El “Black October” y los ciberataques que sacudieron al mundo | Artículo de Manuel Rivera

¿Cuánto vale una hora sin poder vender, transferir dinero o mantener refrigerados nuestros productos? Octubre dejó ejemplos brutales de que una falla de ciberseguridad puede convertirse, en cuestión de minutos, en una crisis financiera y operativa.

En la comunidad high tech y de inteligencia, el mes comenzó a ser llamado “Black October” por la concentración de ataques y alertas críticas, hasta poner bajo presión a las empresas que responden a estos incidentes. La expresión que llegó incluso a las páginas de The Wall Street Journal, no designa una ofensiva coordinada ni una categoría oficial sino describe un mes en el que coincidieron robos multimillonarios, interrupciones de servicios y vulnerabilidades con alcance mundial.

Para quienes dirigen empresas, la lección es incómoda: podemos invertir años en construir un negocio y dejar expuestos sus ingresos, su inventario o su reputación por una contraseña olvidada, un proveedor comprometido o una actualización de software.

Seis casos explican la dimensión del problema:

Binance: US$6,300 millones sustraídos. El ataque de robo económico más grande registrado en la historia. El 29 de octubre, atacantes comprometieron las billeteras digitales conectadas a internet de la plataforma de criptomonedas y retiraron activos a través de 10 distintas redes o bloques ($6.3 billones en aproximadamente 20 minutos). La investigación inicial apuntó a la computadora de un ingeniero, aunque posteriormente se identificaron otros puntos de intrusión. Elliptic vinculó la operación con TraderTraitor, de Corea del Norte, y reportó después la confirmación del FBI. Binance suspendió temporalmente los retiros y se comprometió a absorber las pérdidas. Que la empresa reponga los activos protege a los clientes, pero no elimina el golpe a su patrimonio y su credibilidad.

PHP2Shell: el riesgo alojado en los cimientos de la web. El 21 de octubre se divulgaron fallas críticas en PHP, una tecnología utilizada por numerosos sitios y plataformas como WordPress, Drupal y Joomla, utilizadas en sumatoria por 70% de los sitios web. Los investigadores demostraron que los atacantes podrían ejecutar instrucciones sin iniciar sesión o extraer información sensible de la memoria de servidores vulnerables. La inteligencia artificial ayudó a convertir errores complejos en métodos prácticos de explotación.

Aquí debemos distinguir: no se ha documentado una pérdida económica global ni que miles de millones de páginas hayan sido hackeadas. Su gravedad es el alcance potencial (70% de la web), que obligó a publicar parches de emergencia y movilizar a proveedores de toda la industria.

Supermercados franceses: cuando el daño termina en la basura. Desde la noche del 11 al 12 de octubre, atacantes alteraron controles de refrigeración de establecimientos franceses, incluidos supermercados de distintas cadenas. Los sistemas afectados comprendían equipos Danfoss y, posteriormente, Copeland y Dixell. El resultado fue pérdida de frío, alimentos desperdiciados e interrupciones operativas, con reportes de pérdidas de cientos de miles de euros, sin un balance consolidado. La vía exacta de entrada en Francia seguía bajo investigación. El problema continúa: el 2 de noviembre, Claroty recogió reportes de una nueva ola en siete países europeos. El refrigerador y sus proveedores de software también forman parte de la superficie de ataque de una empresa.

IDCF Cloud: un proveedor Japonés atacado, cientos de organizaciones afectadas. El 7 de octubre, un ataque de ransomware interrumpió la infraestructura del proveedor japonés IDC Frontier. La compañía confirmó un alcance de 495 empresas y gobiernos locales usuarios de la región afectada. No publicó en aquel aviso el método inicial de intrusión ni una cifra de pérdidas. Lo relevante para los negocios es la dependencia compartida: una empresa proveedora de servicios en la nube puede sufrir una interrupción grave aunque el ataque ocurra fuera de sus instalaciones. Contratar infraestructura en la nube exige evaluar también cómo continuará operando el negocio si ese proveedor deja de funcionar.

GMO: escritorios remotos y cuentas financieras en riesgo. En Japón, GMO, un proveedor japonés de infraestructura digital cuyo servicio de computadoras remotas en la nube fue comprometido, confirmó software malicioso en su servicio Onamae Desktop Cloud y suspendió servidores para contener el incidente Identificando 26,739 servidores potencialmente afectados. Algunos usuarios reportaron operaciones no autorizadas en cuentas de trading cuyas credenciales podían estar almacenadas allí. La ruta inicial de intrusión y el monto consolidado de pérdidas continuaban bajo investigación. Para el cliente, el riesgo era doble: perder acceso a su herramienta de trabajo y enfrentar movimientos financieros que no había autorizado.

LiteLLM: el peligro de perder el control de tu IA que llegó mediante una actualización oficial. LiteLLM es una herramienta que las empresas utilizan para conectar sus aplicaciones con distintos proveedores de inteligencia artificial. Una clave administrativa publicada accidentalmente meses antes nunca fue revocada. El atacante la aprovechó para obtener credenciales privilegiadas, modificar el proceso de publicación y distribuir una versión de esta herramienta de conexión con modelos de IA que contenía malware. Quienes ejecutaron los paquetes contaminados quedaron expuestos al robo de credenciales y ejecución de código en todos sus agentes de IA. No se publicó un total de víctimas ni pérdidas consolidadas todavía.

Estos episodios justifican el nombre por la concentración de amenazas y por la variedad de daños. También muestran que sería equivocado explicarlo todo como una revolución de la inteligencia artificial. En algunos casos, la IA aceleró el trabajo ofensivo; en otros, encontramos problemas conocidos: secretos expuestos, permisos excesivos, dependencias críticas y equipos mal protegidos.
¿Qué debe hacer una empresa frente a este panorama? Propongo siete prioridades.

Primera: identificar los factores críticos qué sostienen los ingresos. El inventario debe incluir aplicaciones, proveedores, cuentas privilegiadas y equipos operativos. Hay que determinar qué sucede si cada uno falla, cuánto tiempo podemos tolerarlo y quién responde. La prioridad debe seguir al impacto sobre el negocio.

Segunda: corregir primero lo que está expuesto. Las vulnerabilidades críticas en sistemas accesibles desde internet requieren responsables y plazos urgentes y verificables. Los equipos obsoletos necesitan sustitución o controles compensatorios.
Tercera: controlar las llaves del negocio. Autenticación resistente al phishing, permisos mínimos y revocación inmediata de credenciales expuestas. Esto incluye claves de aplicaciones y servicios automatizados: una contraseña eliminada de un archivo puede seguir funcionando en manos del atacante.

Cuarta: supervisar a los proveedores críticos. Hay que conocer sus accesos, exigir evidencia de controles y establecer obligaciones de notificación y recuperación. Esa supervisión debe continuar durante la relación comercial. Un cuestionario completado al contratar no refleja necesariamente el riesgo de hoy.

Quinta: limitar cuánto puede propagarse un compromiso. Segmentar sistemas administrativos, financieros y operativos; restringir accesos remotos y exigir autorizaciones adicionales para acciones de alto impacto. El objetivo es que una cuenta o computadora comprometida encuentre barreras antes de alcanzar activos críticos.

Sexta: detectar y contener con rapidez. Monitorear accesos anómalos, cambios de privilegios y movimientos inusuales, con capacidad de respuesta fuera del horario de oficina. La automatización puede ayudar, siempre con reglas de actuación y responsables claros.

Séptima: ensayar la recuperación con la dirección. Probar respaldos aislados, procedimientos alternos y decisiones de crisis. Debemos saber quién puede detener operaciones, cómo se informará a clientes y cuánto capital exige sobrevivir a una interrupción. Estas prioridades coinciden con controles promovidos por CISA (la agencia estadounidense de ciberseguridad y protección de infraestructura crítica) sobre accesos, vulnerabilidades, proveedores, segmentación y recuperación.

Octubre dejó una pregunta para cada consejo de administración: si mañana se compromete una cuenta, un proveedor o una actualización, ¿qué parte de nuestro negocio quedaría a su alcance?

La respuesta debería conocerse antes de que llegue el siguiente “octubre negro”.

Manuel Rivera (manuel@nektgroup.com @mriveraraba) es CEO y Socio fundador de NEKT Group, empresa especializada en servicios de ciberseguridad. www.nektcyber.com