Curso de ciberseguridad para nuestro plan de estudios

En Prison Professors, enseñamos a las personas cómo prepararse para alcanzar el éxito. Creamos cursos sobre responsabilidad, desarrollo personal, educación financiera, comunicación, planificación de la puesta en libertad y la importancia de labrarse un historial que les abra nuevas oportunidades.

Recientemente, he aprendido lo importante que es desarrollar un nuevo curso sobre:

• Ciberseguridad básica

Esa lección no surgió de la teoría, sino de mi propia experiencia.

Durante las últimas semanas, he tenido que lidiar con las consecuencias de que personas malintencionadas intentaran comprometer mis cuentas. Los ataques generaron confusión, estrés y trastornos. Me obligaron a dedicar tiempo a proteger cuentas de correo electrónico, cuentas financieras, cuentas en redes sociales, cuentas de Apple, ajustes del teléfono, contraseñas, sistemas de mensajería y otras herramientas digitales de las que dependemos a diario.

Para la mayoría de la gente, esos sistemas son invisibles hasta que algo sale mal. Damos por sentado que, si podemos encender el móvil, recibir un mensaje de texto, enviar un correo electrónico o iniciar sesión en una cuenta, todo va bien.

Pero no siempre va todo bien.

Una persona puede perder el acceso a una cuenta. Un malintencionado puede intentar restablecer contraseñas. Los mensajes de spam pueden inundar un teléfono. Las aplicaciones sospechosas pueden conectarse a cuentas de redes sociales. Las cuentas bancarias pueden bloquearse mientras una empresa investiga una actividad no autorizada. Incluso cuando recuperamos el acceso, el proceso puede llevar muchas horas y generar incertidumbre.

Esa ha sido mi experiencia.

Los problemas de ciberseguridad entorpecen la misión

Prison Professors opera con una misión clara: 

• mejorar los resultados de las personas que pasan por el sistema de justicia penal de Estados Unidos.

Creamos y distribuimos recursos educativos gratuitos. Elaboramos perfiles que permiten a las personas encarceladas documentar sus preparativos para alcanzar el éxito. Trabajamos con familias, personas afectadas por el sistema judicial, personal, voluntarios, donantes y socios comunitarios. Nos comunicamos a diario con personas de todo el país.

Para llevar adelante esa misión, nos apoyamos en la tecnología.

Utilizamos el correo electrónico, sitios web, almacenamiento en la nube, herramientas de gestión de relaciones con los clientes, plataformas de vídeo, sistemas de pago, redes sociales, teléfonos, aplicaciones de mensajería, gestores de contraseñas y sistemas bancarios. Cada herramienta nos ayuda a llegar a más personas. Cada herramienta también supone un punto de vulnerabilidad.

No obtengo ingresos por mi trabajo en la misión. Mis ingresos provienen de inversiones que realizo en acciones tecnológicas y criptomonedas. He aprendido que las personas malintencionadas también pueden piratear esas cuentas. 

Cuando personas malintencionadas atacan esos sistemas, no solo me atacan a mí personalmente. Están entorpeciendo el trabajo.

En lugar de dedicar tiempo a crear lecciones, responder a las familias, preparar materiales para las personas en prisión o desarrollar recursos para nuestra comunidad, he tenido que dedicar tiempo a hacer frente a amenazas de seguridad. He tenido que cambiar contraseñas, revisar las aplicaciones conectadas, ponerme en contacto con los equipos de asistencia, verificar dispositivos, buscar inicios de sesión sospechosos, supervisar cuentas financieras y preguntar si otros sistemas podrían haberse visto comprometidos.

Incluso he tenido que contratar a un abogado para que me ayude a recuperar fondos que me han sido robados de una plataforma de intercambio con sede en EE. UU. que afirma mantener los activos a salvo. No quiero nombrar a esa gran empresa, pero confirmo que NO se trata de Binance, una plataforma de intercambio que mantiene un compromiso genuino con la protección de los fondos de los usuarios. (En EE. UU., solo recientemente hemos obtenido acceso a Binance.US)

Nuestro trabajo en la organización sin ánimo de lucro se basa en la confianza. Las personas que están en prisión confían en que elaboremos recursos precisos. Las familias confían en que les proporcionemos orientación. Los donantes confían en que gestionemos los recursos de forma responsable. Nuestros socios confían en que nos comuniquemos con integridad. Si actores malintencionados comprometen nuestros sistemas digitales, pueden dañar esa confianza.

Por ese motivo, la ciberseguridad no es una cuestión secundaria. Debe formar parte de la infraestructura de nuestra misión.

Lo que aprendí de la experiencia

Esta experiencia de haber sido víctimas de un ataque informático me ha enseñado varias lecciones que ahora creo que debemos compartir más ampliamente.

En primer lugar, los ciberataques suelen generar confusión antes de causar daños. Una persona puede recibir docenas o cientos de mensajes de spam. Pueden provenir de cualquier plataforma, como X, Telegram o incluso de mensajes de chat. Puede aparecer una notificación extraña. Puede fallar un inicio de sesión. Un dispositivo puede comportarse de forma diferente. Una plataforma puede mostrar una aplicación o una sesión desconocida. Esas señales de alerta pueden resultar abrumadoras, especialmente para quienes no entienden cómo funcionan los sistemas digitales.

En segundo lugar, las contraseñas por sí solas no bastan. Una persona puede creer que una contraseña protege una cuenta. Ayer me enteré de que un hacker podía penetrar en la red de Verizon y acceder a mi cuenta de teléfono. A partir de ahí, comienza el daño real.

En realidad, la seguridad de una cuenta también depende de la autenticación de dos factores, las direcciones de correo electrónico de recuperación, los números de teléfono, la configuración de confianza de los dispositivos, los permisos de las aplicaciones, la protección de la tarjeta SIM, los gestores de contraseñas y la concienciación sobre los intentos de phishing.

En tercer lugar, la comodidad puede convertirse en un punto débil. Queremos que nuestros teléfonos, ordenadores, navegadores y aplicaciones nos reconozcan. Queremos que un dispositivo se conecte automáticamente a otro. Queremos que las contraseñas se rellenen automáticamente. Esas funciones son útiles, pero también exigen disciplina. Debemos saber qué está conectado, qué dispositivos tienen acceso y cómo revocar dicho acceso cuando algo parezca sospechoso.

En cuarto lugar, hay que actuar con rapidez. Cuando algo parece ir mal, la demora puede aumentar el riesgo. Se deben cambiar las contraseñas, revisar las sesiones, desconectar las aplicaciones sospechosas, ponerse en contacto con las entidades financieras y documentar lo ocurrido. Cuanto más tiempo tenga acceso un atacante, mayor será el daño que pueda causar.

En quinto lugar, cuando algo sale mal, es importante anotar fechas, horas, nombres de cuentas, mensajes sospechosos, números de expediente, comunicaciones con el servicio de asistencia y las medidas tomadas para proteger la cuenta. Una buena documentación resulta útil a la hora de comunicarse con bancos, empresas tecnológicas, fuerzas del orden, abogados o miembros del equipo interno.

Necesitaba esa documentación para ayudar al abogado que contraté a iniciar los trámites para comunicarse con la plataforma de intercambio que perdió más de 90 000 dólares de mis fondos.

Las personas en prisión

Las personas en prisión son especialmente vulnerables a estos problemas.

Muchas llevan años o décadas alejadas de la tecnología. Cuando se reincorporan a la sociedad, pueden encontrarse con un mundo muy diferente al que dejaron. Las operaciones bancarias se realizan a través de aplicaciones. Las solicitudes de empleo se hacen en línea. Las citas médicas, las prestaciones públicas, las solicitudes de vivienda, la declaración de la renta y los programas escolares suelen requerir cuentas digitales.

Incluso la comunicación con los familiares puede depender de teléfonos inteligentes, contraseñas, direcciones de correo electrónico, mensajes de texto, plataformas de vídeo y códigos de autenticación.

Una persona que no comprenda los conceptos básicos de ciberseguridad puede convertirse fácilmente en una víctima.

Alguien puede hacer clic en un enlace de un mensaje de texto. Alguien puede compartir un código de verificación. Alguien puede utilizar la misma contraseña para todas las cuentas. Alguien puede confiar en un número de atención al cliente falso. Alguien puede creer que un mensaje es legítimo porque utiliza el logotipo de un banco, una compañía telefónica o un organismo público. Alguien puede no saber cómo reconocer un intento de phishing. Alguien puede no entender por qué es importante un correo electrónico o un número de teléfono de recuperación.

Esos errores pueden tener graves consecuencias.

Una persona que sale de prisión ya está reconstruyendo su vida. Puede que esté buscando trabajo, restableciendo las relaciones familiares, cumpliendo los requisitos de supervisión, recuperando su historial crediticio e intentando alcanzar la estabilidad. Un ciberataque puede frustrar ese progreso. Puede vaciar una cuenta bancaria, bloquear el acceso al correo electrónico, comprometer la información personal, dañar el historial crediticio o generar nuevos problemas legales y financieros.

Si decimos que queremos que las personas tengan éxito tras salir de prisión, entonces debemos enseñarles cómo protegerse en el mundo digital.

La ciberseguridad pasará a formar parte de nuestro plan de estudios

Las personas que están en prisión necesitan aprender algo más que cómo conseguir un trabajo o redactar un plan de reinserción. Debemos crear clases para enseñarles cómo desenvolverse de forma segura en la sociedad moderna.

Esto incluye conceptos básicos de ciberseguridad:

• Cómo crear contraseñas seguras y únicas.

• Cómo utilizar un gestor de contraseñas.

• Cómo activar la autenticación de dos factores.

• Cómo proteger las cuentas de correo electrónico.

• Cómo reconocer los correos electrónicos y mensajes de texto de phishing.

• Cómo comprobar si un mensaje es legítimo.

• Cómo proteger las cuentas bancarias.

• Cómo revisar las aplicaciones conectadas y las sesiones activas.

• Cómo evitar compartir códigos de autenticación.

• Cómo proteger un número de teléfono contra transferencias no autorizadas.

• Cómo documentar actividades sospechosas.

• Cómo reaccionar rápidamente cuando algo sale mal.

No se trata de lecciones técnicas avanzadas, sino de habilidades básicas para la vida.

Del mismo modo que las personas necesitan aprender a gestionar su dinero, prepararse para el mundo laboral, comunicarse con los agentes de libertad condicional y crear una red de apoyo, también deben aprender a proteger su identidad digital.

Medidas que estoy tomando

A raíz de mi experiencia reciente, estoy tomando medidas más estrictas para protegerme a mí mismo y a la organización.

Estoy revisando todas las cuentas importantes. Estoy cambiando las contraseñas y asegurándome de que cada cuenta utilice una contraseña segura y única. Estoy utilizando los gestores de contraseñas con más cuidado. Estoy revisando la configuración de la autenticación de dos factores. Estoy comprobando las direcciones de correo electrónico y los números de teléfono de recuperación. Estoy eliminando las aplicaciones conectadas que me parecen sospechosas. Estoy revisando las sesiones activas y los dispositivos de confianza. Me pongo en contacto con las entidades financieras y las plataformas tecnológicas cuando algo no me parece bien.

También estoy documentando lo que ha ocurrido.

La documentación me ayuda a comprender la secuencia de los hechos. Me ayuda a identificar los puntos débiles. Me ayuda a comunicarme con los profesionales que puedan necesitar ayudarme. Y lo más importante: me ayuda a convertir una experiencia dolorosa en un recurso educativo para los demás.

Eso es lo que intentamos hacer en Prison Professors.

No desperdiciamos la adversidad. Aprendemos de ella. Y luego enseñamos.

Convertir esta experiencia en una lección

Esta experiencia ha sido perturbadora. Me ha consumido tiempo, atención y energía que preferiría dedicar a crear recursos para las personas que están en prisión y sus familias.

Pero también ha puesto de manifiesto una necesidad importante.

Debemos enseñar ciberseguridad a las personas que están en prisión, a quienes regresan a casa y a los miembros de nuestra comunidad en general. El mundo digital genera oportunidades, pero también riesgos. Las personas que carecen de concienciación son vulnerables. Quienes comprenden los conceptos básicos pueden protegerse.

En Prison Professors, queremos preparar a las personas para que tengan éxito en el mundo real. El mundo real exige ahora responsabilidad digital.

Eso significa que la ciberseguridad debe formar parte de nuestro plan de estudios.

Seguiremos enseñando responsabilidad, disciplina, valores, objetivos, comunicación, educación financiera y planificación de la reinserción. Pero también debemos enseñar a las personas cómo proteger sus cuentas de correo electrónico, teléfonos, contraseñas, dinero, identidad y reputación.

Mi experiencia reciente me ha recordado que los actores maliciosos no solo atacan a las grandes empresas o a las personas adineradas. Atacan a cualquiera que tenga una cuenta, un número de teléfono, una dirección de correo electrónico, un perfil financiero o una presencia pública.

Eso incluye a nuestra comunidad: las personas que se preparan para volver a casa tras cumplir una condena.

Tenemos la responsabilidad de ayudarles a comprender los riesgos antes de que estos se conviertan en crisis.

La ciberseguridad forma parte de la educación financiera, la estabilidad familiar y la preparación para el éxito. Por ese motivo, empezaremos a impartir más formación al respecto. Aprovecharemos esta experiencia para reforzar nuestra misión.