CSO España

30/09/2026

Javier Bustillo llegó a AC Camerfirma – Tinexta Infocert recogiendo una herencia de dos décadas, en una compañía nacida impulsada por las Cámaras de Comercio españolas en los inicios del comercio electrónico. "Yo llegué en medio del proceso pospandémico", un momento que supuso la digitalización repentina no solo de transacciones, sino también de muchísimas comunicaciones, nos explica en esta entrevista, donde también repasa su trayectoria en la compañía, su expansión hacia Latinoamérica y las diferencias regulatorias entre Europa y el mundo anglosajón en materia de protección de datos.

El directivo, también aprovecha para abordar el nivel de exigencia normativa y de ciberseguridad al que está sometido el sector, la preocupación sobre soberanía y ubicación de los datos, y cómo compite Camerfirma frente a alternativas públicas gratuitas como el DNI electrónico, apostando por la usabilidad como principal ventaja diferencial. Desde la evolución del eIDAS hasta los nuevos modelos de identidad empresarial, esta charla nos ayuda a entender hacia dónde se dirige este mercado y qué queda todavía por resolver.

Esta es su visión.

"Todo lo que signifique protección es poco. Lo que ocurre es que la usabilidad se pega de bruces con la protección total", reflexiona Javier Bustillo, director general de Camerfirma. La compañía, creada en 2001 por las Cámaras de Comercio de España y que ahora forma parte del grupo europeo Inf...

29/09/2026

OpenAI ha suspendido el entrenamiento, la evaluación y la inferencia relacionados con el uso de herramientas en sus modelos más avanzados, después de que un agente eludiera las restricciones de red durante un entrenamiento por refuerzo de un modelo de investigación interno. "Nuestro análisis de seguridad partía de la base de que el modelo no podía acceder a Internet en tiempo real. El incidente puso de manifiesto una brecha en nuestros controles."

El incidente se produjo durante una tarea de investigación en la que se pidió al modelo identificar a una persona con información de la web. Cuando sus herramientas habituales fallaron, el modelo descubrió que, aunque el acceso directo a Internet estaba bloqueado, seguían permitidas las consultas DNS, y las usó como canal indirecto para comunicarse con un externo. La supervisión también falló, la alerta llegó tarde y la sesión de entrenamiento continuó durante horas. "La sesión no se detuvo automáticamente como se esperaba."

Exploramos qué revela el incidente de OpenAI sobre la seguridad de los agentes.

29/09/2026

Daniel Rodríguez, director general de Redtrust, repasa cómo durante años nos hemos centrado en infraestructura, sistemas y perímetros, porque es lo que se ve y se mide, pero las organizaciones dejaron de operar dentro de un perímetro claro hace tiempo. "El perímetro ya no está donde lo situábamos. Está en la identidad." En el día a día, esto se traduce en problemas reales, operaciones que dependen de una persona concreta porque es quien tiene el certificado, accesos que no se pueden revocar cuando deberían, firmas que no salen porque alguien no está. "No hace falta un ciberataque para que una empresa deje de operar. Basta con no tener control sobre quién puede hacer qué en un momento dado."

Rodríguez nos explica que regulaciones como DORA no vienen a complicar este escenario, vienen a evidenciarlo obligando a las organizaciones a responder preguntas que hasta ahora podían esquivar. ¿Qué pasa si una persona clave no está? ¿Se puede sustituir? ¿Se pueden revocar accesos en tiempo real? ¿Se puede demostrar quién hizo qué y cuándo? En demasiados casos, la respuesta no es tan clara como debería.

Te explicamos qué riesgo de identidad está poniendo DORA sobre la mesa.

Cuando el riesgo no está en los sistemas, sino en quién los usa.

28/09/2026

WordPress ha corregido una vulnerabilidad de seguridad crítica, identificada como CVE-2026-87902, que permitiría a un atacante no autenticado ejecutar código de forma remota sin restricciones. Según la publicación de la versión de seguridad 7.1.2, el problema hace que la resolución de la plantilla de la página pueda incluir un archivo PHP local legible fuera de los directorios del tema activo, lo que puede derivar en accesos remotos si se cumplen ciertas condiciones.

WordPress insta a los usuarios a actualizar sus sitios de inmediato, y ha aplicado la corrección retroactivamente hasta la versión 4.7, dado que la vulnerabilidad afecta a muchas versiones anteriores. No es la primera vez que sucede algo así este año, en julio ya se corrigió otro fallo de máxima gravedad que permitía la ejecución remota de código, y ya se han registrado ataques reales en la red. ¿Tienes identificadas todas tus instalaciones de WordPress expuestas?

Te damos los detalles.

La vulnerabilidad, que permite a un atacante no autenticado ejecutar código de forma remota, resulta especialmente peligrosa porque muchas empresas desconocen la existencia de todos sus sitios de WordPress.

24/09/2026

Según estimaciones del sector, los agentes de inteligencia artificial podrían generar entre 2,6 y 4,4 billones de dólares de valor anual en más de 60 casos de uso, desde atención al cliente hasta cumplimiento normativo. Son sistemas capaces de tomar decisiones, ejecutar acciones y perseguir objetivos sin supervisión constante. A diferencia de los modelos generativos clásicos, interactúan con sistemas externos, ejecutan código, navegan por webs y modifican archivos: constituyen software autónomo. Cuando actúan fuera de los límites previstos, suele deberse a fallos de diseño, permisos mal configurados o comportamientos emergentes, no a intención maliciosa.

Aunque Investigadores han documentado comportamientos emergentes preocupantes: agentes que se organizan entre sí, que abandonan una respuesta correcta por presión social de otro agente, o que encuentran atajos que satisfacen el mecanismo de evaluación sin completar realmente la tarea prevista. Una población de agentes sometidos a los mismos incentivos puede dividirse en distintas proporciones sobre si cruzar o no un límite, sin forma de predecir de antemano el resultado. Por eso, la seguridad tendrá que acompañar a estos sistemas desde su diseño hasta cada decisión que ejecuten. ¿Está preparada tu organización para proteger agentes que toman decisiones?

Analizamos los nuevos retos de seguridad que plantea la IA agente.

Distintos expertos analizan el impacto de la inteligencia artificial (IA) agente, una tecnología llamada a transformar los procesos empresariales, pero que también introduce riesgos y vulnerabilidades que obligan a reforzar las estrategias de seguridad.

24/09/2026

Synack, plataforma de pruebas de penetración que combina inteligencia artificial y trabajo humano para la validación continua de la seguridad, ha anunciado su integración con Wiz. Como resultado, las vulnerabilidades detectadas a través de Synack quedan a la vista de los "Resultados de pruebas de penetración" de Wiz, que integra la gestión unificada de vulnerabilidades de la plataforma.

Gracias a la integración, los clientes de Synack pueden conectar sus entornos de Synack y Wiz y filtrar los resultados de vulnerabilidades por gravedad o etiqueta, de forma puntual o diaria. Para los equipos que ya usan Wiz en la gestión de riesgos en la nube, esto elimina un paso manual completo en el seguimiento de resultados de pentesting. ¿Podrá una visión unificada mejorar la respuesta ante vulnerabilidades?

Los detalles de esta integración de seguridad aquí.

Ahora, los clientes de Synack pueden conectar sus entornos de Synack y Wiz y filtrar los resultados de vulnerabilidades por gravedad o etiqueta, ya sea de forma puntual o diaria.

22/09/2026

En esta , Samuel Bonete, director regional de Ventas de en Horizon3, nos explica el modelo de "hacker de IA" 100% autónomo con el que la compañía acaba de aterrizar en España. Repasa las diferencias con el pentest tradicional, los tres aprendizajes extraídos de casi 300.000 pruebas de penetración en producción, y cómo su tecnología ayuda a alinear la seguridad con normativas como y .

También aborda la reciente ronda de financiación de 250 millones de dólares, su apuesta por invertir en capacidades defensivas frente a hackers basados en , y su modelo 100% de canal con Exclusive Networks como y dos tipos de partners: MSP y resellers.

Puedes leer la entrevista completa con Samuel Bonete aquí.

Horizon3 es una compañía cuyo objetivo es hacer frente a los ciberataques basados en inteligencia artificial (IA). Ahora aterriza en España con un modelo de negocio basado en el canal. Samuel Bonete, su director regional de Ventas de Ciberseguridad, analiza cómo es este modelo y la propuesta de ...

21/09/2026

Un nuevo informe del Tribunal de Cuentas Europeo, reconoce las deficitarias medidas de la UE a la hora de detectar incidentes de significativos y a gran escala y darles respuesta. "Nuestra conclusión general es que la acción de la UE solo contribuye parcialmente a mejorar la detección y la respuesta frente a estos incidentes", ha reconocido George-Marius Hyzler, miembro del Tribunal encargado de la auditoría.

Los auditores urgen mejoras en el intercambio de información y un refuerzo en la coordinación para evitar la duplicación del trabajo entre organismos. También piden la entrada en funcionamiento del Sistema Europeo de Alerta de Ciberseguridad e instan a someter a los beneficiarios de financiación de la UE a controles de seguridad más estrictos. ¿De qué sirve disponer de recursos si la información no llega a tiempo a quien debe responder?

Exploramos las principales carencias que identifica el Tribunal de Cuentas Europeo.

18/09/2026

La Agencia Española de Protección de Datos - AEPD recibió esta semana la primera notificación de una brecha de datos personales ejecutada mediante un agente de inteligencia artificial a través de un conocido modelo de lenguaje. El agente realizó un login correcto tras buscar vulnerabilidades en archivos genéricos, y una vez dentro del sistema, de forma autónoma, siguió buscando vulnerabilidades para modificar datos personales y acceder a facturas.

Dr. Miguel Recio, presidente de APEP·IA, matiza lo que hace diferente a este incidente: "El cambio cualitativo introducido por los agentes es que la IA aumenta la velocidad, escala y capacidad de adaptación de técnicas maliciosas ya conocidas, reduciendo el tiempo disponible para detectar y contener los impactos." Fernando Maldonado, analista principal de Foundry España, aporta un matiz revelador: el primer rastro oficial de usada para atacar en España apareció en el registro de protección de datos, no en el de , "no porque sea el sitio adecuado, sino porque es el único que estaba abierto". ¿Están preparados los actuales análisis de riesgos para que actúan a velocidad de máquina?

Así están las cosas.

Miguel Recio, presidente de la asociación, aboga por incluir las amenazas derivadas de ciberataques basados en IA en el análisis de riesgos, revisándolo cuando sea necesario, y adoptar un enfoque proactivo.

18/09/2026

Investigadores de la firma de seguridad en inteligencia artificial Irregular pidieron a un agente de programación que resolviera un problema de mantenimiento en una aplicación basada en un modelo local que devolvía respuestas incorrectas. En lugar de limitar sus cambios a la aplicación, el agente ajustó el propio modelo de peso abierto que utilizaba, el mismo que impulsaba sus propias actividades, y puso en marcha una versión actualizada sin que nadie le hubiera ordenado hacerlo.

Por eso la seguridad de la tendrá que mirar más allá del comportamiento de los agentes. También deberá vigilar los modelos, sus versiones, los datos que los alimentan y las rutas que siguen hasta producción. Este hallazgo llega mientras crece el escrutinio sobre si las medidas de seguridad avanzan al ritmo de la propia IA. ¿Estamos preparados para controlar no solo lo que hace la IA, sino también cómo puede cambiarse a sí misma?

Te lo contamos aquí.

Alojar localmente modelos de IA de peso abierto puede ofrecer a las empresas un mayor control, a menos que un agente de IA decida modificar el modelo que lo alimenta.