Edition 20

Tres años y medio después de publicada la corrección, 1.590 de estos equipos seguían siendo accesibles desde internet solo en Francia. Nadie explotó un zero-day. Alguien aceptó un riesgo, mediante una firma, un presupuesto diferido o un silencio, y esa decisión es lo que analicé esta semana. Un riesgo cibernético es un riesgo de negocio, y se acepta más o menos como se elige la planta de recepción: una línea en una hoja de cálculo, sin importe, sin fecha de vencimiento, a menudo sin nombre. Ningún supermercado puede elegir su propio nivel de seguridad contra incendios. Lo aplica, lo financia y lo somete a inspección de una comisión que puede ordenar el cierre. Lean su propio registro con eso en mente y vean qué riesgos aceptados sobrevivirían a ser leídos en voz alta.

Cada paso confió en el anterior. El manifiesto llevaba una firma válida, por lo que el servicio de emparejamiento lo aceptó, y nadie preguntó si la firma de una aplicación de demostración debería equivaler a una clave con privilegios elevados. La aplicación era legítima, así que nadie comprobó adónde navegaba. El demonio confió en su entrada. Una firma válida no es un permiso, y ya he escrito alguna versión de esa frase tres veces este trimestre, en relación con un token MFA y un proceso de firma de pagos. Mientras tanto, el televisor de su sala de juntas ejecuta aplicaciones, expone servicios que aceptan comandos de otros dispositivos y no figura en ningún inventario de activos.

Todos los modelos de seguridad móvil que tienen asumen que el sistema operativo es el ancla de confianza y que la amenaza llega como una aplicación. Aquí se distribuyó bajo la firma de plataforma, por lo que las propias defensas de Android la clasifican como de confianza y no existe remediación posible. No se limpia: se descarta el teléfono. Para una organización, esto no es la conversación sobre BYOD que han estado teniendo. Es el terminal de sesenta euros que un contratista compró en un marketplace, retransmitiendo tráfico a través de su red y leyendo notificaciones en pantalla. Bitdefender es claro al señalar que la solución duradera corresponde a los fabricantes y a los marketplaces, lo que equivale a decir que no va a llegar.

El fabricante no fue vulnerado. Sus sistemas nunca fueron tocados. Alguien se insertó entre la fábrica y el comprador, y la verificación de autenticidad que ofrece el fabricante era ciega a eso por diseño. Grand lleva décadas desmontando hardware y afirma que nunca había visto uno de estos en la práctica real. Ahora ha encontrado cuatro de ocho. Aparten la criptomoneda del asunto y la pregunta se vuelve incómoda rápidamente: ¿qué proporción de su hardware llega a través de un revendedor que nunca han evaluado, y qué inspeccionarían realmente a la recepción? El embalaje con evidencia de manipulación no es una respuesta cuando el implante se encuentra bajo la batería.

Los cuatro elementos anteriores son dispositivos que nadie inspeccionó. Este es el caso en que alguien sí lo hizo, y no fue cuestión de suerte. OpenAI cuenta con un equipo que inspecciona físicamente las salas, algo que casi ninguna organización hace, y cuando encontraron el dispositivo tomaron la decisión más difícil: dejarlo donde estaba y vigilarlo. Eso es un señuelo, en una sala de juntas, y es exactamente lo que CISA recomendaba hace un mes. Obsérvese también la contención en el resto de la actuación. Acceso restringido, el empleado suspendido cautelarmente, la rescisión coordinada con el FBI para no interferir en la investigación. Si alguna vez llega a su mesa un caso de amenaza interna, esa secuencia es la que hay que seguir.