Ya Te Han Hackeado y No Lo Sabes: Selva Orejón (Perito Judicial) #LFDE
In a Nutshell
Selva Orejón advierte que todos somos vulnerables a ciberataques: con solo 3 segundos de audio se puede clonar una voz para estafas telefónicas, y los datos compartidos en redes permiten suplantaciones y extorsiones. La mayoría de cuentas de Google carecen de doble factor de autenticación, y las estafas del amor en LinkedIn e Instagram han evolucionado hacia fraudes más sofisticados. Recomienda protocolos específicos: establecer palabras clave familiares, verificar llamadas colgadas y volver a llamar, y revisar credenciales en haveibeenpwned.com.
These notes were generated by AI and may contain inaccuracies.
Todos vamos a ser hackeados, y muchos ya lo están. Selva Orejón es perito judicial especializada en identidad, imagen y reputación digital. Investiga extorsiones, suplantaciones y ciberacoso. Le han amenazado varias veces de muerte.
Antes se necesitaban 58 segundos de audio para clonar una voz, ahora se requiere muy poco. Si un familiar llama pidiendo dinero urgente, hay tres pasos: previamente se debe haber establecido una palabra clave, luego se debe colgar y llamar uno mismo. Pedro Sánchez recibió la recomendación de apagar el móvil cada día.
La ciberseguridad no es solo un tema técnico, sino de lo que las personas hacen y comparten. Mientras se sube una foto de un hijo o hija a Instagram, puede ser recortada, puesta en un vídeo extraño y comercializada.
En Barcelona hay tres calles donde hay más guarderías de iPhones, que son lugares donde se guardan los iPhones sustraídos. En Francia hubo un saqueo masivo de iPhones por un valor de millones de euros, pero los dispositivos fueron bloqueados.
Hay suficiente audio en internet para que alguien llame a la madre de una persona con su voz clonada y le diga que debe hacer una transferencia. Basta con un vídeo en Instagram o toda la información que se cuelga diariamente en redes sociales para que alguien pueda hacer daño.
Todos somos vulnerables. No hay nadie que se pueda resistir a la situación. Se pueden tomar muchas medidas preventivas, pero la realidad es que somos clonables y esto ya se está utilizando para realizar delitos con datos biométricos.
Selva Orejón es perito judicial especializada en identidad, imagen y reputación digital. Es empresaria e investiga extorsiones, suplantaciones y ciberacoso. Tiene visibilidad y es una de las voces más autorizadas en cibercrimen y protección. Ha estado con instituciones, policía, ejércitos y países explicando qué hacer y qué no hacer.
Pedro Sánchez dijo que los especialistas de Moncloa le recomendaron apagar el móvil cada día. No se trata solo de lo técnico, sino de lo que las personas hacen y comparten. Si es importante compartir con familiares y amigos, pero no se sabe el nivel de seguridad que tienen ellos, se puede apagar el teléfono. No solo importa la propia seguridad, sino la de la contraparte.
Selva ha recibido amenazas de muerte por teléfono a una secretaria, no en la Dark Web. Al principio le chocaba porque no entendía por qué le amenazaban si estaba obrando dentro de la ley. En una pericial, una persona que había estado cometiendo estafas de manera reiterada contra muchas personas durante años le amenazó cuando le iba a dejar de vivir de eso.
Se puso en conocimiento del cuerpo policial que tocó en ese momento, que fueron los Mossos d'Esquadra. Selva recibió formación de seguridad física además de la digital. Si se sabe dónde está y se va radiando todo lo que se hace en Instagram o en los estados de WhatsApp, se pone más fácil al agresor.
Se plantea la idea de hacer un podcast de ciber true crime para posicionar a las personas y ponerlas en la piel de quien ha sido chantajeado, extorsionado o robado.
Un caso que ejemplifica la vulnerabilidad: un consejero delegado de una empresa llamó porque la directora de recursos humanos tenía un problema personal que podía afectar a la empresa. La mujer estaba tratando de separarse de su marido, que era informático y accedía a sus teléfonos. Ella tenía un cargo solvente.
La mujer recibió un mensaje de su marido sobre el vestido rojo que llevaba, a pesar de que él había salido antes de casa. Esto indicaba que la estaba siguiendo o que tenía acceso remoto a su teléfono. El marido tenía acceso físico al dispositivo y compartían el código de acceso o la huella dactilar.
El caso era preocupante para la empresa porque cuando hacían reuniones semanales con consejero, presidencia y dirección de cada unidad, el consejero delegado recibía clips de audio de esas reuniones. El marido estaba tratando de que ella pusiera su puesto en riesgo para que la despidieran y no tuviera ingresos económicos, impidiendo así la separación.
Se hizo el análisis forense correspondiente a todos los dispositivos. El consejero delegado fue informado de lo que estaba ocurriendo. Los correos que recibía la mujer eran muy burdos, provenientes de guerrilla mail.
Pegasus no es lo que más preocupa porque se vendió con contrato a países democráticos. Hay crimen organizado vendiendo malware más sofisticado que Pegasus, con nivel de desarrollo de cero clic. El tema es quién eres y cuánto estarían dispuestos a pagar.
Existen aplicaciones como Cerverus, Life 360 o Google Family Link que pueden ser usadas de forma diferente a la prevista. Los AirTags o localizadores genéricos pueden colocarse en carteras, mochilas o bolsos, incluso cosidos en la ropa en casos de violencia de género.
La mayoría de las credenciales de cuentas de Google son vulnerables y mucha gente no pone doble factor de verificación. Se pueden rehacer cronologías de dónde ha estado una persona y con quién ha estado, basándose en el histórico de ubicaciones de Google.
En aplicaciones como Badoo, Tinder o Bumble se ha visto gente que utiliza VPNs de manera ilegal. Cuando se manda un link y se clica, se puede ver el sistema operativo, el dispositivo, la ubicación geográfica y si está conectado a batería.
Se da formación a colegios y se reporta manipulación de imágenes de criaturas sin su consentimiento, lo que genera ansiedad. Los padres pueden tener conciencia, pero los abuelos dejan el teléfono sin control. Se han detectado conversaciones por DM cuando los niños van a casa de los abuelos.
En videojuegos se ha visto que cuando hay un adulto de fondo, es más complicado que le pase algo a la criatura. Es importante acompañar a los menores, interesarse por saber a qué están jugando.
Una adolescente de 15 años dijo que ojalá no le hubieran dado el teléfono por la ansiedad que genera estar en grupos de Snapchat y no saber qué va a pasar.
En Snapchat se habla con filtros y no se interactúa realmente. Las personas mandan fotografías con filtros y se abren DMs. Hay cuentas con mejores amigos, cuentas para temas sociales y cuentas para mirar lo que se quiera sin relacionarse.
Existen cuentas conjuntas con mejores amigas que consiguen likes en pocos minutos. Esto es un caldo de cultivo para depredadores, especialmente si las cuentas no son privadas.
Antes las redes eran superabiertas y era más fácil investigar. Ahora con la privacidad, las redes son privadas y es más difícil investigar.
En un caso de desaparición en Barcelona, una chica de 14 años se fue de casa y dejó el móvil. Se accedió al dispositivo y se encontró una sesión abierta. La chica tenía una filtración de contraseña en un e-commerce hackeado. La contraseña era el nombre de la persona más la fecha actual.
Se revisó el listado de seguidores y seguidos y se encontró a la chica en casa de una persona de 18 años en Santa Coloma de Gramanet. La chica estaba embarazada y por eso se había ido de casa.
Existen estafas del amor de pesca de red y estafas del amor como francotirador. Las de red no te escogen a ti específicamente, lanzan la red y ven quién pica. Pueden aparecer como marine americano, médico reputado o utilizando la imagen de famosos como Brad Pitt o Santiago Segura.
Las estafas del amor han evolucionado desde las cartas nigerianas hasta modalidades más sofisticadas. Actualmente las plataformas más utilizadas son Instagram y LinkedIn, siendo este último especialmente peligroso porque combina la captación con extorsiones sexuales.
El proceso comienza con pesca de red dirigida a personas que han asistido a conferencias específicas, utilizando esa información como pretexto para generar confianza. Posteriormente se propone una videollamada donde el interlocutor no es quien dice ser. Los estafadores utilizan excusas técnicas como problemas de internet para grabar a la víctima en situaciones comprometidas y luego extorsionarla.
Este tipo de estafas está afectando especialmente al ámbito militar mediante sexting, donde la víctima se desnuda o realiza actos sexuales que luego se usan para extorsión reputacional.
Existen varias variantes de esta estafa:
- La persona es conocida de la calle y posteriormente pide dinero o clona tarjetas
- La estafa del amor combinada con inversión en criptoactivos, especialmente en Tinder
- La plataforma Tinder ha tenido que implementar IA para detectar este tipo de fraudes
LinkedIn ha tenido graves problemas de exposición de usuarios y contraseñas. Las cuentas hackeadas se utilizan para:
- Enviar solicitudes de empleo falsas
- Solicitar datos corporativos mediante phishing
- Realizar fraudes de ingeniería social
El director financiero de Ferrari solicitó una acción al CEO, pero este detectó la suplantación preguntando por el nombre de un libro recomendado en el pasillo. Esta técnica de verificación de identidad mediante preguntas contextuales específicas ha demostrado ser efectiva.
Agentes de inteligencia de Corea del Norte realizan entrevistas de trabajo falsas. Cuando sospechan que el candidato es de Corea del Norte, le piden que blasfeme sobre el presidente del país, lo que revela su verdadera identidad al negarse.
La "picaresca" o inteligencia callejera puede ser más efectiva que la inteligencia formal. Un ejemplo es el uso de repartidores de Amazon infiltrados como vigilantes en barrios conflictivos, utilizando el TPV y paquetes como cobertura.
Aunque las personas creen que "a mí no me pasaría", siempre existe alguien vulnerable. En espacios públicos concurridos como las Ramblas o Gran Vía, el robo de móviles sobre mesas sigue siendo efectivo, habiendo evolucionado de usar periódicos a mapas.
En comisarías como la de Mossos d'Esquadra en Barcelona, ciudadanos extranjeros (especialmente japoneses y estadounidenses) se sorprenden al saber que no pueden recuperar sus iPhones robados sin orden judicial para acceder a pisos específicos.
En Barcelona existen tres calles específicas en el barrio del Raval que funcionan como "guarderías de iPhones" donde se almacenan dispositivos robados. La ciudad es un punto clave para la reventa de relojes de alto valor e iPhones.
Los estafadores dejan "hibernar" los iPhones robados desconectando el WiFi. Luego identifican los contactos de confianza y envían enlaces de phishing haciéndose pasar por Apple, clonando incluso el aviso legal de la página oficial.
Se ha detectado un aumento brutal de robos de iPhones en Canarias. Un dispositivo fue localizado en una tienda de compraventa de móviles en Alhucemas, Marruecos. La policía marroquí bloqueó el teléfono, pero se insinuó que con 200 euros se podría "arreglar" la situación.
Durante las revueltas en Francia se produjo un saqueo masivo de iPhones valorado en 100 millones de euros, aunque los dispositivos fueron bloqueados.
Utilizando herramientas de análisis social, se detectó un aumento masivo de productos de marcas saqueadas (Champion, Sephora) en plataformas de segunda mano. Tanto el gobierno como las marcas implementaron medidas para detener el delito de receptación.
Un cirujano italiano víctima de robo en Barcelona recibió un SMS de un número francés exigiendo el desbloqueo del iCloud. El número pertenecía a un recepcionista de hotel en París que había comprado el teléfono en el mercado negro. El dispositivo fue recuperado mediante coordinación policial.
Es fundamental solicitar facturas al comprar en plataformas de segunda mano. Para objetos de valor significativo (relojes de alta gama, cámaras), la documentación es crucial. Los dispositivos deben estar registrados en el seguro doméstico con números de serie guardados en gestores de contraseñas.
Se están recibiendo estafas donde compradores alegan que productos llegaron rotos, enviando fotografías generadas con IA (incluyendo logos de Gemini) para conseguir reembolsos fraudulentos.
Con 3 segundos de voz se puede clonar a cualquier persona para realizar transferencias bancarias. La respuesta recomendada al teléfono no debe ser "sí" sino "dígame" para evitar confirmaciones fraudulentas.
Es posible realizar spoofing desde cualquier número usando aplicaciones disponibles. Las operadoras solo verifican datos básicos como fecha de nacimiento, permitiendo modificaciones de contratos con información mínima.
Los delincuentes operan sin restricciones del código penal, civil o laboral. Utilizan equipos de baja calidad y cuentas hackeadas, permitiéndoles cambiar de perfil sin consecuencias cuando son detectados.
- Paso 1: Establecer previamente palabras clave diferenciadas por familiar
- Paso 2: Colgar inmediatamente ante cualquier solicitud de dinero urgente
- Paso 3: Verificar la identidad mediante información personal compartida exclusivamente
Si te están haciendo spoofing, cuelgas y llamas tú. Es necesario comprobar la llamada con una palabra o frase de seguridad. La tercera recomendación es securizar las comunicaciones: usar VPN de pago, no utilizar contraseñas filtradas, emplear un gestor de contraseñas y otras medidas complementarias.
Cuando se produce un hackeo, la primera pregunta es qué cuenta ha sido comprometida: correo o banco. En el caso de Apple, si hackean la cuenta de iCloud (la madre del cordero), el resto de dispositivos Apple quedan expuestos.
- Ver qué dispositivos están sincronizados para conocer la extensión de la exposición
- Identificar cuentas vinculadas de correo electrónico y número de teléfono
- Comprobar si existen copias de seguridad
- Almacenar evidencias para demostrar la propiedad de la cuenta al presentar la denuncia y escalarla a Apple
- Ir a una tienda Apple con evidencias y denuncia policial
- Pedir cita en el Genius Bar, presentar pruebas y solicitar nuevo dispositivo
- Realizar forense a los dispositivos afectados
El proceso tiene un coste elevado.
Antes se necesitaban 58 segundos de audio para clonar una voz; ahora bastan 3 segundos. Sin embargo, la voz clonada difiere del discurso creíble en aspectos como paradas, cadencia, léxico y humor.
- A un menor de edad se le daría acceso como máximo a Duolingo y Google Maps con cuentas abiertas
- Prometer que si algo no hace sentir bien, la primera persona a la que acudir es a los padres
- Los padres mantienen el control sobre las decisiones digitales, aunque se pueda negociar puntualmente
Cultural, psicológica y antropológicamente, el robo físico genera rechazo social inmediato, mientras que el crimen digital se percibe a menudo como una broma. Los delincuentes digitales ríen al respecto. Existe un componente intangible: no se ve el daño causado en el momento. Esto genera sensación de omnipotencia y permite comportamientos sádicos en redes sociales.
Muchas víctimas no denuncian estafas de 100 € por vergüenza, pensando que “la gente me dirá que soy tonto”. Esta falta de denuncia impide dimensionar el problema real y asignar recursos institucionales. Es necesario denunciar para que las instituciones paguen las cuentas pendientes y se incrementen los efectivos policiales especializados.
Todos dejan huellas digitales diariamente. Muchos clientes descubren que tienen el pasaporte subido en internet sin saberlo. Es fundamental revisar si las credenciales están públicas en haveibeenpwned.com y aplicar medidas correctoras.
Los futbolistas suelen decir “déjamelo 10 minutos que vea lo que habéis encontrado” y descubren que “van con el culo al aire por la calle”. Las redes sociales mencionadas incluyen LinkedIn, Tinder e Instagram.
Se ha producido una grave situación de ciberseguridad: grandes bancos y Google han caído. Se baraja la posibilidad de que agentes de IA estén explotando internet. El PHP (utilizado por más del 70 % de las páginas web) presentó una vulnerabilidad grave. Los grupos criminales explotan estas vulnerabilidades antes de que se detecten.
Es necesario disponer de SOC (centros de respuesta crítica) operativos 24 horas para aplicar parches inmediatamente tras detectar vulnerabilidades. Las empresas e instituciones públicas no están a la altura de las circunstancias; los autónomos usan frecuentemente @gmail y @hotmail sin doble factor de verificación.
Los profesionales de ciberseguridad son “los tuertos en el mundo de los ciegos” y se estima que quedan dos años de ventaja antes de que la IA los supere. En dos semanas se levantaron 18 aplicaciones que antes requerían 20 años de trabajo.
Selva creció en un entorno donde su padre era abogado y acudía a juicios; su madre y familia se interesaban por el análisis criminal y colaboraban con cuerpos de seguridad. Empezó trabajando muy joven en empresas familiares. Dos incidentes marcaron su vocación:
- En Barcelona (2005), en Nunti Segunda Mano, detectó anuncios sospechosos como un coche con impactos de bala
- En Berlín (2007), sufrió un grave incidente de ciberseguridad en la empresa donde trabajaba; el atacante fue a prisión y se suicidó tras grabar y retransmitir el ataque
Al regresar a Barcelona, un excompañero de colegio la acosó. Las denuncias en Mossos recibían respuestas de “okay, thank you”. Contrató a una abogada penal y buscó herramientas especializadas, contactando con Chema Alonso y expertos en Apple. Así construyó su carrera como perito judicial en paralelo a su empresa.
La divulgación y la información son esenciales. Todos, incluidos los más pequeños, son vulnerables. El tema evoluciona constantemente con la inteligencia artificial.
Keep Uri Sabat in your library
Save the videos and channels worth coming back to, and find them again in one place.
