Apágalo y vuélvelo a prender

Sarah Díaz

Profesional en Relaciones Internacionales y Estudios Políticos, periodista, investigadora y diseñadora freelance enfocada en comunicación internacional y análisis geopolítico.

A mucha gente le dan miedo todas las cosas que representan Halloween, las arañas, los murciélagos, los fantasmas y hasta los payasos asesinos. Pero el susto que ha vivido el mundo tecnológico desde Halloween ha sido brutal, desde la IA hasta PHP.

Para los que, como yo, se enteraron hace dos días de qué era PHP, se lo explico así. Imagínate que el internet es como un edificio sostenido por vigas. De repente alguien descubre una bomba en una de ellas, y justo es la que apoya todas las demás. Y como nadie sabe qué hacer, todo el mundo evacua el edificio a ver si llega alguien a resolver.

Eso pasó con PHP, un lenguaje de programación que usa cerca del 70 % de los sitios web y que está detrás de WordPress, Drupal y Magento. Casi nadie lo conoce, pero casi todo depende de él, como las vigas. Lo que pasó es que descubrieron dos fallas gravísimas en ese lenguaje, bautizadas PHP2Shell, que le permitirían a un hacker meterse a un servidor sin clave ni usuario. Ante el riesgo, muchos administradores prefirieron apagar sus propias páginas antes de que se robaran información clave o se cayeran.

A los de PHP les pasó la de Chernóbil, estaban haciendo pruebas y se dieron cuenta del chicharrón tan berraco en el que estaban metidos.

La razón por la cual muchos programadores entraron en pánico es porque se filtraron las fallas, y personas maliciosas empezaron a atacar dichas páginas. Según Amazon, los primeros intentos de explotación fueron el sábado 17 de octubre, cuatro días antes de que salieran los parches, y no solo fueron un par de páginas. Se estima que más de 22,6 millones de instancias fueron expuestas. Para uno que lo ve desde afuera tal vez no se ve tan grave, pero el mismísimo CEO de Cloudflare describió “miles de intentos” de hackeo en las 10 horas previas al anuncio de los parches, “decenas de miles” en los 45 minutos posteriores y “millones” después. Fue tan terrible que las dos fallitas tienen un puntaje crítico de 9,2 sobre 10. Es como cuando el médico le pregunta a uno cuánto le duele del 1 al 10 y uno dice 9, ya ahí el doctor sabe que tiene que ir directo a operarte.

Cuando pasó esto en Europa se azararon un montón, tanto que los gobiernos de Francia, Canadá, Países Bajos y República Checa apagaron parte de sus páginas oficiales. En el Reino Unido hubo 32 servicios del Gobierno caídos y 4 con caída parcial. Incluso la sugerencia de la NSA y de CERT-EU era que se actualizara todo para protegerse una vez arreglados los errores, pero quienes no pudieron hacerlo tuvieron que sacar los sitios de la red. Dicen que fue el “viernes negro” del internet, quién sabe cuántos datos se filtraron por este fenómeno.

Y es que hasta los de Wikimedia se asustaron, ellos con otras páginas, como las de la Universidad de Ginebra, el Internet Archive y organismos públicos, estuvieron fuera de línea. Para algunos fue un momento breve, para otros fueron dos días de caos. En Países Bajos desconectaron su portal la propia agencia de ciberseguridad, el portal central de la administración y el Puerto de Róterdam. Si esa gente se asusta, nos asustamos todos.

Y es que el riesgo era real. Imagínate que un random entre a tu teléfono y vea todas tus redes sociales sin usuario, sin contraseña, sin autenticación. ¡Algo así les pasó a los servidores, los hackers podían ver absolutamente todo! Desde tokens de autenticación hasta la memoria del lenguaje de programación.

Hasta en Colombia Colcert reportó 8.699 servicios con PHP expuestos y 170 servidores públicos expuestos con versiones obsoletas de PHP. Y la peor parte es que de los 8 mil servicios casi el 88 % está en redes de proveedores de internet. O sea que si usted era de los pocos que le tenía fe a las empresas de telecomunicaciones de este país, puede irse despidiendo porque es muy posible que hasta allá hayan llegado las cosas.

Lo curioso es lo que pasa después. Esta semana Microsoft 365 se cayó a nivel mundial por casi 24 horas, y lo primero que todo el mundo pensó fue “¿otro hackeo?”. La empresa se disculpó y dijo que fue una falla técnica, sin ciberataque ni agentes de IA de por medio. Con la caída de la FAA, que frenó el tráfico aéreo en Estados Unidos, pasó lo mismo. El Gobierno dice que no hay evidencia de ciberataque, aunque tampoco lo descarta del todo. Son otras fallas más que se unen al chisme de la semana, los múltiples amoríos del CEO de NVIDIA. El mundo de la tecnología está dando vueltas y vueltas, y detrás de él, la diplomacia y la política. El giro “azul” de Estados Unidos, la competencia de USA y China con los chips, la caída del mercado… todo está conectado de mil maneras que dan para artículos que posiblemente escriba más adelante.

Esta vaina de los hackeos recientes nos deja varias lecciones. La primera es que los edificios se sostienen con vigas que solo conoce el inge que las puso, y cuando el man se va, le deja el chicharrón al resto. La segunda es que siempre hay que revisar las grietas, y ahora que la IA las encuentra más rápido, los buenos y los malos compiten por llegar primero. La tercera es que ese “apágalo y vuélvelo a prender” del que tanto nos burlamos de los ingenieros a veces sí funciona. Y la cuarta es que no todo apagón es un ataque, pero tampoco todo ataque se anuncia con un apagón.