Datos rápidos

• El senador Ron Wyden insta a la FTC a investigar a Microsoft por “negligencia grave en ciberseguridad”.
• El ataque de ransomware a Ascension Health en 2024 comprometió los datos de 5,6 millones de pacientes.
• Los atacantes explotaron una configuración de cifrado débil (RC4) en el sistema de autenticación Kerberos de Microsoft.
• Microsoft afirma que RC4 se usa rara vez, pero que no puede deshabilitarse completamente sin afectar a sistemas antiguos.
• La sanidad y la infraestructura crítica de EE. UU. siguen siendo objetivos principales para las bandas de ransomware.

Cuando cerraduras viejas protegen puertas nuevas: cómo un eslabón débil permitió la entrada de hackers

Imagina la puerta digital de entrada de un hospital - supuestamente sellada por cerraduras de alta tecnología - dejada entreabierta por una llave oxidada y obsoleta. Este es el escenario que describe el senador estadounidense Ron Wyden, quien exige que los reguladores federales tomen medidas contra Microsoft por lo que él llama “negligencia grave en ciberseguridad”. El detonante: un ataque de ransomware en mayo de 2024 que paralizó Ascension Health, una de las mayores redes hospitalarias de EE. UU., y expuso los datos personales de millones de personas.

La brecha comenzó con un error simple y demasiado común: un contratista hizo clic en un resultado malicioso de Bing usando Microsoft Edge. Ese solo clic permitió a los hackers infiltrarse, donde lanzaron una técnica conocida como “Kerberoasting”. En términos no técnicos, esto es como robar llaves de repuesto escondidas bajo el felpudo - excepto que las llaves son contraseñas cifradas almacenadas por el Active Directory de Microsoft, y el “felpudo” es un método criptográfico débil y de décadas de antigüedad llamado RC4.

El problema de RC4: por qué el cifrado obsoleto aún nos persigue

RC4 es un cifrador digital introducido a finales de los años 80 - antiguo según los estándares actuales. Como una cerradura que puede abrirse con herramientas básicas, RC4 se considera inseguro desde hace años. Sin embargo, el sistema de autenticación Kerberos de Microsoft aún permite su uso, en gran parte para soportar computadoras y programas antiguos que no pueden manejar cifrados más fuertes como AES. El resultado: los atacantes pueden “fuerza bruta” contraseñas cifradas con RC4 usando software común, obteniendo acceso rápidamente y escalando privilegios en redes enteras.

La oficina del senador Wyden afirma que Microsoft conoce desde hace tiempo los peligros. En julio de 2024, su equipo instó a Microsoft a hacer que el cifrado más fuerte fuera el valor predeterminado y a advertir claramente a los clientes sobre los riesgos de seguir usando RC4. En su lugar, Microsoft publicó una entrada de blog altamente técnica en octubre, que según Wyden no llegó a los responsables que más necesitaban escucharla.

Sanidad en riesgo: un patrón de ataques y vacíos regulatorios

La experiencia de Ascension Health es solo la última de una serie de ataques de ransomware que explotan la seguridad débil en software ampliamente utilizado. Hospitales, gobiernos municipales y escuelas han sido víctimas en los últimos años, a menudo porque la tecnología heredada es lenta para adaptarse. Según un informe de Coveware de 2023, las organizaciones sanitarias experimentaron un aumento del 47% en ataques de ransomware año tras año, siendo el software obsoleto y la mala gestión de contraseñas las principales causas.

Microsoft, por su parte, argumenta que RC4 se utiliza ahora en menos del 0,1% de su tráfico y que deshabilitarlo por completo rompería muchos sistemas de clientes. La empresa afirma que está trabajando para eliminar RC4 gradualmente, pero los críticos sostienen que un gigante tecnológico con casi monopolio en sistemas operativos empresariales debería actuar más rápido - especialmente cuando está en juego la seguridad nacional.

Mientras la FTC sopesa la petición de acción del senador Wyden, la pregunta sigue siendo: ¿cuántas “puertas de entrada” digitales más quedarán abiertas antes de que finalmente se cambien las cerraduras?

WIKICROOK

• Ransomware: El ransomware es un software malicioso que cifra o bloquea datos, exigiendo un pago a las víctimas para restaurar el acceso a sus archivos o sistemas.
• Kerberos: Kerberos es un protocolo seguro de autenticación en red que verifica la identidad de los usuarios usando tickets cifrados, evitando la necesidad de enviar contraseñas por la red.
• RC4: RC4 es un antiguo cifrador de flujo que antes se usaba para cifrado, pero ahora se considera inseguro debido a vulnerabilidades y ya no se recomienda.
• Kerberoasting: Kerberoasting es un método de hackeo que roba contraseñas de redes Microsoft explotando el cifrado débil en los tickets de servicio Kerberos.
• Brute: Un ataque de fuerza bruta es un método automatizado de hackeo donde los atacantes prueban muchas contraseñas o claves hasta encontrar la correcta y obtener acceso no autorizado.