Javier Tobal

Ciberseguridad: CISO en @AstaraMobility, Perito judicial informático.

[Javier Tobal @JaviTobal]

Resumen del "Cybersecurity Summit 2025". Organizado por @ComputerworldES. Participé en la sesión "IA, datos y automatización, el triunvirato para responder a las amenazas"
https://t.co/gY55Tln3w1

[Mambo Italiano @mamboitaliano__]

Social media trends have turned the world’s most beautiful places into endless bathroom lines at a concert, where everyone waits for hours just to take the same photo to show to people who couldn’t care less 🌎📸

Nothing captures the shallow decay of our time better than this

[Antonio Ortiz @antonello]

Hoy doy una conferencia en una universidad de informática sobre IA y el momento e impacto en ingeniería software.

Pues bien, casi les resumiría que lo que tienen que leer y entender es el post del CTO de Mercadona, Pérez Agüera, sobre cómo han construido su propio buscador para la tienda online.

Les diré que aunque la explicación técnica es estupenda, se fijen en cómo piensa el problema y cómo valoran la decisión:

El buscador es la puerta principal de una tienda online. Mercadona maneja 4,4 millones de búsquedas semanales, y un 4% sin resultados equivalía a 176.000 usuarios frustrados por semana.

Construir el buscador propio les dio control sobre el ranking, mejora dirigida con datos reales, propiedad del conocimiento y una fracción del coste de un SaaS.

Cómo han pensado las métricas para valorar si hay mejora, cómo es que aunque haya mucho Claude Code para la productividad del desarrollo, el criterio humano guía, valora, retroalimenta, controla y entiende el prooceso completo. Cómo con IA la ecuación entre "construyo solución o tiro de un saas que lo haya hecho", cambia.

Un punto extra, el CTO de Mercadona defiende la filosofía de compartirlo como un valor de la empresa.

En mi opinión es un regalazo: como decía @antor en un episodio de monos estocásticos, ahora mismo está todo el mundo inventando la forma de trabajar con inteligencia artificial agéntica en desarrollo. Mostrar estos casos de éxito eleva a todo el sector.

Mis dieses, https://t.co/f0JkYifjwB

[Aníbal Rojas @anibal]

“Mark Zuckerberg acaba de describir la muerte de la conexión humana en internet y nadie se inmutó.”

“Una frase. Quince años de erosión en doce palabras.”

“Mark Zuckerberg: ‘Las redes sociales comenzaron siendo principalmente un espacio donde las personas interactuaban con sus amigos. Y ahora… al menos la mitad del contenido es básicamente gente interactuando con creadores.’”

“Antes abrías tu teléfono para ver qué estaban haciendo tus amigos.”

“Ahora lo abres para ver a desconocidos.”

“Tú no elegiste esto. El algoritmo lo eligió por ti.”

“Puso a prueba a tus amigos contra desconocidos optimizados.”

“Tus amigos perdieron. Cada vez.”

“Un desconocido con mejor iluminación, mejor timing y un mejor gancho captó tu atención tres segundos más que alguien que te quiere.”

“Así que el algoritmo enterró las fotos de la boda de tu mejor amigo debajo de un video de cocina de alguien en Dubái a quien nunca has conocido.”

“Y viste el video de cocina.”

“Ese fue el primer reemplazo. Amigos por desconocidos. Apenas lo notaste.”

“El segundo ya está en marcha.”

“Si el algoritmo ya demostró que los desconocidos superan a tus relaciones reales, y la IA ahora puede crear un desconocido más atractivo que cualquier humano vivo, las cuentas se hacen solas.”

“La IA no tiene una mala semana. No publica algo descuidado y pierde el favor del algoritmo. No se agota.”

“Cada palabra calibrada.”

“Cada imagen ajustada.”

“Cada pausa colocada en el intervalo exacto que evita que tu dedo se deslice.”

“Un creador humano compitiendo contra eso es como tallar tabletas de piedra en un mundo que acaba de inventar la imprenta.”

“La economía ni siquiera se acerca.”

“Una persona necesita pagar renta, dormir y motivación.”

“La máquina necesita electricidad.”

“Cuando el costo de generar contenido perfecto llega a cero, el feed se llena de rostros que no existen.”

“Voces que se sienten familiares.”

“Opiniones que reflejan las tuyas lo suficiente como para generar confianza.”

“Personalidades creadas desde cero para sentirse como alguien a quien conoces desde hace años.”

“No sabrás cuándo ocurre el cambio.”

“Ese es el punto.”

“Al feed no le importa si lo que capta tu atención tiene pulso. Le importa si te quedas.”

“Y una máquina que conoce tus patrones mejor que tú mismo siempre te retendrá más tiempo que cualquier persona.”

“Esto no es una advertencia. La mitad ya ocurrió.”

“Perdiste a tus amigos frente a desconocidos y no lo notaste.”

“Perderás a los desconocidos frente a las máquinas y los llamarás amigos.”

“En algún lugar, en otra app, en otra pestaña, en la habitación en la que estás sentado ahora mismo, alguien que realmente te conoce está viviendo un momento que nunca verás.”

“No porque haya dejado de compartirlo.”

“Sino porque dejaste de estar donde ocurría.”

[vx-underground @vxunderground]

There is a project on GitHub called Axios.

Axios is extremely popular. It is used by millions upon millions of applications.

Axios is a programming library that helps your JavaScript code make HTTP/S requests (communicate with websites).

In simple terms, if you're a programmer doing something with JavaScript, and want to do stuff that communicates with a website in literally any capacity, people heavily recommend using Axios due to its simplicity. Using Axios you don't have to reinvent the wheel and do a bunch of work. All you need to do is import Axios into your code and you're off to the races.

Someone (currently unknown) compromised Axios (currently unknown how) to deliver malware to people. When someone updates or installs Axios, Axios itself contains malware.

What the malware does is (currently) unknown, but it is being reversed engineered by probably every malware analyst on the planet at this moment. In a few hours more details will emerge. Information is being exchanged in real time on social media and private communication platforms as I write this.

Due to the size and popularity of Axios, it is unknown how many are impacted, it could be millions, it could be thousands, or if we're lucky, only hundreds of people or organizations will be impacted.

If this is absolute worst case scenario, millions of organizations across the planet have been infected with malware which (currently) we do not understand. However, the likelihood of this is low. It appears Axios being compromised was detected quickly, potentially within minutes (or hours) of it being compromised to deliver malware. Additionally, the likelihood of every single Axios user updating Axios as soon as it was compromised to deliver malware is astronomically low. It is basically zero.

The impact from Axios being compromised is devastating, the fallout from this will be a massive headache. This is unironically a malware nuclear missile and will likely be studied in the future.

[Tuki @TukiFromKL]

🚨 Andrej Karpathy just explained the scariest thing happening in software right now..

someone poisoned a Python package that gets 97 million downloads a month.. and a simple pip install was enough to steal everything on your machine..

SSH keys.. AWS credentials.. crypto wallets.. database passwords.. git credentials.. shell history.. SSL private keys.. everything..

and here's the part that should terrify every developer alive..

the attack was only discovered because the attacker wrote sloppy code.. the malware used so much RAM that it crashed someone's computer.. if the attacker had been better at coding.. nobody would have noticed for weeks..

one developer.. using Cursor with an MCP plugin.. had litellm pulled in as a dependency they didn't even know about.. their machine crashed.. and that crash saved thousands of companies from getting their entire infrastructure stolen..

Karpathy's take is the real wake up call.. every time you install any package you're trusting every single dependency in its tree.. and any one of them could be poisoned..

vibe coding saved us this time.. the attacker vibe coded the attack and it was too sloppy to work quietly.. next time they won't make that mistake.

[SONIA @S0N_IA]

🚨Esto es una locura.

143 millones de personas creían que estaban capturando Pokémon. En realidad, estaban creando uno de los conjuntos de datos visuales del mundo real más grandes de la historia de la IA.

Niantic acaba de revelar que las fotos y los escaneos de realidad aumentada recopilados a través de Pokémon Go han generado un conjunto de datos de más de 30 mil millones de imágenes del mundo real. La compañía ahora está utilizando esos datos para potenciar la IA de navegación visual de los robots de reparto.

Los participantes no se limitaron a pasear con sus teléfonos. Escanearon lugares emblemáticos, escaparates, parques y aceras desde todos los ángulos, a cualquier hora del día, con condiciones de luz y climáticas que ninguna fotografía profesional podría haber capturado. Documentaron el mundo físico a una escala que ninguna empresa de cartografía con una flota de vehículos podría haber replicado en el mismo plazo ni con el mismo presupuesto.

Niantic recopiló estos datos de forma sistemática, dato por dato, a lo largo de ocho años, mientras que los usuarios pensaban que lo único que estaba en juego era capturar un Charizard raro.

Los conjuntos de datos de entrenamiento de IA más valiosos del mundo no se están recopilando en centros de datos. Los están creando personas que no tienen ni idea de que los están creando.

[Eugene Kaspersky @e_kaspersky]

You might’ve already heard about the Notepad++ hack. We’re sharing some details of the execution chains and new IoCs: https://t.co/T74L1aMBbO

[Slashdot @slashdot]

Notepad++ Compromised By State Actor https://t.co/1rGfxXykKP

[Food for Life-Spain @Food4LifeSPAIN]

@esFIAB @groditech @fresh_check @Maria1Naranjo @naria_digital @azti_brta @CTCAlimentacion @3DSIberia @Carmencitaspice @Cajamar @vickyfoods @almacarraovejas 📢 Eva (@almacarraovejas), ha presentado varios casos de éxito de #Almacarraovejas

👉 Entre estos, ha destacado la mejora en el rendimiento de la vendimia, gracias a la predicción realizada a partir de imágenes satelitales e índices agronómicos.

#Alibetopías

[Javier Tobal @JaviTobal]

The AI Attack Surface Map https://t.co/TvsJab65Eq by María Rojo (@EnthecSolutions)

[Julio César Miguel @juliocesarlopd]

🤔¿ENS o NIS2? ¿Por qué no todo?

La nueva guía del CCN te lo pone mucho más fácil.
Ya está disponible la actualización de la guía CCN-STIC 890❗

📎Incluye la Directiva NIS2
📎Establece 38 medidas de seguridad para facilitar la certificación ENS en categoría BÁSICA

🧶⤵️

[Javier Tobal @JaviTobal]

UNATI pretende aportar la mejor evidencia sobre los consejos acerca del consumo de alcohol y sus efectos en la salud.

Es un proyecto europeo y están reclutando voluntarios.
¡únete!

https://t.co/mMHHcJTE5V

[David Bonilla @david_bonilla]

Pues con C++, LO CLAVAN.

[Javier Tobal @JaviTobal]

'Así evoluciona el sector de la ciberseguridad, con Ana Gómez y Javier Tobal' by Conversaciones sobre ciberseguridad https://t.co/U7qaVeaEYh

[Javier Tobal @JaviTobal]

Muy Interesante video (30 min):
Episodio 3: Neoguerra e infraestructuras críticas - En clave segura https://t.co/YxH5tO9cTy con @s2grupo y @INCIBE entre otros

[FEDER | Enfermedades Raras @FEDER_ONG]

🍀¡Hoy es el Día Mundial de las #EnfermedadesRaras!🍀

Un día para dar voz a quienes conviven con estas patologías, visibilizar sus necesidades y seguir avanzando juntos.

Porque cada historia importa, cada avance cuenta y juntos podemos cambiar el futuro.💜

[Troy Hunt @troyhunt]

You absolute muppet, Ghulam 🤦‍♂️

[Javier Tobal @JaviTobal]

Fraude de afiliados mediante plugin que busca cupones descuento. #Honey #Paypal vía #smashingSecurity

https://t.co/FPY4vQOz9r

[Javier Tobal @JaviTobal]

@MichaelSLaufer cc @4ThievesVinegar

[Javier Tobal @JaviTobal]

It's probably my fault... I was reviewing a very-very-interesting talk from @MichaelSLaufer at #38c3 event last december... and, suddenly, It (the video) has vanished!!!
Post-crime censorship?
Did anyone downloaded the clip?