El FSB entra por routers olvidados

En algún armario de un edificio hay un router que lleva años funcionando sin llamar la atención. Se instaló, nadie ha actualizado su firmware y todavía acepta la contraseña de fábrica. Como no falla, nadie lo toca. Esa invisibilidad es precisamente lo que lo hace útil para la inteligencia rusa.

Un aviso conjunto publicado este mes por la NSA, el FBI y servicios de inteligencia de al menos ocho países europeos señala a una unidad concreta, el Centro 16 del FSB ruso, como responsable de explotar de forma sistemática estos dispositivos olvidados (CISA). En la coalición figuran Francia, Italia, Polonia, Suecia, Finlandia, Estonia, Dinamarca y la República Checa (NCSC NZ). La advertencia es multinacional y trata la seguridad básica de los routers como una exposición compartida de Occidente.

Cómo sale por la puerta el plano del edificio

Muchos routers mantienen activada una antigua función de control remoto que permite a los administradores gestionar equipos a distancia dentro de una red. Los ingenieros la conocen como SNMP. Sus primeras versiones, diseñadas hace décadas, apenas incorporan seguridad. La «contraseña» es una cadena corta de texto que a menudo sigue siendo la predeterminada de fábrica: literalmente las palabras «public» o «private». Cualquiera que rastree internet puede probarlas (CISA).

Una vez dentro, el intruso ordena al router que copie su propio archivo de configuración y lo envíe a un servidor bajo su control (NSA). Ese archivo funciona como la libreta del dispositivo: qué equipos existen en la red, cómo circula el tráfico entre ellos y, en ocasiones, dónde se guardan credenciales de acceso. El atacante obtiene un mapa interno de la organización y, a menudo, llaves para avanzar más adentro.

El método se parece al de un espía que prueba puertas hasta encontrar una abierta, fotocopia el plano del edificio, consulta la lista telefónica interna y localiza dónde se guardan las llaves. El centro finlandés de ciberseguridad lo ha expresado en términos prácticos: los dispositivos de red mal protegidos abren una vía para ciberataques y las organizaciones no deberían dejar estos paneles de control remoto expuestos a internet (Kyberturvallisuuskeskus).

La columna vertebral de las economías europeas, expuesta

El aviso enumera los sectores atacados: comunicaciones, energía, servicios financieros, administraciones públicas, industria de defensa y sanidad (CISA). Es, en la práctica, la columna vertebral de cualquier economía europea.

La cobertura alemana ha subrayado la asimetría: los routers y otros dispositivos de perímetro, los equipos situados entre una organización e internet, suelen vigilarse con menos cuidado que los servidores o los portátiles, aunque una sola configuración incorrecta basta para que un atacante empiece a cartografiar una red (Handelsblatt, cyberdeutsch.news). Los servicios de inteligencia italianos AISE y AISI firmaron también el aviso (Decode39). La inteligencia finlandesa, Supo, emitió una advertencia nacional paralela para empresas y sectores críticos (Supo).

El riesgo no termina en la primera víctima. Un router comprometido puede convertirse en dirección de paso para el atacante: el tráfico hostil posterior se encamina a través de la red de la víctima, de modo que parece proceder de una empresa europea legítima. Así se blanquea la presencia del intruso y se complica la detección para cada socio y proveedor de la cadena (AttackIQ).

La solución es aburrida, y ese es el problema

Las defensas recomendadas son deliberadamente poco vistosas: desactivar las versiones antiguas de SNMP, actualizar a SNMPv3, que exige autenticación real, cambiar las contraseñas predeterminadas, restringir la gestión remota a redes conocidas, actualizar el firmware y sustituir los dispositivos que ya no reciben parches (NSA). El centro finlandés de ciberseguridad añadió otra medida: recopilar y conservar registros durante un periodo de seis a veinticuatro meses (Kyberturvallisuuskeskus).

Cada punto de esa lista puede aplicarlo ya un equipo informático, sin nuevas normas ni informes clasificados. La brecha no está en el conocimiento, sino en la prioridad. Un hospital o un ayuntamiento puede tener una buena protección en sus portátiles mientras el router de una oficina secundaria conserva la misma contraseña con la que salió de fábrica en 2018.

Ese es el patrón sobre el que alertan una veintena de países. La inteligencia estatal rusa no está atravesando defensas avanzadas, sino entrando por compuertas de mantenimiento que nunca se cerraron. El espionaje escala porque el mismo pequeño fallo de mantenimiento se repite en miles de redes.