La Agencia de Seguridad Nacional de EE. UU. (NSA) descubrió una falla de seguridad importante en el sistema operativo Windows 10 de Microsoft que podría permitir a los piratas informáticos interceptar comunicaciones aparentemente seguras.
Pero en lugar de explotar la falla para sus propias necesidades de inteligencia, la NSA avisó a Microsoft para que pueda arreglar el sistema para todos.
Microsoft lanzó un parche de software gratuito para corregir la falla el martes y acreditó a la agencia de inteligencia por descubrirlo. La compañia dijo no ha visto ninguna evidencia de que los hackers hayan usado la técnica.
Amit Yoran, CEO de la firma de seguridad Tenable, dijo que es "excepcionalmente raro, si no sin precedentes" que el gobierno de los Estados Unidos comparta su descubrimiento de una vulnerabilidad tan crítica con una compañía.
Yoran, quien fue director fundador del equipo de preparación para emergencias informáticas del Departamento de Seguridad Nacional, instó a todas las organizaciones a priorizar la aplicación de parches en sus sistemas rápidamente.
Un consultivo enviado por la NSA el martes dijo que "las consecuencias de no reparar la vulnerabilidad son graves y generalizadas".
Microsoft dijo que un atacante podría explotar la vulnerabilidad falsificando un certificado de firma de código para que pareciera que un archivo proviene de una fuente confiable.
"El usuario no tendría forma de saber que el archivo era malicioso, porque la firma digital parecería ser de un proveedor confiable", dijo la compañía.
Si se explota con éxito, los atacantes habrían podido realizar "ataques de intermediarios" y descifrar la información confidencial que interceptan en las conexiones de los usuarios, dijo la compañía.
"El mayor riesgo es asegurar las comunicaciones", dijo Adam Meyers, vicepresidente de inteligencia de la firma de seguridad CrowdStrike.
Algunas computadoras recibirán la solución automáticamente, si tienen activada la opción de actualización automática. Otros pueden obtenerlo manualmente yendo a Windows Update en la configuración de la computadora.
Microsoft generalmente publica actualizaciones de seguridad y de otro tipo una vez al mes y esperaba hasta el martes para revelar la falla y la participación de la NSA. Microsoft y la NSA se negaron a decir cuándo la agencia notificó en privado a la compañía.
La agencia compartió la vulnerabilidad con Microsoft "rápida y responsablemente", dijo Neal Ziring, director técnico de la dirección de seguridad cibernética de la NSA, en un comunicado. Blog publicar el martes.
Priscilla Moriuchi, quien se retiró de la NSA en 2017 después de dirigir sus operaciones en Asia Oriental y el Pacífico, dijo que este es un buen ejemplo del "papel constructivo" que la NSA puede desempeñar para mejorar la seguridad de la información global. Moriuchi, ahora analista de la firma estadounidense de ciberseguridad Recorded Future, dijo que probablemente sea un reflejo de los cambios realizados en 2017 en cómo Estados Unidos determina si revelar una vulnerabilidad importante o explotarla con fines de inteligencia.
La renovación de lo que se conoce como el "Proceso de Renta Variable de Vulnerabilidad" puso más énfasis en revelar vulnerabilidades siempre que sea posible para proteger los sistemas centrales de Internet y la economía y el público en general de EE. UU.
Esos cambios ocurrieron después de que un misterioso grupo que se hacía llamar los "Agentes de las Sombras" lanzó un tesoro de herramientas de piratería de alto nivel robadas a la NSA, obligando a compañías como Microsoft a reparar sus sistemas. Estados Unidos cree que Corea del Norte y Rusia pudieron capitalizar esas herramientas de piratería robadas para desencadenar devastadores ataques cibernéticos mundiales.