Una de las piezas clave en cualquier empresa son sus empleados, y en ESET no somos una excepción. Contamos con una plantilla que trabaja duro para ofrecer soluciones de seguridad efectivas contra el malware, fáciles de usar y que tengan el menor impacto posible en el sistema. Y para estar al día con las nuevas amenazas es necesario contar con un laboratorio de análisis de malware en el que trabajen investigadores con reputación internacional.

Juraj Malcho es el Director de Investigación de los laboratorios de ESET en el mundo. En su última visita a las oficinas centrales de Bratislava, Eslovaquia, el equipo de ESET España le realizó la siguiente entrevista:

Cuéntanos, Juraj, ¿cuándo empezaste a interesarte por la informática?

Si no recuerdo mal fue a principios de los '90. Todo empezó como un hobby realizando ingeniería inversa a diferentes tipos de software que caían en mis manos. En aquella época tenía que investigar por mi cuenta, buscando recursos por todas partes y consultando información básica en las primitivas BBS.

Empecé utilizando MS-DOS como sistema operativo y aprendiendo lenguajes de programación como ensamblador y Turbo Pascal en el instituto con un viejo Sharp MZ80B. También di mis primeros pasos descifrando y analizando volcados de memoria, algo que me sirvió también para descubrir el funcionamiento de los binarios. En esa época empecé también a aprender inglés, lo que me permitió acceder a revistas extranjeras y ver los programas que se realizaban fuera de Eslovaquia.

Mi primer acceso a Internet de forma limitada no se produjo hasta 1995, cuando se empezó a utilizar en colegios y universidades. Empecé a participar en competiciones de programación y a desarrollar aplicaciones básicas y utilizar herramientas como Soft Ice, así como a conocer el uso de las API en Windows.

Este conocimiento me permitió empezar a analizar programas y a desarrollarme como programador.

¿Y cuál fue tu primer contacto con ESET?

Bueno, ESET es una empresa muy conocida en Eslovaquia ya desde su creación en 1992. En aquella época yo me consideraba un fan de ESET, y tras una experiencia laboral en otra empresa decidí dar el salto y optar a un puesto de trabajo aquí. Conseguí una entrevista con Miroslav Trnka, uno de los fundadores de la empresa y me respondió: “Si puedes convencerme para que te contrate en menos de 20 minutos, el puesto es tuyo. Tras ese tiempo, he de irme a comer”. Al parecer fui lo suficientemente persuasivo porque han pasado muchos años y sigo en la empresa (risas).

Mi primera labor en ESET fue la de analizar malware y, aunque no lo había hecho anteriormente, gracias a mi experiencia con la ingeniería inversa de software, fue sorprendentemente fácil llegar a detectar las partes interesantes de un virus.

Supongo que en todos estos años habrás visto todo tipo de malware. ¿Cuál dirías que es la diferencia más destacable entre el de antaño y el de ahora?

Digamos que antes los creadores de malware tenían un punto de investigación, curiosidad e incluso algunos lo consideraban algo divertido. Ahora todo se mueve por las ganancias que generan las nuevas amenazas, ya sean en forma de dinero o de información. Hay muchas mafias metidas en la creación de malware y cualquiera con un poco de dinero y sin saber nada de programación puede generar nuevas amenazas con los kits que se venden en foros underground.

También hemos visto recientemente cómo los criminales están apuntando cada vez más al Internet de las cosas y esos dispositivos resultan muchas veces difíciles de proteger. Es por eso que actualmente colaboramos con varias universidades para investigar más a fondo este tema.

Además, actualmente existe todo un mercado de compraventa de vulnerabilidades, lo que hace que gente sin escrúpulos las venda al mejor postor, junto a pruebas de concepto que demuestran su viabilidad, sin importar el daño que puede ocasionar a millones de personas.

Desde el laboratorio de ESET, ¿cómo ayudan a la gente a protegerse de esas nuevas amenazas?

ESET se fundó con la idea de ayudar a la gente a defenderse de las amenazas informáticas. Por eso todas las vulnerabilidades que descubrimos en nuestro departamento de investigación son reportadas a las empresas afectadas. Sabemos que existen otros modelos de seguridad ofensiva y hay empresas que están haciendo mucho dinero con eso pero nosotros estamos en contra de utilizar las vulnerabilidades como un arma.

Nuestra capacidad a la hora de encontrar nuevas vulnerabilidades depende mucho de la situación y los límites en personal y presupuesto que tengamos en ese momento. Está claro que como empresa de seguridad tienes más poder de llegada a la hora de avisar a una empresa sobre un fallo en su software que si lo haces de forma individual, pero no por eso los investigadores independientes dejan de ser importantes. Hay que encontrar un equilibrio entre una revelación de vulnerabilidades completa y responsable.

Como conclusión, ¿qué consejos podrías dar a los usuarios, ya sean particulares o corporativos?

Ante todo, concientización. Aún hay mucha gente que solo tiene en cuenta las medidas de seguridad físicas y no las digitales y ambas son igualmente importantes. Debemos darnos cuenta de una vez de que no existe apenas diferencia entre la vida real y la digital. De hecho, hay mucha gente que vive más tiempo en el mundo digital, bien por trabajo o por decisión propia. Es por eso que debemos cuidar nuestra vida digital de la misma forma que hacemos en la vida real.

El crimen va a ser el mismo, a día de hoy, cualquiera puede encontrar toneladas de información y herramientas en Internet para hacer más segura su vida digital. Los jóvenes de hoy en día son un buen ejemplo de personas que se han educado al mismo tiempo en ambos mundos, digital y real, pero hay que hacer hincapié para que, a través de buenas prácticas, disfruten de la tecnología de forma segura.

De la misma forma, los empleados de una empresa también han de ser conscientes de los riesgos que corren, tanto ellos como los activos de su empresa, si no se aplican unas medidas de seguridad básica. Los cursos periódicos de concienciación y educación son vitales para evitar las fugas de información no deseada y evitar que los sistemas de nuestra empresa se vean afectados por un malware, perdiendo producción y reputación.