os la cuento a continuación.
Macros web y la recomendación de la IA
Había trabajado en automatizaciones de tareas repetitivas para ciertos sitios web y se me ocurrió que esto, casi seguro, se podía hacer con algún plugin para macros web (que hace precisamente cosas de este estilo).
Preguntando a la IA por hacer uso de Macros, comentaba que las “tradicionales” no tenían todo el potencial como para detenerse al encontrar una cita previa disponible (ese era mi objetivo, hacer lo que no había visto en Python del vídeo). Y me mencionó que Microsoft Power Automate Desktop podría ser un buen elegido.
Semi-Automatizando con Power Automate [Desktop]
Power Automate Desktop es la versión de escritorio gratuita de la herramienta de Microsoft para automatizar tareas en Windows. Brinda a los usuarios domésticos la posibilidad de digitalizar y automatizar su rutina de manera simple y gratuita. Se encuentra dentro de la suite Power Automate, plataforma basada en la nube que simplifica y potencia la automatización en el entorno empresarial moderno.
Paso 1: Descarga e Instalación
La instalación es la típica de “siguiente-siguiente…” y funciona tanto en Windows 10 (recordar que el fin de soporte “está pisando los talones” y finaliza este 14 de octubre 2025) como en Windows 11.
Se puede encontrar en el siguiente enlace oficial:
Yo he usado el ejecutable (necesitando permisos de administrador). Para este propósito, es suficiente con tildar la primera opción, aceptar los términos y clicc en Instalar.
Paso 2: Habilitar Extensión en tu navegador
También es necesario la inserción de un plugin para tu navegador favorito. El asistente facilita accesos para ello ya sea para Google Chrome, Microsoft Edge o Mozilla Firefox.
Si tienes la buena costumbre de trabajar en modo Incógnito/InPrivate en tu navegador, entonces debes tener en cuenta detalles adicionales para activar el plugin dentro de la gestión de extensiones. El siguiente ejemplo es para Microsoft Edge.
Cuando el programa se ejecuta, requiere una cuenta de correo electrónico de Microsoft. Ésta puede ser un @outlook.com, @hotmail.com o alguna cuenta propia de tu dominio favorito vinculada. La última pantalla es la selección de la región.
Yo he optado por no aceptar la recepción de correos electrónico promocionales. Ya ves, manías que tiene uno para no recibir mucho "spam" comercial. Tras comenzar “empieza ya la fiesta” ;)
Pensando en la creación de la lógica del Flujo y Automatización
Puedes palpar el programa e ir experimentando sobre la marcha, pero lo mas importante es pensar como hacerlo para automatizar las interacciones humanas que se efectúan en el navegador y adaptarlo al lenguaje tipo pseudocódigo de Power Automate Desktop.
¿Cómo logro que pare la conmutación entre Presencial y Telefónica cuando exista una Cita Previa disponible? Debemos pensarlo como si se tratase de una receta de cocina, con sus ingredientes y utensilios, ajustes de tiempo necesarios para dar con un el resultado final esperado.
- Pensando en “voz alta”
En la casuística que nos compite, cuando estamos frente a la pantalla de selección de canal, presenta el mismo mensaje en ambos casos en el cuadro de diálogo:
“En estos momentos no podemos ofrecerle citas en la oficina seleccionada.”
Cuando existe cita previa disponible el texto desaparece. Es momento de hacer STOP al procedimiento cíclico para iniciar la selección manual de la/s oficina/s deseadas (con suerte, puede aparecer mas de una). Luego toca “correr” para “mantenerla con vida” hasta su confirmación que trae consigo un código de localizador (puede ocurrir que no se encuentre disponible después del esfuerzo).
Figura 13: Finalizando día y hora de la fecha introduciendo
datos personales para la Cita Previa en SEPE
Debemos tener preparados todos los datos requeridos, ya sea en un bloc de notas u otro aplicativo, para hacer un típico CTRL + C & CTRL + V. Deben insertarse al menos: Nombre, Primer apellido, Teléfono, aceptar aviso de privacidad e insertar el captcha.
- Leyendo el pensamiento de Power Automate Desktop
Una vez aclarados los hitos del flujo para su automatización. La grabadora se emplea para, literalmente, grabar lo que hacemos con la web. Se empieza en el punto de la selección de canales. Se selecciona Presencial (y se anota en el cuaderno de bitácora). Luego con el botón derecho del ratón, se le indica que la página web se espere hasta que el texto del cuadro de diálogo desaparezca. Finalmente, grabamos la selección de Telefónica como último paso en la selección de canal. No hacemos nada con el texto porque normalmente, la cita suele aparecer dentro del canal de Presencial.
Ahora toca “orquestar” con los “ingredientes” capturados
Debe establecerse una repetición, para ello se escoge la función de bucle, algo así que sea “mientras esto no sea cierto, tu tira millas”. Debemos “jugar” con la captura de texto que hicimos en la grabación. Mientras exista el texto todo sigue para adelante, pero cuando el texto no se encuentre, entonces gestionemos un error, y vamos a estipular una variable con un valor, en este caso llamado “Fallo”. Al bucle le decimos que mientras la variable no sea igual a “Fallo”, todo sigue con normalidad.
¿Y cuando la variable coja el valor dé “Fallo”? Establecemos un condicional dentro del bucle pues. Cuando la variable tenga el valor de “Fallo”. ¡Sal del bucle!
¿Y ya está? Bueno, podemos decir que al finalizar todo el flujo, reproduzca un sonido (por ejemplo). Yo le he puesto el sonido del programa de grabación de CD/DVD de ImgBurn para cuando finalizaba con éxito una grabación (me parecía un sonido muy logrado para percatarse en ausencia del proceso).
¿Y si la cita ya no se encuentra disponible en el transcurso final? Pues nada, darle de nuevo al Play de tu Power Automate Desktop ;) Si todo ha parecido un auténtico calvario o algo no acaba de verse claro, no te preocupes porque muestro a continuación un vídeo que consta de tres partes.
La situación del SEPE en este año 2025.
El método manual de la conmutación entre Presencial y Telefónica.
Y el más interesante, el Semi-Automático haciendo uso de Power Automate Desktop.
¿Te has fijado que se ha dejado entrever un DNI al principio de la solicitud? No te preocupes, es un número generado de manera aleatoria (empleado para esta Proof of Concept). Puedes hacerlo bien preguntándoselo a la IA -sin que te la lie- o bien aprendiendo como funciona el algoritmo.
Bonus Track Calcular letras de DNIs "inventados"
El algoritmo para calcular la letra del DNI es muy sencillo. Consiste en dividir el número de DNI (los 8 dígitos) entre 23 y obtener el resto de esa división. Este resto será un número entre 0 y 22, que se utiliza para buscar la letra correspondiente en una tabla predefinida. Si haces uso de la calculadora nativa científica de Windows 10, puedes hacerlo fácilmente con la tecla mod.
Divides, por ejemplo, 12345678 mod 23 (importante picar mod en lugar de / o tecla de dividir) y el resultado debes compararlo con la tabla, donde (resto=letra);
0=T, 1=R, 2=W, 3=A, 4=G, 5=M, 6=Y, 7=F,
8=P, 9=D, 10=X, 11=B, 12=N, 13=J, 14=Z, 15=S,
16=Q,17=V, 18=H, 19=L, 20=C, 21=K, 22=E
Agradecer a la gran amiga María Gómez quién me hizo ver claramente que esto tenía que salir a la luz y al resto de participantes del “chatazo” que tenemos montado. Es el Chat Público de El Lado del Mal. Pásate que no te aburrirás ;)
Una imagen Morph o hecha con técnicas de Morphing se hace a partir de otras dos imágenes originales, que pueden pertenecer a dos personas diferentes, que pueden ser diferentes sexo, raza o edad. Es un algoritmo de Inteligencia Artificial que mezcla los rasgos de esas dos personas para dar una nueva persona.
Figura 2: La imagen de la izquierda es una imagen Morph de la
suma de las fotografías de la derecha. De 2 personas distintas.
Esto, que inicialmente parece un ejercicio tecnológico visual curioso , puede ser utilizado para crear personas que no existen, como en el caso de las StyleGAN, pero también pueden acabar siendo utilizadas de forma impresas en documentos oficiales como un Pasaporte Nacional al que aplica una persona.
El riesgo que esto tiene es muy grande, porque una persona puede ir a sacarse el Pasaporte con una Imagen Morph, y luego esa fotografía podría validar a otra persona en los sistemas de ReconocimientoFacial de la frontera, con lo que se estaría colando en un país alguien que no es la persona identificada.
Esto se produce porque los sistemas de Facial Recognition tienen un sistema de validez del Match basado en Thresholds de Similitud, y esto no es algo válido cuando se trata de Verificación de una Identidad, donde hay rasgos que deben ser conclusivos. Por ejemplo, podemos tener un grado de similitud en dos personas en 90% y resulta que son de diferente raza.
Las imágenes Morph, para que funcione la magia, hacen una manipulación de los rasgos fundamentales como los ojos, la nariz, los labios, etcétera, haciendo manipulación en forma de artefactos que son mezcla de los rasgos de las dos imágenes originales. Esto lleva a que en esos puntos se cree la magia tecnológica de la manipulación, y es lo que permite el problema anterior.
Según la presentación publicada, en los Estados Unidos han tenido más de 1.000 casos de pasaportes hechos con imágenes Morph, ya que estas - si engañan a un sistema de Facial Recognition - con dos personas con cierta similitud y una imagen Morph, pueden engañar a las personas. No todos nos parecemos tanto a nuestras fotos de los documentos de identidad.
El NIST está proponiendo utilizar en todas las aplicaciones para obtención de Pasaportes o Documentos de Identidad, un sistema de detección de Imágenes Morph, buscando detectar los artefactos dejados por la aplicaciones más comunes utilizadas para la generación de estas imágenes, revisar los metadatos de las fotografías, buscando información EXIFF que pueda delatar la manipulación con herramientas digitales.
La segunda parte consiste en hacer análisis entre la imagen de la persona en la cámara de Facial Recognition y la ImagenMorph, buscando rasgos deterministas de la identidad, como una cicatriz o un lunar que falta en la fotografía o en la imagen de la cámara en la frontera, para generar una alerta de seguridad.
En esos casos, aunque la Similitud del algoritmo de Face Comparison sea alta, existe un elemento - la cicatriz - que invalida la identidad, por lo que se debe levantar una alerta de seguridad.
Por último, para detectar si es una Imagen Morph que está siendo utilizado por una o dos personas, se puede tener en cuenta esta distribución entre Identidad y Similitud. Cuando es original, hay un pico de Similitud muy alto, mientras que que cuando es una Imagen Morph da un pico de Similitud más rebajado y, si en la base de datos hay dos personas, la distribución de Similitud se extiende entre más imágenes.
Sin embargo, si usamos la misma base de datos, pero buscando con una Imagen Morph de esa persona (con otra que no está en la base de datos), los índices de Similitud se reducen.
Si las dos personas a partir de las que se ha creado la Imagen Morph está en la base de datos, los resultados de Similitud en el algoritmo de Facial Comparison son menos acentuados, tal y como se veía en la gráfica de la Figura 12.
El uso de las herramientas de Inteligencia Artificial Generativa aplicadas al mundo de las generación de imágenes crea, como hemos visto en este artículo, nuevas amenazas y nuevas brechas de seguridad que hay que mitigar, como se puede observar, hay que estudiar los detalles para poder contra restarlas. Muy interesante este trabajo.
Ya he hablado muchas veces de lo que llamamos El "leak" del login, o lo que es lo mismo, cómo saber que una persona tiene una cuenta en un servicio a base de aprovechar los intentos de intentar hacer las tres acciones que se pueden hacer con datos públicos de una persona, es decir, Iniciar Sesión, Crear una cuenta o Recuperar una contraseña, y analizar los mensajes de error.
Figura 1: El "leak" del Login en tu Banca Online con tu D.N.I. (NIF) o con tu C.I.F.
Para iniciar sesión en un servicio, para recuperar la contraseña, y para crear una cuenta, nos van a solicitar datos que normalmente son públicos, como son la dirección de correo electrónico, el usuario, o el número de teléfono. Datos, que en una tarjeta de visita pueden aparecer con mucha facilidad. Con estos datos se puede intentar iniciar sesión en un servicio, se puede intentar recuperar una contraseña, o se puede intentar crear una cuenta.
Si el sitio web en el que estamos probando, tanto al intentar iniciar sesión, al recuperar una contraseña o al intentar crear una cuenta, da un mensaje distinto cuando la dirección de correo electrónico o el número de teléfono existe previamente en el servicio, que cuando no existe, entonces podremos saber con facilidad si esa persona tiene una cuenta en esa plataforma, lo que es un leak de privacidad, como hemos visto en ejemplos varios:
Con todos estos "leaks", es posible capturar el correo electrónico y/o el número de teléfono de una tarjeta de visita y sacar un mapa de los servicios en los que una persona tiene una cuenta, lo que da mucha información de su vida en la red. Con esta premisa, creamos el servicio de Dirty Business Card en nuestro equipo de Ideas Locas.
Sin embargo, una de las cosas que también se puede extraer información de las entidades bancarias en las que una persona tiene cuenta, no solo por el número de teléfono (como vimos en el caso de Bizum) o la dirección de correo electrónico, lo que facilitaría los ataques de phishing bancario, enviando el correo de phishing del banco correcto a la persona correcta, sino que también se puede hacer por el número de DNI de una persona.
En algunos bancos, para saber si tienes cuenta o no con ellos, y poder activarte la Banca Online, te solicitan el número de DNI, y si tienen el "leak del login", entonces darán un mensaje diferente cuando ese DNI esté en sus sistemas a cuando no esté en sus sistemas, como en este ejemplo que podéis ver aquí, que para poder ver si tienes cuenta se solicita primero el número de DNI.
Figura 5: Activar el acceso a la Banca Online en un banco
Después, si la cuenta no existe, da un mensaje de error en el que invita a hacerse cliente de la entidad bancaria en concreto, como podéis ver en la imagen siguiente.
Figura 6: Ese DNI o tiene Banca Online
Mientras que si tienes una cuenta bancaria asociada a ese número de DNI (o CIF o NIF dependiendo del número que soliciten), entonces saldrá un proceso distinto para comenzar la recuperación de la contraseña.
Figura 7: Ese DNI tiene Banca Online en este Banco -> Leak
Por desgracia, en nuestro país, localizar el número de DNI, teniendo los dos apellidos y el nombre de una persona, no es demasiado complejo encontrar su número de DNI, ya que en el Boletín Oficial del Estado, en entidades públicas, listados de oposiciones, listados de notas, etcétera, se han publicado y se publican por transparencia, lo que no siempre es lo mejor por privacidad y seguridad.
Así que, si encuentras un "leak del login" en una entidad bancaria, lo suyo es que se lo reportes para que hagan menos "Verbose" el proceso y no sea fácil conocer si una persona ( o una organización ) tiene cuenta en esa entidad o no, ya que se lo ponemos más fácil a los malos, que con mucha información, y un poco de ingeniería social son capaces de hacer estragos en las personas menos informadas, como la banda que desarticuló la Policía. Y nos ayuda a todos a estar más protegidos contra los peligros en Internet.
La globalización, la digitalización de las organizaciones y, por último, la pandemia han propiciado que la mayoría de gestiones que realizamos en nuestro día impliquen el envío de información y documentación personal por medio de medios telemáticos. A veces esto último implica que muchos datos y documentos personales nuestros pasan por esos canales y van a multitud de personas, sobre todo en ciertos trámites que implican de varios escalones el proceso.
Fallos en la cadena de gestión documental y su detección con shaadow.io
Publicó Chema Alonso hace un tiempo cómo utilizar Shaadow para detectar al miembro del equipo que filtra documentos confidenciales, pero hoy quería centrarme en un ejemplo de lo comentado previamente es cuando nos encontramos en un proceso de compra-venta de una vivienda. Hay muchos trámites y papeleo de por medio, teniendo que enviar continuamente y a varias personas gran cantidad de documentación con nuestros datos personales.
Debemos estar preocupados por si esos datos pudieran llegar a filtrarse, intencionadamente o fruto de un ciberataque, ya que incluyen copias de documentos importantes como nuestro nombre, DNIe, estado financiero, direcciones de domicilios, etcétera. Siendo conscientes de ello, veamos cómo proteger nuestros documentos mediante el marcado invisible de Shaadow.io.
Antes de nada, para poder comenzar a utilizar la herramienta, lo recomendable es ir a la sección de planes y elegir de las diferentes opciones que nos dan la que se adapte mejor a nuestras necesidades. En la parte de planes encontramos una prueba gratuita que nos permitirá poner hasta cinco marcas y realizar cinco extracciones. También se podrán adquirir créditos individuales tanto de marcado como de extracción, además de tres tipos de membresías mensuales.
Una vez seleccionado el plan que más se adecue a lo que queremos, nos pedirá crearnos una cuenta si no tenemos ya una previa. Tendremos que facilitar los siguientes datos y nos llegará un código a nuestro correo electrónico con el que confirmar nuestro perfil.
Una vez creado nuestro perfil, accedemos a la plataforma de shaadow.io y procesamos el contrato en la misma, insertándole las siguientes marcas identificativas para que, en caso de que la cadena de custodia se rompa, poder averiguar dónde ha sido y exigir explicaciones a los responsables. Como podemos ver, hay dos posibilidades de marcado.
Figura 5: Opciones de Marcado en Shaadow.io
En este caso, donde vamos a MARCAR el documento de un CONTRATO que nos solicita una web bancaria, usaremos la opción de “Marcar y Descargar”, con que podremos marcar el documento y descargarnos el archivo con esas marcas.
Figura 6: Subido el Conrato en PDF y seleccionadas las marcas invisibles a incluir
Le damos a “Subir”, justo después de haber puesto las marcas que queremos incluir. Como véis, hemos seleccionado 4 marcas diferentes para el documento, lo que genere varios documentos del mismo CONTRATO, con diferentes marcas. Cuando termine la subida del documento, podremos ver que nuestro documento ha sido marcado con éxito.
Figura 7: Ya tenemos un CONTRATO con 4 marcas diferentes
Posteriormente, descargaremos una carpeta con cuatro documentos en formato PDF idénticos, excepto por la marca de agua invisible que se ha añadido a cada uno de ellos de manera imperceptible, que los asocia inequívocamente uno a uno con el destinatario de cada comunicación.
Figura 8: Los documentos de CONTRATO con sus marcas invisibles
Ahora, procedemos a enviarles por email a cada interesado el documento con su respectiva marca de agua. De esta forma, con este proceso que hemos realizado, si se filtra ese contrato en la web, solo se habrá filtrado el de una marca de agua concreta.
Aparece el contrato filtrado
Supongamos que un tiempo después nuestros documentos privados aparecen “colgados en la red” fruto de un ciberataque, de manera que cualquiera puede verlo y usar nuestros datos para fines ilícitos. Habiéndolos protegido con shaadow.io, podremos saber quién de las entidades involucradas en el proceso descuidó su seguridad y custodia. Procedemos a hacer una simple captura de pantalla a la imagen del documento que hemos encontrado en la red para poder procesarlo en la plataforma de shaadow.io.
Figura 9: Captura de pantalla del documento filtrado en la red
Accedemos a la plataforma de shaadow.io con nuestro perfil de usuario y nos dirigimos hasta la sección de “Extracción”, en el menú lateral izquierdo. Subimos el archivo que hayamos podido obtener, ya sea el documento completo, un fragmento de este o incluso una fotografía o captura de pantalla.
Figura 10: Subimos la captura en la zona de Extracción de Marca
La plataforma procesará el archivo que hayamos subido y nos devolverá como resultado la marca que se insertó en el documento que ha sido filtrado.
En este caso, la extracción de la marca invisible evidencia que el culpable de esta fuga de información ha sido la inmobiliaria. Gracias a esto, podremos emprender acciones legales contra los sujetos que descuidaron nuestros datos, ahorrando y centrando la larga investigación que habría supuesto delimitar quién fue exactamente la fuente u origen de la filtración (recordemos que en este caso, el documento fue enviado y revisado por varias personas).
Figura 11: Marca extraída de la captura del documento
A pesar de que en esta situación la fuga ha sido realizada por alguien externo a la inmobiliaria que detectó una brecha en su sistema de ciberseguridad y la aprovechó, la responsabilidad de no custodiar bien los datos personales de sus clientes sigue recayendo en ellos y en una estrategia de protección documental deficiente.
Comentarios finales
En el entorno empresarial, Shaadow.io puede ser también una barrera de defensa adicional ante este tipo de casos, permitiendo que los datos personales de un documento puedan ser anonimizados e incluidos en la marca invisible con acceso restringido. De esta forma se puede gestionar la documentación sin problema dentro de la organización asegurándonos de que, en caso de otro ciberataque, el responsable no podría filtrar y vender los datos privados de los clientes.
Esta sincronización entre entidades y sus clientes se puede hacer de un modo sencillo gracias a la opción de shaadow.io de integrarse a través de la API con los procesos y estrategias de seguridad ya existentes en las propias organizaciones.
No debemos pensar que por enviar nuestra información a una entidad aparentemente segura nosotros no debemos preocuparnos por ella. Tenemos que ser los que coloquen la primera barrera de seguridad, ya que es algo que nos pertenece y que para terceras personas puede tener más valor del que nosotros le otorgamos. Shaadow.io es una herramienta que permite esto y es bastante sencilla, así que cualquiera puede hacer uso de ella sin ningún problema, desde una gran organización hasta el consumidor directo.
Marcando nuestros documentos, los estaremos protegiendo no solo ante posibles fugas de información, sino que reafirmaremos su autoría o los datos que en ellos aparecen (esto se denomina doble confirmación o "double check"). Además, Shaadow.io y su tecnología permiten que esas marcas de agua invisibles que hemos insertado aguanten hasta en los formatos físicos, es decir, aunque un documento se imprima o fotografíe, se podrá extraer aún la información enlazada al mismo. No dejes solo en manos de otros la seguridad de tus documentos personales.
Sigue El lado del mal en Telegram
Chema Alonso en Threads
Chema Alonso en Mastodon
Chema Alonso en BSKY
Chema Alonso en Linkedin
DragonJAR
8.8 Chile
Ekoparty
e-Hack MX 
AREA 51 
Comunidad Dojo Panamá 
ARPAHE SOLUTIONS 
