Script de PowerShell para restaurar la carpeta "inetpub" vacía de Windows

Microsoft ha publicado un script de PowerShell para restaurar la carpeta «inetpub» vacía, creada por las actualizaciones de seguridad de Windows de abril de 2025, si se elimina. Como Microsoft advirtió previamente, esta carpeta ayuda a mitigar una vulnerabilidad de escalamiento de privilegios de alta gravedad en la Activación del Proceso de Windows (WPA).

En abril, tras instalar las nuevas actualizaciones de seguridad, los usuarios de Windows descubrieron repentinamente que se había creado una carpeta vacía, C:\Inetpub. Dado que esta carpeta está asociada con Internet Information Server de Microsoft, resultaba confuso que se creara cuando el servidor web no estaba instalado.

Esto provocó que algunos usuarios eliminaran la carpeta, lo que los volvió vulnerables a la vulnerabilidad corregida. Microsoft indicó que los usuarios que la eliminaron pueden volver a crearla manualmente instalando Internet Information Services desde el panel de control «Activar o desactivar las características de Windows» de Windows.

Una vez instalado IIS, se agregará una nueva carpeta inetpub a la raíz de la unidad C:\, con los mismos archivos y la misma propiedad SYSTEM que el directorio creado por las actualizaciones de seguridad de Windows de abril. Además, si no se usa IIS, puede desinstalarlo desde el mismo panel de control de Características de Windows para eliminarlo, dejando la carpeta C:\inetpub intacta.

El miércoles, en una nueva actualización del aviso CVE-2025-21204, la compañía también compartió un script de corrección que ayuda a los administradores a recrear esta carpeta desde un PowerShell con los siguientes comandos:

Install-Script -Name Set-InetpubFolderAcl

\Set-InetpubFolderAcl.ps1

Como explica Redmond, el script establecerá los permisos correctos de IIS para evitar el acceso no autorizado y las posibles vulnerabilidades relacionadas con CVE-2025-21204.

También actualizará las entradas de la lista de control de acceso (ACL) del directorio DeviceHealthAttestation en sistemas Windows Server para garantizar su seguridad si se crea antes de las actualizaciones de seguridad de febrero de 2025.

Microsoft: «No lo eliminen».

La falla de seguridad (CVE-2025-21204), mitigada por esta carpeta inetpub (creada automáticamente por las actualizaciones de seguridad de abril, incluso en sistemas sin la plataforma de servidor web IIS instalada previamente), se debe a un problema de resolución de enlaces incorrectos en la pila de Windows Update.

Esto probablemente significa que Windows Update podría seguir enlaces simbólicos en dispositivos sin parches, lo que permite a atacantes locales engañar al sistema operativo para que acceda o modifique archivos o carpetas no deseados.

Microsoft afirma que una explotación exitosa permite a atacantes con privilegios bajos escalar permisos y manipular o realizar operaciones de administración de archivos en el contexto de la cuenta NT AUTHORITY\SYSTEM.

Si bien la eliminación de la carpeta no causó problemas con Windows en nuestras pruebas, Microsoft indicó que se creó intencionalmente y no debe eliminarse. Redmond emitió la misma advertencia en un aviso actualizado sobre la falla de seguridad CVE-2025-21204 para advertir a los usuarios que no eliminen la carpeta vacía %systemdrive%\inetpub.

«Esta carpeta no debe eliminarse, independientemente de si Internet Information Services (IIS) está activo en el dispositivo de destino. Este comportamiento forma parte de los cambios que aumentan la protección y no requiere ninguna acción por parte de los administradores de TI ni de los usuarios finales», advirtió la compañía.

El experto en ciberseguridad Kevin Beaumont también demostró que los usuarios sin derechos de administrador pueden abusar de esta carpeta para bloquear la instalación de actualizaciones de Windows mediante la creación de una unión entre C:\inetpub y cualquier archivo de Windows.

Fuente: BC

Meta y Yandex permiten desanonimizar usuarios de Android

Miles de millones de usuarios han estado expuestos a un sistema de rastreo y espionaje masivo que han usado las empresas Meta y Yandex. Ambas empresas han usado una técnica que se aprovechaba  de aplicaciones nativas como Facebook o Instagram para monitorizar todo lo que hacíamos con nuestros navegadores móviles. Es una gota más de un vaso ya absolutamente colmado: el de los ataques a nuestra privacidad.

Un grupo de investigadores de la agencia IMDEA Networks y la Radboud Universiteit de Países Bajos, liderados por los profesores Gunes Acar y Narseo Vallina-Rodríguez, publicaron un extenso artículo técnico. En él, desvelan la técnica que han bautizado como ‘Local Mess’ (‘Lío Local’) y que Meta ha estado usando desde septiembre de 2024 y Yandex desde 2017.

El seguimiento encubierto en Meta Pixel y Yandex Metrica, permite que Meta y Yandex omitan las protecciones de seguridad y privacidad proporcionadas tanto por el sistema operativo Android como por los navegadores que se ejecutan en él.

«Uno de los principios de seguridad fundamentales que existe en la web, como el sistema móvil, se llama sandboxing», dijo Nardiso Vallina-Rodríguez, uno de los investigadores detrás del descubrimiento, en una entrevista. «Este vector de ataque permite romper el sandbox que existe entre el contexto móvil y el contexto web. El canal que existe todo el sistema Android para comunicar lo que feliz en el navegador con la identidad que se ejecuta en la aplicación móvil». Android Sandboxing, por ejemplo, aísla procesos para evitar que el dispositivo interactúe con cualquier aplicación instalada, reduciendo el acceso a datos confidenciales o recursos de sistema privilegiados.

El bypass descripto permite que las compañías pasen cookies desde navegadores a aplicaciones nativas de Android como Facebook, Instagram y varias aplicaciones de Yandex. Así, cuando el usuario inicia su sesión, las compañías pueden tener el vasto historial de navegación del titular de la cuenta.

¿Qué hace ‘Local Mess’?

Nos centraremos en Meta y sus aplicaciones, aunque el método es análogo en Yandex. Los usuarios de Android que hagan uso de aplicaciones como Facebook o Instagram podían estar expuestos, porque esas aplicaciones «escuchaban» lo que pasaba en los navegadores instalados en nuestros móviles haciendo uso de puertos locales (de ahí lo de ‘Local Mess’) con el objetivo de rastrear y monitorear todo lo que hacíamos en el navegador.

El usuario no se enteraba de nada. El método permitía que esas aplicaciones lograran recibir metadatos, cookies y comandos que se ejecutaban en los navegadores. El código JavaScript de Meta, llamado Meta Pixel, se cargaba de forma silenciosa y sin avisar como una especie de complemento de los navegadores móviles, y se conectaba a aplicaciones como Facebook o Instagram.

Desanonimizando a los usuarios. Como explican los investigadores, el método permitía acceder a los identificadores de dispositivo que se usan para los sistemas publicitarios, llamados Android Advertising ID (AAID), y eso hacía que fuera posible asociar todo lo que hacía el usuario a una identidad real (un perfil de Facebook o Instagram). El resultado: lo que hacíamos en el navegador ya no era anónimo ni privado.

Ni Modo Incógnito, ni borrar cookies ni nada. Este método «web-to-app» elude sistemas que teóricamente deberían proteger este tipo de rastreo. Así, ni borrar las cookies, ni navegar en modo incógnito funcionaba a la hora de intentar escapar de ese rastreo. De hecho, el método «abre la puerta a que aplicaciones potencialmente maliciosas espíen la actividad web de los usuarios», explican en el documento.

Los scripts de Meta y Yandex son ligeramente distintos, pero ambos hacen un uso indebido del acceso no autorizado a los sockets de nuestro localhost, el nombre reservado que tiene nuestro dispositivo en la red local y que siempre es la dirección IP loopback 127.0.0.1 (en IPv4). El sistema operativo Android permite a cualquier aplicación instalada, y con el permiso INTERNET, abrir un socket de escucha en la interfaz loopback. Los navegadores que se ejecutan en el mismo dispositivo también acceden a esta interfaz sin el consentimiento del usuario o la mediación de la plataforma. Esto permite que un código JavaScript incrustado en las páginas web se comunique con aplicaciones nativas de Android y comparta identificadores y actividad de navegación.

Millones de sitios web afectados. Para que el método funcionara Meta aprovechaba su cookie «_fbp», muy extendida en sitios web que hacen uso de publicidad de esta plataforma. Según BuiltWith, una web que permite monitorizar la adopción de distintas tecnologías, ese Meta Pixel está embebido en más de 5,8 millones de sitios web. Hay un buscador en la parte final del estudio que permite saber si un sitio web estaba expuesto y la actividad en él podía quedar registrada por estos scripts.

Teóricamente, solo en Android. Los investigadores revelan que sólo lograron obtener pruebas empíricas de esta técnica en móviles Android. No han observado tal problema en navegadores en iOS o en las aplicaciones que evaluaron, aunque señalan que técnicamente lograr hacer algo así en los iPhones es factible.

Los navegadores se protegen. Los responsables del descubrimiento han seguido una política de comunicación responsable de vulnerabilidades y se han puesto en contacto con varios desarrolladores de navegadores. Chrome ya tiene preparado el parche; el de Firefox está en desarrollo (pero parece no estar expuesto al problema); DuckDuckGo ya lo ha resuelto y; Brave no estaba afectado al usar una lista de bloqueo y al requerir permiso explícito del usuario para las comunicaciones con el localhost. No hay información sobre el progreso del parche en Microsoft Edge, que sí estaba afectado.

Y Meta ha desactivado esa opción sin más. Aunque los navegadores hayan tomado medidas, estas llegan tarde. No porque no haya solución o el código se haya modificado, sino porque Meta ha decidido dejar de usarlo sin decir nada. El script Meta Pixel dejó de enviar paquetes o de realizar peticiones a localhost. El código responsable de enviar esa cookie «_fbp», señalan en una actualización en este informe, ha sido casi completamente eliminado.

¿Por qué Meta hizo esto? Hay una hipótesis sobre la puesta en marcha de esta técnica por parte de Meta: podría deberse a cómo Google tenía la intención de librarse de las cookies de terceros en Chrome en algún momento en 2024. Eso hubiera afectado a empresas como Meta, que quizás habría reaccionado tratando de recabar esa información con esta técnica para poder tener un plan B si las cookies desaparecían.

Fuente: ArsTechnica | Xataka

Error crítico de Roundcube permite a usuarios autenticados ejecutar código malicioso (10 años de antigüedad)

Investigadores de ciberseguridad han revelado detalles de una falla de seguridad crítica en el software de correo web Roundcube, que ha pasado desapercibida durante una década y podría explotarse para controlar sistemas vulnerables y ejecutar código arbitrario.

Roundcube es una de las soluciones de correo web más populares, ya que el producto está incluido en las ofertas de proveedores de hosting reconocidos como GoDaddy, Hostinger, Dreamhost u OVH.

La vulnerabilidad, identificada como CVE-2025-49113, tiene una puntuación CVSS de 9,9 sobre 10. Se ha descrito como un caso de ejecución remota de código mediante la deserialización de objetos PHP y luego de la autenticación del usuario. «Roundcube Webmail en versiones anteriores a la 1.5.10 y 1.6.x en versiones anteriores a la 1.6.11 permite la ejecución remota de código por parte de usuarios autenticados porque el parámetro _from de una URL no está validado en program/actions/settings/upload.php, lo que provoca la deserialización de objetos PHP».

La falla, que afecta a todas las versiones del software anteriores a la 1.6.10 inclusive, se ha solucionado en las versiones 1.6.11 y 1.5.10 LTS. Kirill Firsov, fundador y director ejecutivo de FearsOff, es reconocido por descubrir y reportar la falla. La empresa de ciberseguridad con sede en Dubái indicó en un breve aviso que publicó detalles técnicos adicionales y una prueba de concepto (PoC) en un video.

Los atacantes solo tardaron un par de días en aplicar ingeniería inversa a la solución, aprovechar la vulnerabilidad y empezar a vender un exploit funcional en al menos un foro. Las vulnerabilidades de seguridad previamente reveladas en Roundcube han sido un objetivo lucrativo para actores de amenazas estatales como APT28 y Winter Vivern. El año pasado, Positive Technologies reveló que atacantes no identificados intentaron explotar una falla de Roundcube (CVE-2024-37383) como parte de un ataque de phishing diseñado para robar credenciales de usuario.

Hace un par de semanas, ESET detectó que APT28 había aprovechado vulnerabilidades de secuencias de comandos entre sitios (XSS) en varios servidores de correo web como Roundcube, Horde, MDaemon y Zimbra para recopilar datos confidenciales de cuentas de correo electrónico específicas pertenecientes a entidades gubernamentales y empresas de defensa en Europa del Este.

Positive Technologies, en una publicación en X, afirmó haber logrado reproducir la vulnerabilidad CVE-2025-49113 e instó a los usuarios a actualizar a la última versión de Roundcube lo antes posible.

«Esta vulnerabilidad permite a los usuarios autenticados ejecutar comandos arbitrarios a través de la deserialización de objetos PHP», añadió la empresa rusa de ciberseguridad.

Fuente: THN

GitLab parchea vulnerabilidad en su asistente Duo que permitía robo de código

GitLab ha distribuido parches de emergencia —17.10.1, 17.9.3 y 17.8.6— para mitigar la vulnerabilidad CVE-2025-2867, una indirect prompt injection que afectaba a su asistente de IA GitLab Duo y que ya había sido demostrada públicamente por Legit Security.

¿En qué consistía el fallo?

La debilidad permitía inyectar instrucciones ocultas —comentarios blancos, texto codificado en Base16 o manipulado con Unicode smuggling— dentro de merge requests, issues o incluso el propio código. Cuando Duo procesaba ese contexto, obedecía las órdenes maliciosas y podía:

• Exfiltrar fragmentos de código privado a un servidor controlado por el atacante.





• Inyectar HTML o JavaScript en las respuestas, redirigiendo al desarrollador a sitios de phishing o paquetes maliciosos.

Todas las ediciones CE/EE desde la rama 17.8 hasta la 17.10.0 inclusive estaban expuestas a un ataque de indirect prompt injection, que explota la confianza que la IA otorga al contexto no estructurado para manipular su comportamiento. Un atacante que lograra introducir un “comentario trampa” —por ejemplo, mediante un fork o una simple sugerencia de cambio— podía robar propiedad intelectual, filtrar zero-days internos o engañar a otros desarrolladores para que importaran dependencias maliciosas. El 26 de marzo de 2025, GitLab publicó las versiones corregidas 17.10.1, 17.9.3 y 17.8.6, y GitLab.com ya ejecuta el código seguro.

Recomendaciones

1. Actualizar inmediatamente a una versión parcheada.





2. Si la actualización se retrasa, deshabilitar GitLab Duo (GITLAB_DUO_DISABLED=true) y limitar su uso a repositorios públicos.





3. Revisar registros de Duo y tráfico saliente en busca de respuestas que incluyan URLs o código fuera del dominio corporativo.





4. Implementar filtros que bloqueen texto oculto o codificado en comentarios y descripciones.

Fuente: Hispasec

Aumento del phishing en archivos SVG

En un mundo donde las imágenes se utilizan para informar o entretener, una nueva generación de ataques de phishing las utiliza para engañar y robar. Un informe reciente de Trustwave SpiderLabs revela un aumento del 1.800 % en los ataques de phishing que utilizan archivos SVG (gráficos vectoriales escalables) como medios de distribución.

Estos archivos de imagen, ligeros y aparentemente inofensivos, se están convirtiendo en la herramienta predilecta de los ciberdelincuentes para el robo de credenciales, la distribución de malware y la elusión de la autenticación multifactor.

Los archivos SVG se utilizan en toda la web para crear iconos y logotipos nítidos. A diferencia de los formatos PNG o JPEG, los SVG se basan en XML y pueden incrustar JavaScript, lo que les permite transportar código interactivo o, en este caso, scripts maliciosos. «Los ciberdelincuentes aprovechan esta característica insertando scripts maliciosos directamente en los archivos SVG, lo que permite el acceso no autorizado, el robo de datos y la vulneración de la identidad».

Los archivos SVG se procesan de forma nativa en los navegadores, y la mayoría de los clientes de correo electrónico no los escanean ni los protegen, lo que los convierte en vectores ideales para el phishing.

En una campaña, los atacantes imitaron una notificación de correo de voz de Microsoft Teams. El correo electrónico de phishing parecía legítimo e instaba a los usuarios a descargar un supuesto archivo adjunto de audio: un archivo .SVG malicioso.

«A pesar de su extensión .SVG, el archivo está diseñado para parecer un mensaje de voz… Al hacer clic, ejecuta un código de redirección incrustado que lleva a los usuarios a una página de inicio de sesión falsa de Office 365.»

El script utilizaba la etiqueta SVG <foreignObject> y ofuscación Base64, eludiendo las herramientas tradicionales de seguridad del correo electrónico. Al abrirse, la imagen mostraba un logotipo falso de Microsoft y redirigía a las víctimas a una página de recolección de credenciales.

Esta campaña estaba vinculada a Mamba2FA, un grupo de phishing como servicio (PhaaS) conocido por su capacidad para eludir las protecciones de MFA.

El phishing basado en SVG ahora se ve impulsado por sofisticadas plataformas de phishing como servicio (PaaS) como:

• Tycoon2FA





• Mamba2FA





• Sneaky2FA

Estos kits permiten a los atacantes:

• Integrar scripts ofuscados de varias capas en SVG





• Realizar phishing de tipo «Ataque en el Intermedio» (AiTM)





• Redireccionar a los usuarios a páginas que eluden la autenticación multifactor (MFA) y recopilan credenciales

«El aumento del phishing en SVG sugiere que los actores de amenazas están expandiendo continuamente sus tácticas para eludir las medidas de seguridad más allá de los códigos QR y los métodos tradicionales, incluyendo enlaces, HTML y ataques basados ​​en documentos», concluye el informe. Para combatir esta amenaza, Trustwave SpiderLabs recomienda un enfoque multifacético:

• Evalúar la opción de bloquear correos electrónicos con archivos adjuntos en SVG o, como mínimo, marcarlos con una advertencia.





• Tener cuidado con los archivos adjuntos y enlaces: sospechar de los archivos inesperados y los enlaces incrustados.





• Verificar la autenticidad de los remitentes y el contenido.





• Capacitar a los empleados regularmente.





• Implementar sistemas robustos de filtrado y detección de amenazas.





• Implementar métodos de autenticación multifactor (MFA) con capas adicionales





• Reforzar las defensas con métodos resistentes al phishing.

Fuente: SecurityOnline

AkiraBot: Bot con IA que evita CAPTCHAs y envía spam a sitios web a gran escala

Investigadores han revelado detalles de una plataforma impulsada por inteligencia artificial (IA) llamada AkiraBot, que se utiliza para enviar spam a chats, secciones de comentarios y formularios de contacto de sitios web con el fin de promocionar servicios de optimización para motores de búsqueda (SEO) dudosos como Akira y ServicewrapGO.

«AkiraBot ha atacado más de 400.000 sitios web y ha enviado spam con éxito a al menos 80.000 desde septiembre de 2024», declararon los investigadores de SentinelOne, Alex Delamotte y Jim Walter, en un informe. «El bot utiliza OpenAI para generar mensajes de contacto personalizados según el propósito del sitio web».

Los objetivos de esta actividad incluyen formularios de contacto y widgets de chat presentes en sitios web de pequeñas y medianas empresas, y el framework comparte contenido spam generado mediante los modelos de lenguaje (LLM) de OpenAI. Lo que distingue a esta extensa herramienta basada en Python es su capacidad para crear contenido que permite eludir los filtros de spam.

Se cree que la herramienta de mensajería masiva se ha utilizado al menos desde septiembre de 2024, comenzando con el nombre «Shopbot», en lo que parece ser una referencia a los sitios web que utilizan Shopify.

Con el tiempo, AkiraBot ha ampliado su alcance de segmentación para incluir sitios desarrollados con GoDaddy, Wix y Squarespace, así como aquellos con formularios de contacto genéricos y widgets de chat en vivo creados con Reamaze.

La clave de la operación, que consiste en generar el contenido de spam, se facilita mediante el uso de la API de OpenAI. La herramienta también ofrece una interfaz gráfica de usuario (GUI) para seleccionar la lista de sitios web objetivo y personalizar cuántos de ellos se pueden atacar simultáneamente.

«AkiraBot crea mensajes de spam personalizados para los sitios web objetivo procesando una plantilla que contiene un esquema genérico del tipo de mensaje que debe enviar el bot», explicaron los investigadores. «La plantilla se procesa mediante una solicitud enviada a la API de chat de OpenAI para generar un mensaje de contacto personalizado basado en el contenido del sitio web».

Un análisis del código fuente revela que el cliente OpenAI utiliza el modelo gpt-4o-mini y se le asigna la función de «asistente útil que genera mensajes de marketing».

Otro aspecto destacable del servicio es que puede sortear las barreras CAPTCHA para enviar spam a sitios web a gran escala y evadir las detecciones basadas en la red mediante un servicio de proxy que se suele ofrecer a los anunciantes. Los servicios CAPTCHA objetivo son hCAPTCHA, reCAPTCHA y Cloudflare Turnstile.

Para lograrlo, el tráfico web del bot está diseñado para simular un usuario final legítimo y utiliza diferentes servidores proxy de SmartProxy para ocultar el origen del tráfico.

AkiraBot también está configurado para registrar sus actividades en un archivo llamado «submissions.csv», que registra tanto los intentos de spam exitosos como los fallidos. Un análisis de estos archivos ha revelado que más de 420.000 dominios únicos han sido atacados hasta la fecha. Además, las métricas de éxito relacionadas con la evasión de CAPTCHA y la rotación de proxy se recopilan y se publican en un canal de Telegram a través de la API.

En respuesta a los hallazgos, OpenAI ha desactivado la clave API y otros recursos asociados utilizados  por los actores de amenazas. «El autor o los autores han invertido un esfuerzo considerable en la capacidad de este bot para evadir las tecnologías CAPTCHA de uso común, lo que demuestra que los operadores están motivados a violar las protecciones de los proveedores de servicios. El uso por parte de AkiraBot del contenido de mensajes de spam generados por LLM demuestra los nuevos desafíos que la IA plantea para la defensa de los sitios web contra los ataques de spam».

Fuente: THN

Fortinet advierte que atacantes pueden conservar el acceso después de la aplicación de parches

Fortinet ha revelado que actores de amenazas han encontrado una manera de mantener el acceso de solo lectura a dispositivos FortiGate vulnerables, incluso después de que se parcheara el vector de acceso inicial utilizado para vulnerarlos.

Se cree que los atacantes aprovecharon vulnerabilidades de seguridad conocidas y ahora parcheadas, incluyendo, entre otras, CVE-2022-42475, CVE-2023-27997, y CVE-2024-21762.

«Un actor de amenazas utilizó una vulnerabilidad conocida para implementar acceso de solo lectura a dispositivos FortiGate vulnerables», declaró la compañía en un aviso publicado el jueves. «Esto se logró mediante la creación de un enlace simbólico que conectaba el sistema de archivos del usuario con el sistema de archivos raíz en una carpeta utilizada para servir archivos de idioma para SSL-VPN».

Fortinet afirmó que las modificaciones se realizaron en el sistema de archivos del usuario y lograron evadir la detección, lo que provocó que el enlace simbólico (también conocido como symlink) permaneciera incluso después de que se solucionaran las vulnerabilidades de seguridad responsables del acceso inicial.

Esto, a su vez, permitió a los actores de amenazas mantener acceso de solo lectura a los archivos del sistema de archivos del dispositivo, incluidas las configuraciones. Sin embargo, los clientes que nunca han habilitado SSL-VPN no se ven afectados por el problema.

No está claro quién está detrás de la actividad, pero Fortinet afirmó que su investigación indicó que no se dirigía a ninguna región o industria específica. También indicó que notificó directamente a los clientes afectados por el problema.

Como medidas adicionales para evitar que estos problemas vuelvan a ocurrir, se han implementado una serie de actualizaciones de software para FortiOS:

• FortiOS 7.4, 7.2, 7.0, 6.4: El enlace simbólico se marcó como malicioso, por lo que el motor antivirus lo eliminó automáticamente.





• FortiOS 7.6.2, 7.4.7, 7.2.11, 7.0.17 y 6.4.16: Se eliminó el enlace simbólico y se modificó la interfaz de usuario de SSL-VPN para evitar la publicación de estos enlaces simbólicos maliciosos.

Se recomienda a los clientes que actualicen sus instancias a las versiones 7.6.2, 7.4.7, 7.2.11, 7.0.17 o 6.4.16 de FortiOS, revisen las configuraciones de los dispositivos, las consideren potencialmente comprometidas y realicen las acciones de recuperación adecuadas.

CISA ha emitido un aviso propio, instando a los usuarios a restablecer las credenciales expuestas y a considerar la desactivación de la funcionalidad SSL-VPN hasta que se puedan aplicar los parches. El Equipo de Respuesta a Emergencias Informáticas de Francia (CERT-FR), en un boletín similar, afirmó tener conocimiento de vulnerabilidades que se remontan a principios de 2023.

Fuente: THN

Publicado OpenSSL 3.5 con soporte para algoritmos PQC y QUIC del lado del servidor

OpenSSL 3.5 se lanzó una importante actualización de esta biblioteca de software libre, multiplataforma y de código abierto que proporciona comunicaciones seguras a través de redes informáticas para aplicaciones y sitios web.

OpenSSL 3.5 es una versión estable a largo plazo (LTS) y tendrá soporte hasta el 8 de abril de 2030.

Más de seis meses después de OpenSSL 3.4, la versión 3.5 de OpenSSL introduce nuevas características como compatibilidad con QUIC del lado del servidor (RFC 9000), compatibilidad con pilas QUIC de terceros (incluida la compatibilidad con 0-RTT), compatibilidad con algoritmos PQC (ML-KEM, ML-DSA y SLH-DSA) y compatibilidad con la generación central de claves en CMP.

OpenSSL 3.5 también introduce compatibilidad con objetos de clave simétrica opacos (EVP_SKEY), compatibilidad con múltiples claves compartidas TLS, una mejor configuración de grupos de establecimiento de claves TLS y compatibilidad con API para la segmentación en los algoritmos de cifrado proporcionados.

Además, esta versión añade la nueva opción de configuración «no-tls-deprecated-ec» para deshabilitar la compatibilidad con los grupos TLS obsoletos en la RFC8422, así como la nueva opción de configuración «enable-fips-jitter» para que el proveedor FIPS utilice la fuente de semilla JITTER.

OpenSSL 3.5 también modifica la lista predeterminada de grupos compatibles con TLS para incluir y priorizar grupos híbridos PQC KEM, modifica las claves compartidas TLS predeterminadas para ofrecer X25519MLKEM768 y X25519, cambia el cifrado predeterminado para las aplicaciones req, cms y smime de des-ede3-cbc a aes-256-cbc y deshabilita todas las funciones BIO_meth_get_*().

Existe un problema conocido, que los desarrolladores planean solucionar en OpenSSL 3.5.1: un error al llamar a SSL_accept en los objetos devueltos desde SSL_accept_connection. Se espera que esta llamada avance el protocolo de enlace SSL para la conexión realizada, pero actualmente no es así. Esto se puede gestionar llamando a SSL_do_handshake.

Para más detalles, consulte las notas de la versión. Mientras tanto, puede descargar OpenSSL 3.5 ahora mismo desde el sitio web oficial. Se recomienda a todos los usuarios, sitios web y sistemas operativos que actualicen a esta versión lo antes posible.

Fuente: 9to5

Ataque de fuerza bruta masivo con 2,8 millones de direcciones IP involucradas

Desde hace semanas, expertos en ciberseguridad han alertado sobre una intensificación de los ataques por fuerza bruta contra dispositivos de red. Según el informe de The Shadowserver Foundation, la ofensiva no es nueva, pero ha alcanzado un nivel crítico recientemente.

Este tipo de ataque consiste en probar miles de combinaciones de usuario y contraseña hasta encontrar la correcta, utilizando programas automatizados.

2,8 millones de direcciones IP involucradas

Lo que hace a esta ofensiva especialmente preocupante es su escala global. Las conexiones maliciosas provienen de millones de direcciones IP de diversos países.

Los delincuentes aprovechan vulnerabilidades en estos dispositivos antiguos o sin soporte para convertirlos en herramientas de ataque, lo que refuerza la importancia de mantener los sistemas actualizados. Para ello, han desplegado una red de dispositivos comprometidos mediante un botnet, infectando routers de marcas como MikroTik, Huawei, Cisco, Boa y ZTE. Estos equipos, sin las actualizaciones adecuadas, han sido tomados por los ciberdelincuentes para lanzar ataques masivos contra objetivos específicos.  En esta ocasión, los atacantes han centrado sus esfuerzos en dispositivos de Palo Alto Networks, Ivanti y SonicWall, todos ellos esenciales en infraestructuras de seguridad digital.

Uno de los aspectos más inquietantes de esta campaña es la sofisticación de sus métodos para evadir los sistemas de seguridad. n lugar de utilizar servidores proxy convencionales, se apoyan en proxies residenciales, que les permiten ocultar sus actividades tras direcciones IP legítimas de usuarios reales. De esta manera, logran evitar las restricciones que suelen detectar y bloquear accesos sospechosos.

Este enfoque hace que los intentos de intrusión sean mucho más difíciles de identificar y frenar, lo que aumenta la efectividad del ataque. Aunque esta campaña ha alcanzado un nivel preocupante, no es la primera vez que ocurre algo similar. En abril de 2024, Cisco advirtió sobre un aumento significativo de ataques de fuerza bruta dirigidos a dispositivos de seguridad de empresas como CheckPoint, Fortinet, SonicWall y Ubiquiti.

Cómo protegerse de estos ataques

Ante esta amenaza global, se recomienda tomar medidas urgentes para proteger los dispositivos de red:

• Usar contraseñas seguras: evitar credenciales débiles y optar por combinaciones complejas para dificultar los ataques por fuerza bruta.





• Activar la autenticación en dos pasos (2FA): añadir una capa extra de seguridad impide el acceso no autorizado, incluso si los atacantes logran descifrar la contraseña.





• Restringir el acceso por IP: configurar los dispositivos para que solo permitan conexiones desde direcciones IP de confianza.





• Mantener los equipos actualizados: instalar parches de seguridad y actualizar dispositivos regularmente para evitar que vulnerabilidades conocidas sean explotadas.





• Reemplazar equipos obsoletos: si el dispositivo ya no recibe soporte o actualizaciones, es crucial considerar su sustitución por modelos más seguros.

Fuente: https://blog.segu-info.com.ar/2025/02/ataque-de-fuerza-bruta-masivo-con-28.html

MITRE lanza D3FEND 1.0 para estandarizar técnicas de defensa

MITRE ha lanzado oficialmente D3FEND 1.0, una innovadora ontología de ciberseguridad diseñada para estandarizar el vocabulario y las técnicas utilizadas para contrarrestar las ciberamenazas maliciosas.

Este marco innovador, financiado por la Agencia de Seguridad Nacional (NSA) y el Departamento de Defensa de los EE.UU. (DoD), tiene como objetivo mejorar las operaciones de ciberseguridad y la toma de decisiones estratégicas en todas las industrias.

D3FEND, presentado por primera vez como versión beta en junio de 2021, ha experimentado un desarrollo significativo durante los últimos tres años. Su gráfico semántico ha triplicado su tamaño, lo que refleja las contribuciones de una comunidad diversa de expertos en ciberseguridad, incluidos arquitectos de seguridad e ingenieros de detección.

El resultado es un modelo sólido basado en casos de uso que proporciona un marco estable y extensible para abordar las complejidades de los desafíos de la ciberseguridad moderna.

“D3FEND 1.0 refleja la experiencia y la visión colectivas de una comunidad diversa de ciberseguridad”, dijo Wen Masters, vicepresidente de tecnologías cibernéticas de MITRE. “Es más que una herramienta, es un camino hacia estrategias defensivas más inteligentes y matizadas”.

En esencia, D3FEND funciona como una “piedra de Rosetta” para los defensores cibernéticos al establecer un lenguaje común para las actividades defensivas y los sistemas que protegen.

Según Peter Kaloroumakis, principal ontólogo aplicado en MITRE, “Aunque D3FEND se centra en la tecnología, en realidad está resolviendo un problema humano: lograr que todos estén en la misma página con un vocabulario compartido es esencial para el análisis estratégico y la construcción de sistemas seguros”.

Características de D3FEND 1.0

• Herramienta de defensa contra ataques cibernéticos (CAD): esta herramienta interactiva permite a los usuarios aplicar la ontología completa a escenarios específicos mediante la vinculación de nodos en un lienzo visual. Los usuarios pueden explorar inferencias y compartir sus gráficos CAD en redes.





• Técnicas defensivas ampliadas: la versión incluye nuevas taxonomías para el control de identidad y acceso, tecnología operativa, fortalecimiento del código fuente y modelado de vulnerabilidades mediante la integración con Common Weakness Enumeration (CWE).





• Precisión ontológica: D3FEND, que se basa en los estándares OWL 2 DL, garantiza la compatibilidad con las principales ontologías superiores para aplicaciones semánticas más amplias.





• Actualizaciones transparentes: una nueva estrategia de ciclo de vida del contenido garantiza actualizaciones predecibles para una adaptación perfecta.

MITRE anima a los profesionales de la ciberseguridad a explorar D3FEND 1.0 y contribuir a su evolución. MITRE tiene como objetivo mejorar las capacidades de defensa de la ciberseguridad fomentando la colaboración y la innovación en un panorama de amenazas cada vez más sofisticado.

Fuente: MITRE

Liberan 15.000 configuraciones de FortiGate, robadas con un Zero-Day de 2022 (actualización con la lista)

Un grupo de delincuentes informáticos ha filtrado los archivos de configuración, las direcciones IP y las credenciales de VPN de más de 15.474 dispositivos FortiGate de forma gratuita , lo que expone una gran cantidad de información técnica confidencial a otros cibercriminales.

Actualización: lista completa separada por país/ciudad.

Los datos fueron filtrados por el “Grupo Belsen”, que apareció por primera vez en las redes sociales y en los foros de ciberdelincuencia este mes. Para promocionarse, el grupo ha creado un sitio web en TOR donde publicaron el volcado de datos de FortiGate de forma gratuita para que lo usen otros actores de amenazas.

La filtración de FortiGate consta de un archivo de 1,6 GB que contiene carpetas ordenadas por país. Cada carpeta contiene subcarpetas adicionales para cada dirección IP de FortiGate en ese país.

Según el experto en ciberseguridad Kevin Beaumont, cada dirección IP tiene un configuration.conf (volcado de configuración de Fortigate) y un archivo vpn-passwords.txt, con algunas de las contraseñas en texto sin formato. Las configuraciones también contienen información confidencial, como claves privadas y reglas de firewall.

• Usernames





• Passwords (some in plain text)





• Device management digital certificates





• All firewall rules

En una publicación de blog sobre la filtración de FortiGate, Beaumont dice que se cree que la filtración está vinculada a un Zero-Day de 2022 identificado como CVE-2022–40684 que se explotó en ataques antes de que se lanzara una solución.

En 2022, Fortinet advirtió que los actores de amenazas estaban explotando una vulnerabilidad de día cero identificada como CVE-2022–40684 para descargar archivos de configuración de dispositivos FortiGate específicos y luego agregar una cuenta super_admin maliciosa llamada “fortigate-tech-support”.

El sitio de noticias alemán Heise analizó la filtración de datos y también dijo que se recopiló en 2022, y que todos los dispositivos utilizaban el firmware FortiOS 7.0.0-7.0.6 o 7.2.0-7.2.2. “No encontramos ninguna versión de FortiOS en el conjunto de datos que fuera más reciente que la versión 7.2.2, lanzada el 3 de octubre de 2022”.

Sin embargo, FortiOS 7.2.2 corrigió la falla CVE-2022–40684, por lo que no estaría claro cómo los dispositivos que ejecutan esa versión podrían ser explotados con esta vulnerabilidad.

A pesar de que estos archivos de configuración se recopilaron en 2022, Beaumont advierte que aún exponen mucha información confidencial sobre las defensas de una red. Esto incluye reglas de firewall y credenciales que, si no se cambiaron en ese momento, deberían cambiarse inmediatamente ahora que los datos se han publicado para un grupo más amplio de actores de amenazas.

Actualización: los datos de las IP sin procesar, están disponibles aquí y también hemos publicado la lista separada por país/ciudad.

Fuente: BC

PoC para vulnerabilidad Zero-Day en Windows (CVE-2024-49138)

El investigador de seguridad MrAle_98 publicó recientemente un exploit de prueba de concepto (PoC) para la vulnerabilidad Zero-Day, CVE-2024-49138 recientemente soluciona por Microsoft en diciembre de 2024. Esta falla, que afecta al controlador del sistema de archivos de registro común (CLFS) de Windows, tiene una puntuación CVSS de 7,8 y permite a los atacantes obtener privilegios de SYSTEM en los dispositivos afectados.

La vulnerabilidad, descrita como una falla de elevación de privilegios, está vinculada al controlador CLFS, un componente central de Windows utilizado para registrar las operaciones del sistema. Si bien los detalles específicos sobre la explotación son escasos, Microsoft confirmó que se había explotado activamente antes del lanzamiento del parche.

Según el aviso de Microsoft, esta vulnerabilidad afecta a una amplia gama de sistemas Windows. “Este exploit se probó en Windows 11 23H2”, señaló MrAle_98, lo que sugiere su posible impacto en las últimas iteraciones de Windows.

El equipo de investigación avanzada de CrowdStrike identificó inicialmente esta vulnerabilidad. Si bien Microsoft no ha revelado los detalles de los ataques que aprovechan CVE-2024-49138, la participación de una empresa de seguridad líder sugiere que es posible que se publique un informe detallado sobre la explotación.

Para aumentar la urgencia, el investigador de seguridad MrAle_98 publicó un exploit de prueba de concepto (PoC) para CVE-2024-49138 en GitHub. Esta medida ha facilitado que los actores de amenazas puedan replicar el ataque, lo que aumenta el riesgo para los sistemas sin parches. La publicación en GitHub destaca aún más la necesidad de que las organizaciones y los usuarios individuales actúen con rapidez para aplicar las actualizaciones del martes de parches de diciembre de 2024.

Microsoft abordó este problema en su publicación del martes de parches de diciembre, que incluía correcciones para 71 vulnerabilidades en todo su ecosistema de productos.

Fuente: SecurityOnline

Configuración incorrecta de DNS en Mikrotik permite la distribución de malware

Una red global de unos 13.000 routers Mikrotik secuestrados se ha utilizado como botnet para propagar malware a través de campañas de spam.

La actividad “se aprovecha de los registros DNS mal configurados para pasar las técnicas de protección de correo electrónico”, dijo el investigador de seguridad de Infoblox, David Brunsdon, en un informe técnico publicado la semana pasada. “Esta botnet utiliza una red global de routers Mikrotik para enviar correos electrónicos maliciosos que están diseñados para parecer que provienen de dominios legítimos”.

La empresa de seguridad DNS, que ha dado a la campaña el nombre en código Mikro Typo, dijo que su análisis surgió del descubrimiento de una campaña de malspam a fines de noviembre de 2024 que aprovechó señuelos relacionados con facturas para incitar a los destinatarios a descargar un archivo ZIP.

El archivo ZIP contiene un archivo JavaScript ofuscado, que luego es responsable de ejecutar un script de PowerShell diseñado para iniciar una conexión saliente a un servidor de comando y control (C2) ubicado en la dirección IP 62.133.60[.]137.

Se desconoce el vector de acceso inicial exacto utilizado para infiltrarse en los routers, pero se han visto afectadas varias versiones de firmware, incluidas las vulnerables a CVE-2023-30799, un problema crítico de escalamiento de privilegios que podría usarse para lograr la ejecución de código arbitrario.

“Independientemente de cómo se hayan visto comprometidos, parece que el actor ha estado colocando un script en los dispositivos [Mikrotik] que habilita SOCKS (Secure Sockets), que permite que los dispositivos funcionen como redirectores TCP”, dijo Brunsdon. “Habilitar SOCKS convierte efectivamente cada dispositivo en un proxy, enmascarando el verdadero origen del tráfico malicioso y haciendo que sea más difícil rastrearlo hasta la fuente”.

Otro motivo de preocupación es la falta de autenticación necesaria para utilizar estos servidores proxy, lo que permite a otros actores de amenazas utilizar dispositivos específicos o toda la botnet para fines maliciosos, que van desde ataques de denegación de servicio distribuido (DDoS) hasta campañas de phishing.

Se ha descubierto que la campaña de spam malicioso en cuestión explota una configuración incorrecta en los registros TXT del marco de políticas de remitente (SPF) de 20.000 dominios, lo que da a los atacantes la capacidad de enviar correos electrónicos en nombre de esos dominios y eludir varias protecciones de seguridad del correo electrónico.

En concreto, se ha descubierto que los registros SPF están configurados con la opción extremadamente permisiva “+all”, lo que básicamente anula el propósito de tener la protección en primer lugar. Esto también significa que cualquier dispositivo, como los routers MikroTik comprometidos, puede falsificar el dominio legítimo en el correo electrónico.

Se recomienda a los propietarios de dispositivos MikroTik que mantengan sus equipos actualizados y cambien las credenciales de cuenta predeterminadas para evitar cualquier intento de explotación.

“Con tantos dispositivos MikroTik comprometidos, la botnet es capaz de lanzar una amplia gama de actividades maliciosas, desde ataques DDoS hasta robo de datos y campañas de phishing”, dijo Brunsdon. “El uso de proxies SOCKS4 complica aún más los esfuerzos de detección y mitigación, lo que resalta la necesidad de medidas de seguridad sólidas”.

Se han identificado varias vulnerabilidades críticas en los enrutadores MikroTik y la versión de firmware de un enrutador no siempre está disponible, pero vimos una variedad de versiones afectadas, incluidas las versiones de firmware recientes. Aquí se describe una vulnerabilidad de ejecución de código remoto con un exploit: https://vulncheck.com/blog/mikrotik-foisted-revisited

Autocomprobación

Si tienes un nombre de dominio que quieres comprobar para ver si tiene un registro SPF y cómo está configurado, simplemente se pueden ver sus registros TXT de DNS.

En Linux o MacOS:

dig +short txt example.com | grep spf

En Windows, se puede usar nslookup con un poco de PowerShell.

nslookup -type=txt example.com | Select-String -Pattern "spf"

Fuente: THN

Firewalls de Palo Alto vulnerables a ataques de firmware y omisiones de arranque seguro

Una evaluación exhaustiva de tres modelos de firewall de Palo Alto Networks ha descubierto una serie de fallas de seguridad conocidas que afectan el firmware de los dispositivos, así como funciones de seguridad mal configuradas.

“No se trataba de vulnerabilidades ocultas ni de casos excepcionales”, afirmó el proveedor de seguridad Eclypsium en un informe. “En cambio, se trataba de problemas muy conocidos que no esperaríamos ver ni siquiera en una computadora portátil de consumo. Estos problemas podrían permitir a los atacantes evadir incluso las protecciones de integridad más básicas, como el arranque seguro, y modificar el firmware del dispositivo si se los explota”.

La empresa afirmó que analizó tres dispositivos de firewall de Palo Alto Networks, PA-3260, PA-1410 y PA-415, el primero de los cuales llegó oficialmente al final de su período de comercialización el 31 de agosto de 2023. Los otros dos modelos son plataformas de firewall totalmente compatibles.

La lista de fallas identificadas, denominadas colectivamente PANdora’s Box, es la siguiente:

• CVE-2020-10713, también conocida como BootHole (afecta a PA-3260, PA-1410 y PA-415), se refiere a una vulnerabilidad de desbordamiento de búfer que permite una omisión de arranque seguro en sistemas Linux con la función habilitada.





• CVE-2022-24030 (7.5), CVE-2021-33627 (8.2), CVE-2021-42060 (8.2), CVE-2021-42554 (8.2), CVE-2021-43323 (8.2), y CVE-2021-45970 (8.2) (afecta a PA-3260), que se refiere a un conjunto de vulnerabilidades del modo de administración del sistema (SMM) que afectan al firmware UEFI InsydeH2O de Insyde Software que podrían provocar una escaladmiento de privilegios y una omisión de arranque seguro.





• LogoFAIL (afecta a PA-3260), que se refiere a un conjunto de vulnerabilidades críticas descubiertas en el código de la Interfaz de Firmware Extensible Unificada (UEFI) que explotan fallas en las bibliotecas de análisis de imágenes integradas en el firmware para eludir el Arranque Seguro y ejecutar código malicioso durante el inicio del sistema.





• PixieFail (Afecta a PA-1410 y PA-415), que se refiere a un conjunto de vulnerabilidades en la pila de protocolos de red TCP/IP incorporada en la implementación de referencia de UEFI que podría conducir a la ejecución de código y la divulgación de información.





• Vulnerabilidad de control de acceso flash inseguro (Afecta a PA-415), que se refiere a un caso de controles de acceso flash SPI mal configurados que podrían permitir a un atacante modificar UEFI directamente y eludir otros mecanismos de seguridad.





• CVE-2023-1017 (Afecta a PA-415), que se refiere a una vulnerabilidad de escritura fuera de límites en la especificación de la biblioteca de referencia del Módulo de Plataforma Confiable (TPM) 2.0.





• Elusión de claves filtradas de Intel Bootguard (Afecta a PA-1410)

“Estos hallazgos ponen de relieve una verdad fundamental: incluso los dispositivos diseñados para proteger pueden convertirse en vectores de ataque si no se protegen y mantienen adecuadamente”, afirmó Eclypsium. “A medida que los actores de amenazas continúan atacando los dispositivos de seguridad, las organizaciones deben adoptar un enfoque más integral para la seguridad de la cadena de suministro”.

Esto incluye evaluaciones rigurosas de los proveedores, actualizaciones periódicas de firmware y monitoreo continuo de la integridad de los dispositivos. Al comprender y abordar estas vulnerabilidades ocultas, las organizaciones pueden proteger mejor sus redes y datos de ataques sofisticados que explotan las mismas herramientas diseñadas para protegerlos.

Fuente: THN

RANsacked: 119 fallas de seguridad en implementaciones de redes LTE y 5G

Un grupo de académicos ha revelado detalles de más de 100 vulnerabilidades de seguridad que afectan a las implementaciones LTE y 5G y que podrían ser explotadas por un atacante para interrumpir el acceso al servicio e incluso ganar terreno en la red central celular.

Las 119 vulnerabilidades, a las que se les asignaron 97 identificadores CVE únicos, abarcan siete implementaciones LTE (Open5GS, Magma, OpenAirInterface, Athonet, SD-Core, NextEPC, srsRAN) y tres implementaciones 5G (Open5GS, Magma, OpenAirInterface), según investigadores de la Universidad de Florida y la Universidad Estatal de Carolina del Norte.

Los hallazgos se han detallado en un estudio titulado “RANsacked: A Domain-Informed Approach for Fuzzing LTE and 5G RAN-Core Interfaces” [PDF].

“Cada una de las más de 100 vulnerabilidades que se analizan a continuación se puede utilizar para interrumpir de forma persistente todas las comunicaciones celulares (llamadas telefónicas, mensajería y datos) a nivel de toda la ciudad”, dijeron los investigadores.

“Un atacante puede bloquear continuamente la entidad de gestión de movilidad (MME) o la función de gestión de acceso y movilidad (AMF) en una red LTE/5G, respectivamente, simplemente enviando un único paquete de datos pequeño a través de la red como un usuario no autenticado (no se requiere tarjeta SIM).”

El descubrimiento es el resultado de un ejercicio de fuzzing, denominado RANsacked, realizado por los investigadores contra las interfaces de la Red de Acceso por Radio (RAN)-Core que son capaces de recibir información directamente de los teléfonos móviles y las estaciones base.

Los investigadores dijeron que varias de las vulnerabilidades identificadas se relacionan con desbordamientos de búfer y errores de corrupción de memoria que podrían utilizarse como arma para violar la red central celular y aprovechar ese acceso para monitorear la ubicación del teléfono celular y la información de conexión para todos los suscriptores a nivel de toda la ciudad, realizar ataques dirigidos a suscriptores específicos y realizar otras acciones maliciosas en la red misma.

Además, las fallas identificadas se dividen en dos grandes categorías: las que pueden ser explotadas por cualquier dispositivo móvil no autenticado y las que pueden ser utilizadas como arma por un adversario que haya comprometido una Compromised a Base Stationo una Femtocell.

De las 119 vulnerabilidades descubiertas, 79 se encontraron en implementaciones de MME, 36 en implementaciones de AMF y cuatro en implementaciones de SGW. Veinticinco deficiencias conducen a ataques de autenticación previa de Non-Access Stratum (NAS) que pueden llevarse a cabo desde un teléfono móvil cualquiera.

“La introducción de femtoceldas de uso doméstico, seguidas de estaciones base gNodeB de más fácil acceso en las implementaciones 5G, representan un cambio adicional en la dinámica de la seguridad: donde antes los equipos RAN estaban físicamente bloqueados, ahora están expuestos abiertamente a amenazas adversas físicas”, señaló el estudio.

“Nuestro trabajo explora las implicaciones de esta última área al permitir interfaces de fuzzing de alto rendimiento que históricamente se han asumido implícitamente como seguras, pero que ahora enfrentan amenazas inminentes”.

Fuente: THN

NIS2, fin a la impunidad: la alta dirección es responsable de las brechas de seguridad

La nueva normativa europea NIS2 refuerza las obligaciones de las empresas frente a los ciberataques y responsabiliza a los directivos de las consecuencias de los ciberataques.

Este ha sido el abecé de cada brecha de seguridad en la última década:

• Aparece la noticia en los medios de comunicación: otra gran empresa cae víctima de un ciberataque;





• se ha producido un robo de información personal de sus clientes;





• en unas horas llega un correo electrónico: es la compañía cumpliendo su “obligación legal de informar” a los afectados;





• la empresa aprovecha para pedir disculpas y reafirmar su “compromiso” con la seguridad de sus datos;





• ¿Y qué pasa después? NADA, todo sigue igualy vuelta a empezar.

En lo que respecta a los afectados por la brecha, la responsabilidad de la empresa no iba más allá. Ni siquiera en agujeros graves, que obliga miles de clientes de varios países a anular de inmediato sus tarjetas de crédito o ver comprometidos sus datos personales de salud para siempre en Internet.

A los afectados solo les quedaba esperar a los más que probables intentos de estafa basados en su información personal, confiando en recordar que esa persona que llama podría no ser su agente bancario o su clínica sino un ciberdelincuente que conoce todos sus datos.

No había más que decir, al menos hasta ahora. Dos nuevas normas europeas han entrado en juego para modernizar la preparación y respuesta ante ciberataques y uno de sus puntos clave es que apuntan directamente a la alta dirección de las empresas a la hora de asumir responsabilidades por las brechas de seguridad. En otras palabras, prohíbe a sus altos ejecutivos escurrir el bulto de la ciberseguridad hacia los cargos técnicos de la compañía.

“El problema es que, aunque sobre el papel sí que existía una responsabilidad, en la práctica nunca aparecía de forma clara”, explica Marta Trabado, especialista en cumplimiento normativo de la firma española de ciberseguridad A3Sec. “Ahora de lo que se trata es que la responsabilidad recaiga directamente en la dirección en caso de un ciberataque, porque es la que debe establecer las estrategias de prevención y supervisarlas. Por tanto, pueden tener responsabilidad incluso penal sobre las consecuencias de ese incidente”, asevera.

Ahora, la alta dirección puede tener responsabilidad penal sobre las consecuencias de un incidente de ciberseguridad. Aunque la importancia de la ciberseguridad ha sido incluida en varias nuevas regulaciones europeas, la Directiva NIS2 (análisis) refleja la posibilidad de que la alta dirección es la responsable final. Esta crea dos categorías de empresas, las “esenciales” y las “importantes”, con diferentes grados de supervisión por parte de los reguladores.

Las empresas etiquetadas como “esenciales” son aquellas que ofrecen servicios o infraestructuras cruciales para el buen funcionamiento de la sociedad y la economía. Las energéticas, las de transporte (aerolíneas, trenes, logística, etc.), salud (también farmacéuticas), agua, banca y telecomunicaciones (tanto de servicios digitales como telecos) entran en esta categoría y las autoridades podrán supervisar sus medidas de seguridad tanto antes de que se produzca un ciberataque como después de haberlo sufrido.

La directiva hace especial hincapié en que “cualquier persona física responsable de una entidad esencial o que actúe como representante de ella deberán considerarse responsables del cumplimiento de estas normas”.

Las “importantes” son las fábricas, como las de productos químicos, equipos médicos o electrónicos, las de alimentación y grandes distribuidores, los servicios postales y de mensajería y las que investigan nuevas tecnologías. Sus obligaciones de ciberseguridad son similares, pero con menos énfasis en supervisión constante, y las autoridades podrán pedirles cuentas tras sufrir una brecha.

Esta capa de supervisión se añadirá a la que ya corresponde a la Agencia Española de Protección de Datos y el RGPD, los cuales pueden imponer multas si detecta que las empresas no han implementado salvaguardas adecuadas frente a los riesgos de un ciberataque. El problema, en este caso, es que España aún no ha definido cómo llevará a cabo esta nueva vigilancia más centrada en el resto de factores de la seguridad informática.

En resumen, la llegada de la NIS2 marca un punto de inflexión en la forma en que las empresas deben abordar la ciberseguridad. Ya no bastará con enviar un correo de disculpas tras un ciberataque y seguir adelante; la alta dirección tendrá que asumir una responsabilidad activa y directa, tanto en la prevención como en la respuesta a estos incidentes.

Fuente: El Diario | INCIBE