Una falla en PHP, el software que usa cerca de 70% de los sitios web del mundo, obligó a varios gobiernos europeos a desconectar sus páginas, y los ataques con IA ya cuestan apenas USD 50 por intrusión. Te cuento qué está pasando y las cuatro cosas que puedes hacer hoy, antes de la cena, para protegerte.
Por Chris Campbell
Esta va a ser la nota más importante que publique este año. No te la saltes.
Porque aquí adentro te voy a mostrar qué está pasando ahora mismo con internet: quién está entrando y por qué hoy entrar cuesta centavos. Y después te voy a mostrar CUATRO cosas que puedes hacer al respecto antes de la cena. ¿Serán divertidas? No. Usar hilo dental tampoco lo es. Pero nadie se arrepiente de usarlo.
“¡Apágalo todo!”
El miércoles, la agencia de ciberseguridad del gobierno holandés desconectó su propio sitio web. Después se cayó el sistema nacional de inicio de sesión que la gente usa para pagar impuestos y cobrar beneficios. Luego el Parlamento, el Puerto de Róterdam, los hospitales. Alemania siguió, y también Francia, Finlandia, Bélgica y la República Checa: todos cayeron como fichas de dominó, uno tras otro.
En Washington, la NSA (la Agencia de Seguridad Nacional de Estados Unidos) les dijo a las organizaciones que hicieran lo mismo si no podían resolver el problema rápido. En Tokio, el primer ministro publicó en X: “Tenemos una solicitud urgente para que todos tomen medidas esta noche”. Decenas de millones lo vieron.
¿Qué problema? Dos fallas en un software del que probablemente nunca hayas oído hablar. Se llama PHP y funciona en cerca de 70% de los sitios web del mundo, incluidos, con toda probabilidad, algunos que visitaste hoy.
Las fallas tienen un apodo: PHP2Shell. En palabras simples, un desconocido podía entrar al servidor que está detrás de un sitio web y tomar el control, sin necesidad de contraseña.
La corrección estaba prevista para el jueves. Después se filtraron los detalles: una firma de investigación publicó por accidente un video que mostraba cómo funciona la intrusión, y la corrección salió un día antes. Entonces empezó la carrera.
La prueba del picaporte
Cloudflare protege millones de sitios web. Contó miles de intentos de intrusión en las diez horas previas al anuncio, decenas de miles en los 45 minutos posteriores y millones a la mañana siguiente. Amazon dice que alguien ya probaba la intrusión el 17 de octubre, cuatro días antes de que el público lo supiera. Por eso los gobiernos desconectaron.
Esto es lo que me preocupa: unos 2,6 millones de estos servidores son accesibles desde internet, y más de un millón usan versiones tan viejas que PHP ya no les envía correcciones. Además, cambiar la cerradura no sirve de nada contra un ladrón que ya está adentro.
Algunos ya llaman a este mes “Octubre Negro”. Esto es lo demás que pasó esta semana:
- Stop & Shop, Food Lion y Hannaford, tres grandes cadenas de supermercados, tuvieron sus sitios web y sus aplicaciones fuera de línea durante días. Las tiendas siguieron abiertas, pero los pedidos en línea no.
- El State Bank of India, el mayor banco del país, confirmó que los datos personales de 3.897 clientes aparecieron a la venta en línea.
- Un grupo criminal usó asistentes de IA trabajando en equipo para atacar a más de 400 bancos y empresas de pagos de América Latina.
Ninguno de estos hechos está conectado con los otros, y eso es lo que asusta.
La IA ayudó a los investigadores a encontrar PHP2Shell, y también ayudó a los criminales a ir tras esos bancos: la misma tecnología, para ambos lados. Un hacker escribió una instrucción de menos de 100 caracteres y dejó que la IA hiciera el resto. La IA entró en más de 100 empresas, incluida John Deere, a un costo de unos USD 50 por intrusión.
Los mayores bancos de Estados Unidos no están esperando: JPMorgan, Schwab, Citi y Bank of America ahora bloquean que programas externos de IA inicien sesión en las cuentas de los clientes. Las fallas que antes tardaban meses en convertirse en armas ahora tardan horas.
Así que esto es lo que necesitas hacer para protegerte de un ciberataque.
- ASUME QUE ALGUIEN TIENE TUS DATOS. Cambia tus contraseñas importantes. Es gratis y toma diez minutos. Si alguien te pide un código de cuenta que acabas de recibir en tu teléfono, es una estafa. ¿Si alguien te llama de parte de Google, de tu banco, de Robinhood o de Coinbase? ES UNA ESTAFA. Siempre. Además, no entres en pánico: el pánico es lo que los estafadores esperan, y es lo único que te hace vulnerable.
- CONSIGUE Y USA LLAVES DE ACCESO (PASSKEYS), DE PREFERENCIA LLAVES FÍSICAS. Lo primero: abre la app de tu compañía de teléfono y busca una opción llamada Protección de SIM, Bloqueo de número o Bloqueo de cuenta. Actívala. Esos códigos de seis dígitos que tu banco te envía por mensaje de texto: un criminal (o incluso una IA) puede engañar a tu compañía de teléfono para que pase tu número a su teléfono. Se llama SIM swap (intercambio de SIM). Entonces tus códigos le llegan a él. Activar los bloqueos de SIM ofrece una capa de protección.
Lo segundo: una llave física, como una YubiKey. Es una llave pequeña que se conecta a tu computadora o a tu teléfono. Sin la llave física, no hay inicio de sesión. A diferencia de una contraseña, un hacker en otro país no puede robarla: tendría que quitártela físicamente. E incluso entonces, necesitaría tu contraseña o tu PIN. Los administradores de contraseñas, Google, Apple, Microsoft y los grandes exchanges de criptomonedas permiten usarlas. Compra al menos dos y mantén una escondida como respaldo. Y siempre compra directamente del fabricante.
Pero estas llaves tardan unos días en llegar. Mientras tanto, siempre que un sitio ofrezca una “passkey” o una app de autenticación, actívala.
El ranking:
- Llaves físicas y passkeys: las más fuertes.
- Apps de autenticación: buenas.
- Códigos por mensaje de texto: débiles.
- ACTUALIZA TODO. Tu teléfono, tu computadora, tu navegador, el router de wifi de tu casa. Cuando el menú de Configuración diga que hay una actualización lista, instálala. Eso es cambiar tú mismo tus cerraduras. Si compraste tu router y es viejo, voltéalo y busca el número de modelo en la etiqueta. Busca ese número junto con las palabras “end of life” (fin de vida útil). Si el fabricante dice que ya no ofrece soporte para ese modelo, reemplázalo. Si tu compañía de internet te dio el router, llámala: te puede decir si es actual. Es molesto, pero hazlo. Una advertencia: nunca instales una “actualización” que aparezca en una ventana emergente de un sitio web o en un enlace de un mensaje de texto o de un correo. Eso es una estafa clásica.
- CIERRA LAS PUERTAS LATERALES. Cada cuenta, app y aparato es otra forma de entrar. Borra las apps que no usas. Desenchufa los aparatos inteligentes que no necesitas. Si tienes una Alexa, ve a la configuración y desactiva las compras por voz (además, presiona el botón de silencio cuando quieras apagar el micrófono). Usa una contraseña distinta para cada cuenta y deja que un administrador de contraseñas protegido con passkey las recuerde. Nunca le des el acceso de tu banco a una app o a un agente de IA. Y durante las próximas semanas, no escribas una contraseña ni el número de una tarjeta en un sitio web que no conozcas.
BONO: SI TIENES CRIPTOMONEDAS. Las mayores blockchains, bitcoin y ethereum, fueron diseñadas bajo el supuesto de que todos son ladrones. Sus registros viven en miles de computadoras a la vez, así que no hay una sola a la que entrar. Llevan años abiertas a todos los hackers de la Tierra. [El plan cripto a 24 meses]
PERO… los puntos débiles son todo lo que se construyó a su alrededor: exchanges, apps, sitios web. Y si alguien te roba tus monedas, no hay un banco al que llamar. Elige con cuidado cómo guardas tus claves, o quién las guarda. Si tienes criptomonedas en una billetera, ten cuidado al hacer clic en “connect wallet” (conectar billetera) en CUALQUIER sitio web durante este mes: un sitio secuestrado puede reemplazarlo por un botón falso que vacíe tu billetera.
En algún lugar, ahora mismo, un servidor que maneja tu banco, tu médico o la escuela de tus hijos está esperando una reparación. Esa no la puedes arreglar tú. Pero sí puedes arreglar la tuya.
Chris Campbell
Para Libertad & Riqueza
