Ciberseguridad

Es todo aquello que un tercero puede alcanzar o averiguar sin tener ningún derecho en su casa. Abarca más cosas de lo que se imagina: los nombres de dominio y subdominios activos, los servicios que responden en la red pública, las interfaces de administración accesibles desde cualquier sitio, los documentos dejados en acceso libre, las cuentas abiertas en servicios de terceros con las direcciones de la organización y la información que el personal publica sin pensarlo. Su propiedad incómoda es que crece sola: cada herramienta añadida, cada proveedor, cada proyecto abandonado pero todavía en línea la amplía sin que nadie lo haya decidido. Mantenerla consiste menos en reducirla a nada, imposible para una organización que trabaja, que en saber qué contiene y por qué cada elemento sigue ahí.

Ambos conservan su utilidad, pero responden a amenazas que ya no son las más frecuentes. La vía de entrada dominante hoy no es un programa que fuerza una puerta, es una credencial válida obtenida por suplantación de identidad o recuperada de una filtración, y luego reutilizada en un servicio que la acepta. Ningún antivirus distingue una conexión legítima de una ilegítima hecha con la contraseña correcta. Lo que responde a ese escenario está en otra parte: un segundo factor de autenticación, derechos limitados a lo que cada cuenta hace realmente y la capacidad de revocar un acceso deprisa. El orden útil es por tanto ese — primero los accesos, después la capacidad de restaurar y solo luego las herramientas de detección, que suponen a alguien que lea lo que señalan.

Existen servicios públicos que recopilan las filtraciones de datos hechas públicas y permiten comprobar si una dirección figura en ellas. Es un punto de partida útil, con dos límites que conviene conocer: solo ven lo que se ha publicado y señalado, así que un resultado vacío no prueba nada. La consecuencia práctica importa más que el resultado en sí: una contraseña aparecida en una filtración debe considerarse conocida, aunque parezca compleja, y sobre todo en todos los sitios donde se ha reutilizado. La reutilización es lo que convierte una filtración antigua en un servicio sin importancia en un acceso a su correo. Un gestor de contraseñas, que hace única cada contraseña por servicio, es lo que corta esa cadena.

Porque el correo electrónico se concibió sin verificación del remitente: cualquier servidor puede pretender escribir desde su dominio, igual que se escribe lo que se quiere en el reverso de un sobre. Desde entonces se han añadido mecanismos para publicar, en los ajustes públicos del dominio, qué servidores están autorizados a escribir en su nombre, cómo se firman los mensajes y qué debe hacer un destinatario con un mensaje que no supera esos controles. Mientras esos ajustes falten o se dejen en observación, un mensaje fraudulento con su nombre llega con normalidad a sus clientes. Lo importante es que esa configuración se comprueba desde fuera, por cualquiera: no es una declaración de intenciones, es un estado constatable.

Es la medida con mejor relación entre esfuerzo y efecto, y no cierra el asunto. Vuelve la suplantación de identidad bastante menos rentable, ya que una contraseña robada deja de bastar. Sigue siendo eludible en tres casos que conviene conocer: un código recibido por mensaje de texto puede interceptarse u obtenerse haciendo transferir la línea; un identificador de sesión ya abierta puede robarse y reutilizarse sin volver a pasar por la autenticación; y una solicitud repetida acaba a veces aceptándose por cansancio. Las respuestas existen y se conocen — preferir una aplicación dedicada o una llave física al mensaje de texto, limitar la duración de las sesiones y poder revocarlas, y exigir una correspondencia mostrada en vez de una simple validación.

Lo es, pero no como se imagina: rara vez se la elige, se la encuentra. La mayor parte de los ataques corrientes está automatizada y barre sin discernimiento lo que responde en la red, y después explota lo que se deja. Una estructura pequeña se expone por tanto a la misma primera oleada que una grande, con menos medios para absorberla. Se añade una posición particular: una organización modesta suele ser el camino más corto hacia un cliente mayor, por la confianza que se le concede y por los accesos que se le han abierto. El razonamiento «no interesamos a nadie» se equivoca de pregunta. La buena es: ¿qué puede hacerse con nuestros accesos, nuestros datos y nuestro nombre una vez que se tienen?

Tres reflejos valen más que la precipitación. Aislar antes de borrar: cortar el acceso de red de lo afectado limita la propagación, mientras que una limpieza inmediata destruye lo que habría permitido entender la entrada. Conservar los rastros: los registros, los mensajes recibidos y las capturas de pantalla se convierten en el único material disponible para una denuncia, una declaración o una reclamación, y muchos se borran solos. Recuperar el control de los accesos: cambiar las contraseñas desde un equipo sano, revocar las sesiones abiertas y los identificadores de aplicaciones, porque una contraseña cambiada no cierra una sesión ya activa. Después llega la pregunta que suele olvidarse con las prisas: a quién hay que avisar y en qué plazo se aplica una obligación.

Son la única defensa que deja el chantaje sin objeto, con tres condiciones de las que ninguna es automática. Deben vivir fuera del alcance del sistema que protegen: una copia conectada permanentemente se cifra al mismo tiempo que el resto, que es precisamente lo que buscan estos ataques. Deben conservar varios estados en el tiempo, porque una alteración que pasó inadvertida se copia en la última versión. Y deben haberse restaurado de verdad, al menos una vez, sobre algo distinto del sistema de origen — una copia nunca restaurada es una hipótesis, no una garantía. Queda un límite que hay que enunciar: vuelven los datos recuperables, no impiden su publicación si también se copiaron.

Dice que una organización fue capaz de describir sus procedimientos y hacerlos verificar en un momento dado, lo que no es poco y tampoco es lo que se le suele hacer decir. Una certificación cubre un perímetro declarado, que puede ser mucho más estrecho que la actividad entera; acredita un funcionamiento documentado, no la ausencia de defectos; y envejece entre dos controles. Se lee por tanto como un indicio, nunca como una conclusión, y dos preguntas la vuelven útil: qué perímetro exacto se cubre y en qué fecha tuvo lugar la última verificación. Este sitio no reivindica ninguna, y su página de Seguridad lo dice explícitamente: lo que describe son los mecanismos, para que puedan verificarse en vez de creerse.

Pidiendo lo que se constata desde fuera en vez de lo que se declara. Varios elementos se observan sin acceso privilegiado: la configuración pública del dominio, las cabeceras que devuelve el servidor, la presencia de una dirección de señalamiento, la manera en que un formulario valida lo que recibe. Otros se preguntan y deben obtener una respuesta precisa: quién tiene los accesos de administrador y cómo se revocan, dónde viven las copias de seguridad y cuándo se hizo la última restauración, qué se registra y durante cuánto tiempo. Un último punto merece plantearse antes de firmar y no después: de quién son el código, las cuentas y los datos creados para el proyecto, y en qué forma se le entregan si la colaboración termina.