Los analistas de AWS detectaron recientemente un intento de ataque ocurrido el 17 de octubre mientras revisaban la actividad en uno de sus «honeypots», esos servidores web intencionalmente vulnerables —y otros señuelos digitales— que los investigadores usan para estudiar los métodos y nuevas tendencias de los hackers.
El intento provenía de una dirección IP que, según AWS, está vinculada a una “red comercial de anonimización”, como una red proxy o una VPN. No se sabe con certeza cómo se produjo el ataque ni desde dónde, pero el hallazgo deja una certeza incómoda: alguien estaba probando los fallos críticos de uno de los lenguajes más populares en páginas web, PHP antes de que existieran para el mundo.
Aunque el origen del ataque sigue sin esclarecerse, AWS sostiene que estos hallazgos demuestran la necesidad de acelerar y adaptar la divulgación coordinada de vulnerabilidades. La razón es concreta: el acceso generalizado a herramientas de inteligencia artificial puede agilizar el análisis de fallos y permitir que actores con menos conocimientos técnicos desarrollen rápidamente nuevos métodos de ataque.
Según un informe de la firma de ciberseguridad Mandiant, el «tiempo promedio entre la divulgación de una vulnerabilidad crítica y su explotación activa se redujo de 63 días en 2018 a solo 19 días en 2023» (algunos hablan ya de horas), y las herramientas de IA generativa están acelerando aún más ese ciclo. En el caso de PHP, la ventana entre el anuncio público y el primer intento de explotación registrado por AWS fue de apenas «cuatro días».
¿Ha pasado antes? Claro que sí. La historia de la ciberseguridad está llena de casos en los que el «exploit» precede al anuncio, y el anuncio precede a la vergüenza. Lo que cambia es el contexto: la velocidad de las filtraciones, la presión de los parches y la delgada línea entre descubrir, divulgar y ser descubierto. En este caso, como en tantos otros, la pregunta no es si alguien sabía más de la cuenta, sino cuántos más estaban callados y de qué manera se ha visto este incidente en Colombia.
