Ciberguerra i Pau, amb Pau Puig

Tornada d'estiu, amb públic a l'estudi i una correcció de la rentadora

Primer episodi després de cinc setmanes de pausa, amb un dels amfitrions tornant ben moreno i l'altre queixant-se que encara no ha fet vacances. El pre-roll va de negociar mig grau menys al termòstat de casa —«social engineering», en diuen— i d'un Docker corrent en segon pla sense que ningú recordés per què. També hi ha esmena: l'audiència de YouTube els va corregir sobre l'episodi de la rentadora, perquè el suavitzant no cau des del principi sinó més tard i sota demanda. A partir d'ara graven cada setmana amb convidat o convidada.

Un convidat difícil de classificar: cloud, ciber i bateria

La presentació costa de tancar en una línia: tecnologia, cloud, màrqueting, estratègia, aliances i ara ciberseguretat, un perfil tan transversal que el títol de LinkedIn hauria de ser «deixeu, ja m'encarrego jo». En Pau Puig va créixer a CAPSiDE, l'empresa barcelonina que operava plataformes digitals crítiques 24 hores al dia quan el cloud encara no era obligatori a totes les presentacions corporatives, i que el 2019 va comprar NTT Data. Dins l'univers NTT va créixer en la part de cloud i la relació amb els hyperscalers, i entremig va passar per BiteRight, una startup de pròtesis dentals. El 2025 arriba a Ackcent Cybersecurity com a portfolio manager; també fa de business angel i és bateria a LTRUV i als Res.

El phishing que entra pel formulari de contacte

El primer cas real el posa l'Àlex des de MarsBased: arriba una petició pel formulari de contacte amb especificacions d'un projecte, i quan contesta li responen que han de marxar de viatge i li passen un directori amb la documentació. L'enllaç no anava ofuscat amb cap escurçador, que és el que normalment fa saltar les alarmes: era un `google.com/sites`. El domini és legítim, l'SSL és legítim, el candauet hi és, i un cop dins ja et demanen baixar un fitxer.

Comptes compromesos, fils segrestats i la cadena de subministrament

En Pau hi afegeix un cas més fi. Un treballador d'una empresa que gestiona plecs públics té el correu compromès; des d'aquell compte legítim —passa el DMARC, passa l'SPF— recuperen una conversa interna anterior i responen dins el mateix fil convidant-te a un concurs. L'enllaç porta a un SharePoint de Microsoft i l'adjunt viu dins el seu propi espai de OneNote. Tot el context sembla legítim perquè en bona part ho és.

Això és explotar la cadena de subministrament. Si vols xifrar el contingut de Volkswagen no ataques Volkswagen: ataques l'empresa de Mollet que li fa xassís i té legitimitat per escriure-li. D'aquí que calgui treure's el prejudici de «jo soc massa petit perquè m'ataquin»: els atacants fan pesca d'arrossegament, i qualsevol dada teva filtrada pot convertir-se en context creïble.

El català ha deixat de ser un tallafoc

El tercer cas és una invitació a un tauler de Trello que el CEO t'acaba de crear. El domini és `trello.com` de debò, no hi ha cap alerta, i entre els convidats hi figuren noms i cognoms del teu equip trets de LinkedIn. On la cagaven era en el text de les targetes: pronoms febles, accents, regionalismes. Durant anys el català ha estat una defensa excel·lent perquè els atacants no el sabien mapar; amb els LLM entrenats amb corpus en català, aquesta defensa s'ha esvaït. I la targeta porta un adjunt.

Un firewall no té mai un mal dia

La frase que vertebra l'episodi surt d'un article del convidat: és més fàcil hackejar el teu cervell que un ordinador, perquè un firewall no té mals dies i tu sí. A MarsBased ho tenen resolt per eliminació —no envien mai correus interns—, i per tant tot l'equip sap que un correu signat pel CEO és fals.

Però la defensa cau quan toca. L'Àlex explica que esperava una amiga polonesa a Barcelona i li va arribar un WhatsApp des d'un número nou dient que havia perdut el telèfon. Venia d'una època de dormir malament i va assumir que era ella. El que el va salvar va ser un detall d'estil: aquella amiga, amb parella portuguesa, sempre li barrejava portuguès i castellà, i de cop escrivia només en castellà. Quan va arribar la petició —una transacció d'un euro per recollir unes maletes— ja hi havia pudor de socarrim.

Els cinc bàsics, i per què l'SMS és indefensable

Ackcent ho ha empaquetat en una campanya, #RefloatTheBasics, amb vídeos breus de la seva Security Awareness Manager, la Laia Garcia Padró. Els cinc punts: contrasenyes úniques i robustes amb gestor; activar l'MFA i que no sigui per SMS; actualitzar tan bon punt surti l'actualització; mirar sempre el domini —on Apple és un ganivet de doble tall, perquè a vegades amaga part dels dominis llargs—; i el fre emocional davant la urgència i del «too good to be true».

L'SMS s'emporta la pitjor part: no té autenticació i pots impersonar qualsevol remitent. En Marc hi posa un cas propi que va estar a punt de colar: un avís real de l'Agència Tributària i, dins el mateix fil, un de fals amb l'enllaç `agenciatributaria.gov-eu.com`. El que el va fer dubtar no va ser el domini sinó una absència: l'Agència sempre envia també un correu, i no va arribar.

El retorn de fer-ho bé és zero, i per això costa tant

En el millor dels casos el retorn de la inversió en ciberseguretat és zero, perquè el millor que et pot passar és que no passi res. La pregunta que Ackcent fa a qui demana un pentest és reveladora: el vols per passar una auditoria o per millorar la teva postura de seguretat? La majoria de vegades, per l'auditoria —com anar al dentista només quan fa mal.

La proposta és un pla de resiliència: inventariar actius, riscos, vulnerabilitats i salvaguardes, sent brutalment honest, perquè amagar que no tens l'MFA activat és com anar al psicòleg i enganyar-lo. El que sí que alinea incentius és la NIS2, la directiva europea que a Espanya s'hauria d'haver transposat fa més d'un any: fa recaure responsabilitat legal sobre la direcció si hi ha un incident i no pot demostrar conscienciació, pentesting i controls.

Espais grisos, lobby i el Far West digital

La conversa deriva cap a com hem construït un món digital sense lleis mentre ens passàvem segles regulant el real, i la multa europea a Meta d'aquest estiu es llegeix com un precedent barat. Des de la seva posició d'inversor, l'Àlex hi afegeix una observació sobre startups: gairebé totes operen en espais grisos, perquè el que està regulat ja està tancat i el que és il·legal no es pot tocar. La cursa per arribar primer no és només per l'avantatge competitiu, sinó perquè qui s'estableix com a autoritat acaba sent el lobby que escriu la regulació —el que es veu ara amb els hyperscalers posant-se d'acord per regular la IA.

La IA posa el cost de l'atac pràcticament a zero

Fins ara el coll d'ampolla era quants atacs podies enviar. Amb agents que es repliquen sense límit, deixar-los corrent gastant tokens surt a compte si només un funciona. Un dels amfitrions explica que va comprar un domini a les dotze de la nit i a les 1.42 ja tenia correu brossa, sense haver publicat la web.

En Pau ho il·lustra amb una prova de concepte d'un company: un VPS públic amb IP i sense domini, un honeypot amb keylogging dels atacants, deixat 72 hores. Un honeypot és un esquer —un servidor més accessible que el real, perquè l'atacant hi perdi el temps— que simula de tant en tant que l'intrús ha entrat, per registrar-li les comandes. Al cap de poques hores ja hi havia escanejos del rang d'IP i intents de telnet, buscant instal·lar mineria de criptomonedes.

Sobre qui hi surt guanyant, atacants o defensors, la resposta va per un cantó incòmode: els LLM s'han entrenat amb dècades de write-ups i retrospectives de ciberseguretat, no es cansen i són més ràpids. La combinació més problemàtica és un atacant sènior, un LLM potent amb els guardarraïls baixos i paciència.

El que preocupa el convidat no són els LLM, són els bàsics

Tot i això, en Pau no dramatitza pel cantó de la IA. El que l'inquieta és el gruix de pimes sense recursos ni atenció: ningú que revisi si algú ha publicat una clau al repositori, tiquets de patching de CVE que ja s'estan explotant in the wild, permisos de root donats a un proveïdor i mai revocats. El paral·lelisme que fa és amb el cloud públic: per un SRE, l'autoscaling va canviar les regles del joc; els LLM les acaben de canviar per a la ciberseguretat.

Hi ha un matís sobre el mite del hacker. Abans els millors eren els que trobaven un camí que no havia documentat ningú; ara els LLM tenen pensament lateral per defecte. El cas que ho exemplifica: uns agents que no podien escriure a internet però sí cercar, i que van descobrir que alguns e-commerce indexen automàticament pàgines per a cerques long-tail. Fent cerques en un llenguatge inventat per ells creaven pàgines indexades a Google que el següent agent sabia llegir.

No cal que el mòbil t'escolti: ja ho infereix tot

El tancament va cap a la inferència, i a desmuntar l'argument que el telèfon ens escolta. Un dels amfitrions explica que un amic seu que viu a Brooklyn i treballa a MongoDB va passar molts anys a Facebook, i que quan li preguntava si feien servir el micròfon la resposta era sempre la mateixa: no cal. Si fas doom scrolling a Instagram de dotze i mitja a una i mitja de la matinada, tens certa edat i no publiques mai, l'algorisme ja pot inferir que estàs deprimit.

El missatge final és deliberadament poc alarmista. La ciberseguretat no es consumeix perquè no és sexy i és cultura de la por, i la por no ven: ningú s'informa sobre alarmes fins que li han entrat a casa. La sortida és insistir, acompanyar i explicar-ho pla. O, com diu la citació que tanca l'episodi, que els petits canvis són poderosos.