Colonial Pipeline usaba una versión vulnerable y obsoleta de Microsoft Exchange

El informe preliminar sobre el ciberataque de Ransomware a Colonial Pipeline señala que el «culpable más probable» dentro de la infraestructura de TI de la empresa fueron los servicios vulnerables de Microsoft Exchange que usaba, además de otros problemas que los investigadores han señalado como generales de «falta de sofisticación en ciberseguridad», según ha reportado el New York Times.

El incidente de Colonial Pipeline es uno de los peores ataques cibernéticos contra infraestructura vital estadounidense y después de otro -no menor- como el SolarWinds debería servir como la penúltima (otra más) llamada de atención de la necesidad de invertir más y mejor para controlar las vulnerabilidades de ciberseguridad a las que se enfrentan las grandes empresas. No se entiende que una empresa como la que nos ocupa, que gestiona el oleoducto más grande de Estados Unidos, estuviera usando versiones obsoletas de Microsoft Exchange.

Y no será por falta de avisos. Microsoft había publicado múltiples avisos (la última a finales de abril después de una alerta de la NSA) sobre la urgencia de mantener actualizados los servidores de Exchange al detectarse exploits que estaban usando vulnerabilidades en el software para los ataques.

La misma Agencia de Seguridad de Infraestructura y Ciberseguridad advirtió específicamente a los operadores de oleoductos sobre posibles ataques de ransomware en febrero de 2020 y ofreció una serie de posibles estrategias de mitigación. No parece haber sido suficiente y como en otros tantos casos los delincuentes han ido por delante.

Colonial Pipeline obliga a fortalecer la seguridad cibernética de EE.UU.

El oleoducto de Colonial Pipeline abastece casi la mitad de los combustibles líquidos consumidos por la costa Este de Estados Unidos, moviendo 380 millones de litros diarios. Su cierre está afectando a 18 estados, provocando escasez de suministro, compras de pánico, subidas de precio y movimiento en los futuros del crudo. Una semana después del cierre, solo se ha restablecido una parte de su funcionamiento y el incidente aún está lejos de resolverse.

Los legisladores estadounidenses salieron a pedir explicaciones y a pedir protecciones más fuertes para la infraestructura energética crítica de Estados Unidos. Hoy mismo, el presidente de Estados Unidos, Joe Biden, firmó una orden ejecutiva destinada a fortalecer las defensas de seguridad cibernética de Estados Unidos.

La Casa Blanca dijo que estaba dirigiendo una «respuesta federal integral » a la luz del reciente ataque. La orden ejecutiva del presidente Joe Biden toma una serie de pasos para modernizar las defensas de seguridad cibernética de la nación, que incluyen la actualización a servicios seguros en la nube y otra infraestructura cibernética. También exige el despliegue de mecanismos de autenticación multifactor y cifrado con un período de tiempo específico en su lugar. Los desarrolladores de software incluso estarán obligados a compartir públicamente determinados datos de seguridad.

No es para menos. Se trata de un caso muy grave que llega pocos meses después de otro aún más relevante, el de SolarWinds. El FBI sostiene que la responsabilidad del ataque corresponde al grupo DarkSide. Un viejo conocido que ha profesionalizado este tipo de ataques por Ransomware que se cobran decenas de miles de millones de dólares en pérdidas y que se cree pro-ruso porque es conocido por no atacar organizaciones en países que solían pertenecer al bloque soviético.

El último ciberataque se produce cuando una coalición de empresas gubernamentales y tecnológicas del sector privado, llamada Ransomware Task Force, publicó una lista de 48 recomendaciones para detectar e interrumpir la creciente amenaza de ransomware, además de ayudar a las organizaciones a prepararse y responder a tales ataques más eficazmente.

¿Ha pagado el «rescate» Colonial Pipeline?

Medios estadounidenses como Bloomberg están informando que la compañía habría pagado 5 millones de dólares en criptomonedas a los ciberdelincuentes para poder descifrar sus archivos. No está confirmado y seguramente nunca lo sepamos, pero como en casos anteriores es un indicador fatídico para la industria tecnológica que solo hace alimentar a un ‘monstruo’ cada vez más poderoso.