Charlas:
Ponente: Yago Fernández Hansen.
El phishing y el BEC siguen siendo uno de los principales vectores de compromiso inicial, y los atacantes ya utilizan IA, códigos QR y técnicas cada vez más sofisticadas para evadir los controles tradicionales.
En esta charla se presenta una plataforma de código abierto capaz de convertir un correo reportado en un caso forense completo en menos de 30 segundos, generando veredicto, categoría de amenaza, IOCs, mapeo MITRE ATT&CK, recomendaciones de respuesta y ticket automático en Jira.
El sistema combina once agentes de IA con una ruta determinista de respaldo para seguir funcionando incluso cuando el modelo falla. Durante la sesión se mostrarán demos reales de prompt injection, quishing, análisis SPF/DKIM/DMARC, enriquecimiento con threat intelligence y funcionamiento con el LLM desactivado.
Una charla práctica sobre IA defensiva, Blue Team, ChatOps, agentes autónomos y MLSecOps, con código real y demos en directo.
Ponente: Josep Albors.
En los últimos meses hemos detectado una evolución preocupante en las operaciones destructivas contra infraestructuras críticas europeas, con especial énfasis en el grupo Sandworm y su actividad en Polonia y Ucrania.
Este grupo mantiene una campaña sostenida de sabotaje mediante el uso de wipers contra sectores gubernamentales, energéticos, logísticos y alimentarios ucranianos, con el objetivo de debilitar la economía y la resiliencia operativa del país.
Entre estas investigaciones se consiguió identificar y analizar DynoWiper, un nuevo malware de borrado de datos desplegado contra una empresa energética en Polonia. La operación fue atribuida a Sandworm con un grado de confianza medio, destacando además similitudes tácticas con incidentes previos registrados en Ucrania.
Este caso resulta especialmente relevante porque conecta la continuidad histórica de Sandworm con la creciente presión sobre la infraestructura energética europea.
La ponencia explora estas conexiones y destaca lecciones prácticas para la defensa OT/IT, la detección temprana y la resiliencia frente a amenazas orientadas a la destrucción.
Ponente: Luis Diago.
One4llGPT es una iniciativa de Cyber Threat Intelligence (CTI) de código abierto y sin finalidad comercial, orientada a mejorar y agilizar el Ciclo de Inteligencia mediante la automatización de los procesos de recopilación, normalización, correlación y análisis de información procedente de fuentes abiertas.
La plataforma está diseñada para procesar de forma unificada información heterogénea procedente de múltiples fuentes, entre ellas vulnerabilidades, muestras y amenazas de malware, noticias, filtraciones de información, canales de mensajería y diferentes artefactos de interés forense. Asimismo, incorpora mecanismos automatizados para generar informes de inteligencia estructurados, reduciendo el tiempo necesario para transformar grandes volúmenes de datos en información útil y accionable, es decir, el denominado Time-to-Intelligence.
Uno de los principales elementos diferenciales de One4llGPT es la integración de modelos de lenguaje ejecutados íntegramente en infraestructura local. Este enfoque permite mantener el control sobre la información procesada, preservar la confidencialidad de los datos y evitar dependencias de servicios, licencias o plataformas propietarias externas. De este modo, los datos permanecen dentro de la infraestructura desplegada y no necesitan ser enviados a servicios ubicados en terceros países. Todo ello se desarrolla bajo una iniciativa de código abierto creada desde España.
La presentación tiene como objetivo mostrar cómo diseñar y desplegar una arquitectura capaz de ejecutar y aprovechar modelos de lenguaje de forma eficiente en entornos locales, controlados y seguros. Asimismo, se mostrará cómo aplicar tecnologías de código abierto para automatizar y optimizar las distintas fases del Ciclo de Inteligencia CTI, desde la obtención y procesamiento inicial de los datos hasta su análisis y la elaboración final de productos de inteligencia.
Ponente: Pedro Candel.
La llegada de la señal V16 conectada y su integración con la plataforma DGT 3.0 ha generado numerosas dudas y debates en torno a su funcionamiento, comunicaciones y seguridad. En esta charla analizaremos desde un punto de vista técnico cómo funciona realmente este ecosistema de movilidad conectada y qué hay detrás de estas balizas.
La sesión recorrerá la arquitectura de DGT 3.0, los requisitos regulatorios, los protocolos de comunicación y modelos de datos, así como la integración de las balizas mediante APIs REST y redes móviles NB-IoT/LTE-M. También profundizaremos en el funcionamiento interno de una V16 mediante análisis de hardware, reversing de firmware e instrumentación del dispositivo.
Desde la perspectiva de la ciberseguridad, se estudiarán las principales superficies de ataque y vectores identificados, incluyendo posibles escenarios relacionados con manipulación de parámetros, spoofing de eventos, extracción de credenciales y limitaciones en la integridad y autenticidad de las comunicaciones.
La charla incluirá además demostraciones prácticas de reversing sobre el firmware de una baliza V16 y una aplicación móvil asociada a estos dispositivos, junto con vídeos que muestran el dumpeo del firmware y el envío de datos en tiempo real al fabricante.
El objetivo será separar mitos y realidades sobre la V16 y DGT 3.0, mostrando cómo funciona realmente esta tecnología, qué información intercambia y cuáles son sus principales implicaciones desde el punto de vista de la ciberseguridad, privacidad e IoT.
Ponentes: Beatriz Portela y Martina Matarí
A través del caso “No robó documentos, pidió resúmenes”, que se presentará en primicia, mostraremos cómo un atacante puede convertir accesos aparentemente limitados en una fuente de inteligencia de gran valor. Correos electrónicos, documentos internos, conversaciones de chat, tickets de soporte, actas de reuniones o notas de proyectos pueden parecer piezas de información aisladas y poco relevantes por separado, pero un asistente interno con acceso a estos datos puede relacionarlos, resumirlos y contextualizarlos mediante prompts específicamente diseñados.
El objetivo será analizar cómo un atacante podría utilizar estas capacidades para reconstruir información sobre la organización, identificar tecnologías y proveedores, comprender procesos internos, localizar posibles puntos débiles, descubrir relaciones entre empleados y sistemas o detectar información útil para preparar ejercicios ofensivos posteriores. En lugar de buscar o exfiltrar directamente documentos sensibles, el atacante podría solicitar al propio asistente que sintetizase, cruzase y priorizase la información disponible, transformando grandes volúmenes de datos dispersos en inteligencia accionable.
Este caso permitirá explorar un cambio importante en el modelo de amenaza: el riesgo no reside únicamente en qué información puede consultar un usuario o una identidad comprometida, sino también en qué conclusiones puede generar un sistema de IA a partir de múltiples fuentes a las que ya tiene acceso.
Ponentes: José Meseguer y Rafael Carnicer
El 29 de diciembre de 2025, una campaña coordinada atacó al menos 30 instalaciones eólicas y fotovoltaicas en Polonia, provocando la pérdida de comunicación y control remoto por parte de los operadores de distribución, aunque la generación eléctrica continuó. Un informe posterior de CERT Polska reveló la complejidad del ataque y su potencial impacto, que podría haber derivado en un apagón a gran escala.
En esta charla reconstruiremos lo sucedido a partir de la evidencia publicada, analizando las vías de acceso utilizadas, como conexiones VPN y credenciales por defecto, así como las acciones contra equipos de comunicaciones, RTU y controladores industriales. A través de un relato accesible y sin profundizar en detalles excesivamente técnicos, explicaremos qué ocurrió, cómo se llevó a cabo el ataque y por qué sus consecuencias fueron limitadas, a pesar de su potencial.
También abordaremos la importancia de la ciberseguridad en entornos OT distribuidos, las dificultades para proteger infraestructuras energéticas y el uso de la ciberseguridad industrial como arma ofensiva militar. A partir de este incidente, plantearemos qué cambios en el diseño y la operación de las instalaciones renovables podrían ayudar a prevenir ataques similares y limitar su impacto.
Para finalizar, realizaremos una demostración práctica de hacking industrial, relacionada con el ataque de Polonia, en la que mostraremos visualmente cómo es posible aprovechar vulnerabilidades para manipular sistemas de comunicación y control industrial, llegando incluso a paralizar procesos físicos mediante acciones remotas.
Ponentes: Carmen Fernández Arrebola