A mediados del año ColCERT, el Grupo de Respuesta a Emergencias Cibernéticas de Colombia adscrito al MinTIC, emitió una alerta de riesgo alto por una campaña global de robo de credenciales que afecta a firewalls y pasarelas VPN corporativas expuestas a internet.
Colombia aparece como el séptimo país más afectado del mundo, con 2.436 interfaces de administración comprometidas. La afectación se confirmó en 27 organizaciones colombianas, cuyas redes internas quedaron, según el informe de la alerta, «totalmente expuestas».
Una contraseña vieja que nunca se fue
La alerta aclara que la campaña no explota una falla en el código del software. Se apoya en una deficiencia estructural en la gestión de identidades y en el almacenamiento de contraseñas.
Entre 2024 y 2026 el fabricante de los equipos afectados migró de un algoritmo de cifrado débil a uno robusto. El problema es que cuando un dispositivo se actualizaba pero el administrador no volvía a iniciar sesión ni cambiaba su clave, el cifrado antiguo seguía guardado en un campo heredado del archivo de configuración.
Muchas organizaciones parcharon sus equipos creyendo que el tema estaba cerrado.
Los atacantes automatizaron el escaneo de interfaces de administración expuestas hacia internet y descargaron copias de configuración. De ahí extrajeron esas claves antiguas y las procesaron fuera de línea, con un clúster de 45 tarjetas gráficas.
Contraseñas de hasta veinte caracteres cayeron en minutos, sin generar picos de tráfico ni bloqueos de cuenta que alguien pudiera detectar.
Con esas credenciales el atacante entra como administrador legítimo. Su actividad se parece a la de cualquier operación normal de mantenimiento.
Desde el firewall puede leer tráfico VPN cifrado, moverse hacia el directorio activo y borrar los registros locales, lo que complica bastante cualquier investigación posterior si esos registros no se estaban enviando a un sistema externo como un SIEM.
El acceso se vende
La parte que más debería inquietar a un comité directivo aparece en la sección de impacto de la alerta.
Los atacantes clasificaron a las víctimas colombianas por ingresos anuales y dieron prioridad a las que facturan más de 500 millones de dólares, con la intención de vender ese acceso inicial a grupos de cibercrimen organizado.
El robo de credenciales de junio funciona entonces como inventario. El ataque de ransomware llega después, ejecutado por otro actor que compró la entrada.
«Muchas empresas revisaron sus equipos, vieron que estaban actualizados y dieron el tema por superado. La actualización no borraba la contraseña vieja y los dejó expuestos», explicó Pablo García, BDM Cybersecurity LATAM.
Qué prioriza la alerta
- Deshabilitar el acceso administrativo desde internet en todas las interfaces externas. Si es indispensable mantenerlo, restringirlo a direcciones IP autorizadas o exigir certificado de cliente.
- Activar doble factor de autenticación de forma obligatoria para accesos administrativos y VPN.
- Invalidar las contraseñas de todos los administradores, con una longitud mínima de 16 caracteres que resista el descifrado por diccionario sumado a políticas de cambio de contraseñas periódicas.
- Enviar los registros de actividad a un sistema externo el más recomendado un SIEM monitoreado por un SOC.
La recomendación de fondo del informe es directa, cualquier organización colombiana con estos servicios en su perímetro debería trabajar bajo el supuesto de que sus credenciales actuales ya son conocidas por terceros y debe tomar las mejores prácticas en respuesta a incidentes.