Software News #7: El robo de contraseñas a escala industrial y el iPhone que no se puede arreglar.

1. FortiBleed: le han robado las llaves a la mitad de los firewalls del mundo.

Empezamos con la noticia más grave de la semana, y conviene entenderla bien porque afecta directamente a la seguridad de muchas pymes sin que lo sepan. Un firewall es el guardián que separa la red de tu empresa de internet; es, literalmente, la primera línea de defensa. Pues bien, esta semana se ha confirmado que los atacantes han conseguido las credenciales de administrador de decenas de miles de firewalls de la marca Fortinet, una de las más extendidas del mundo en empresas.

La campaña, bautizada como FortiBleed, ha producido una base de datos verificada de credenciales funcionales de alrededor de 74.000 dispositivos repartidos por 194 países, lo que según los investigadores supone cerca de la mitad de todos los firewalls de esta marca expuestos a internet. La agencia de ciberseguridad de Estados Unidos (CISA) emitió el 18 de junio una alerta urgente pidiendo a las empresas afectadas que cancelen todas las sesiones activas y cambien todas las contraseñas de inmediato.

Lo más revelador es cómo lo hicieron. No reventaron un muro a la fuerza. Los atacantes extrajeron los archivos de configuración de los aparatos y descifraron las contraseñas que estaban guardadas dentro con un método de protección anticuado y débil. Exactamente el problema que explicábamos en nuestro último capítulo de la serie de formación: cómo se guarda una contraseña importa tanto como la contraseña misma.

La lectura del experto: Esta noticia tiene una consecuencia práctica inmediata. Si tu negocio usa un firewall o una VPN de Fortinet (algo muy común, porque las instalan muchas empresas de informática), hoy es el día de llamar a quien te lo gestiona y preguntar dos cosas: si tu dispositivo está entre los afectados y si se han cambiado ya todas las contraseñas de administrador. Y hay una lección más profunda: la seguridad de tu empresa no termina en las herramientas que tú controlas, sino que llega hasta el último aparato que un proveedor instaló en tu oficina hace años y que quizá nadie ha revisado desde entonces. Ese olvido es, hoy, una puerta abierta.

2. El iPhone que no se puede arreglar: cuando el fallo está en el propio chip.

La segunda noticia es fascinante desde el punto de vista técnico y muy útil para entender un concepto clave. Esta semana, el 18 de junio, un equipo de investigadores de seguridad publicó un exploit llamado usbliter8 que afecta a los chips A12 y A13 de Apple, es decir, a toda la familia que va desde el iPhone XS hasta el iPhone 11, además de varios iPads y Apple Watch.

Lo extraordinario no es el fallo en sí, sino que es imposible de arreglar. El agujero no está en el sistema operativo (que se puede actualizar), sino en el código grabado físicamente en el propio chip durante su fabricación, una zona que ninguna actualización puede tocar. Eso significa que los dispositivos afectados arrastrarán esta vulnerabilidad durante el resto de su vida útil. La parte tranquilizadora: el ataque requiere tener el teléfono físicamente en la mano y conectarlo por cable, así que el riesgo para un usuario normal es bajo.

La lectura del experto: Aquí hay una idea que cualquier responsable de empresa debería interiorizar: no todo se arregla con una actualización. Solemos pensar que el software es eterno y reparable, pero descansa sobre un hardware que tiene fecha de caducidad y límites físicos. Cuando un fallo vive en el silicio, la única solución es jubilar el aparato. Esto conecta con una decisión de gestión muy concreta: los dispositivos de empresa tienen una vida útil de seguridad, no solo de funcionamiento. Un iPhone de 2019 puede encenderse perfectamente en 2026 y, aun así, ser una pieza que ya no deberías usar para datos sensibles. Saber cuándo retirar un equipo es tan importante como saber cuándo comprarlo.

3. Cuando la IA miente, ¿quién paga? Un tribunal europeo ya tiene respuesta.

Cerramos con una noticia que sienta un precedente legal de enorme calado. Un tribunal regional de Múnich ha dictaminado que Google es directamente responsable de las afirmaciones falsas que genera su resumen de inteligencia artificial en las búsquedas (las llamadas "AI Overviews"). El caso surgió cuando esos resúmenes vincularon falsamente a dos editoriales con estafas y prácticas comerciales dudosas, conexiones que no aparecían en ninguna de las fuentes citadas.

El argumento del tribunal es lo importante. Hasta ahora, los buscadores estaban protegidos legalmente porque solo mostraban enlaces a contenido de terceros. Pero el tribunal ha determinado que cuando una IA reescribe la información "con sus propias palabras y según su propia estructura", deja de ser un simple buscador y pasa a hacer afirmaciones propias. Y de lo que uno afirma, uno responde. Es una de las primeras sentencias del mundo que responsabiliza a una empresa por lo que dice su IA.

La lectura del experto: Esto va mucho más allá de Google. Si esta línea jurídica se consolida, afecta a cualquier empresa que use IA para comunicarse con clientes o generar contenido. La idea de que "lo dijo la IA, yo no" está dejando de ser una defensa válida. Si en tu negocio usas un chatbot que da información a tus clientes, o generas textos con IA que afirman cosas sobre productos, precios o terceros, la responsabilidad de lo que esa IA diga es tuya. La inteligencia artificial es una herramienta que trabaja en tu nombre, y lo que firma en tu nombre te compromete. Úsala, pero revisa lo que dice antes de que hable por ti.

Lección Semanal: tus llaves valen más que tus muros.

El hilo conductor de esta semana es imposible de ignorar: la seguridad de un negocio ya no depende de lo altos que sean sus muros, sino de quién tiene las llaves y en qué estado están. Le pueden robar las credenciales a la mitad de los firewalls del planeta. Un fallo puede vivir para siempre en un chip que creías seguro. Y una herramienta de IA puede comprometerte legalmente con algo que tú nunca dijiste.

Las tres noticias apuntan al mismo sitio: el control real de tu negocio está en los detalles que casi nadie revisa. La contraseña vieja de un aparato que instaló un técnico hace años. El móvil de empresa que sigue funcionando pero ya debería estar jubilado. El chatbot que responde a tus clientes sin que nadie supervise lo que dice. No son cuestiones técnicas de informáticos: son decisiones de gestión que marcan la diferencia entre un negocio bajo control y uno expuesto.

La tecnología sigue siendo una herramienta al servicio de quien la entiende. Y entenderla, esta semana, significa asumir que la puerta más peligrosa es siempre la que llevas tanto tiempo sin mirar que ya ni recuerdas que está ahí.