Washington (CNN) – Cientos de millones de dispositivos en todo el mundo podrían estar expuestos a una vulnerabilidad de software recientemente revelada. Un alto funcionario cibernético de la administración Biden advirtió este lunes a los ejecutivos de las principales industrias de Estados Unidos que deben tomar medidas para atender “una de las más graves” vulnerabilidades que ha visto en su carrera.
Mientras las principales empresas de tecnología luchan por contener las consecuencias del incidente, los funcionarios estadounidenses mantuvieron una llamada con los ejecutivos de la industria advirtiendo que los hackers están explotando activamente la vulnerabilidad.
“Esta vulnerabilidad es una de las más graves que he visto en toda mi carrera, si no la más grave”, dijo Jen Easterly, directora de la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA, por sus siglas en inglés), en una llamada telefónica compartida con CNN. Grandes firmas financieras y ejecutivos de atención médica asistieron a la sesión informativa telefónica.
“Esperamos que la vulnerabilidad sea ampliamente explotada por actores sofisticados y tenemos un tiempo limitado para tomar las medidas necesarias a fin de reducir la probabilidad de incidentes dañinos”, dijo Easterly.
CNN se ha comunicado con CISA para obtener comentarios sobre la llamada. CyberScoop, un sitio de noticias de tecnología, informó por primera vez sobre el contenido de la llamada.
Advertencia severa
Es la advertencia más severa hasta ahora de los funcionarios estadounidenses sobre la falla del software desde que se conoció a fines de la semana pasada que los hackers lo estaban utilizando para intentar ingresar a las redes informáticas de las organizaciones. También es una prueba de nuevos canales que los funcionarios federales han establecido para trabajar con ejecutivos de la industria después de los ataques generalizados que explotan el software SolarWinds y Microsoft revelados en el último año.
Los expertos le dijeron a CNN que podría llevar semanas abordar las vulnerabilidades y que presuntos hackers chinos ya están intentando explotarlo.
La vulnerabilidad está en el software basado en Java conocido como “Log4j” que las grandes organizaciones, incluidas algunas de las firmas tecnológicas más grandes del mundo, utilizan para registrar información en sus aplicaciones. Gigantes tecnológicos como Amazon Web Services e IBM se han movilizado para atender el error en sus productos.
Ofrece a un hacker una forma relativamente fácil de acceder al servidor informático de una organización. A partir de ahí, un atacante podría idear otras formas de acceder a los sistemas en la red de una organización.
Apache Software Foundation, que administra el software Log4j, ha lanzado una solución de seguridad para que las organizaciones la apliquen.
Carrera contra el tiempo para solucionar el defecto
Pero los atacantes tenían más de una semana de ventaja para explotar la falla del software antes de que se revelara públicamente, según la firma de ciberseguridad Cloudflare.
Las organizaciones están ahora en una carrera contra el tiempo para averiguar si tienen computadoras que ejecutan el software vulnerable que estuvo expuesto a Internet. Los ejecutivos de ciberseguridad de todo el gobierno y la industria están trabajando las 24 horas del día en este tema.
“Tendremos que asegurarnos de realizar un esfuerzo sostenido para comprender el riesgo de este código en toda la infraestructura crítica de EE. UU.”, Dijo Jay Gazlay, otro funcionario de CISA, en la llamada telefónica.
Los hackers vinculados al gobierno chino ya han comenzado a usar la vulnerabilidad, según Charles Carmakal, vicepresidente senior y director de tecnología de la firma de ciberseguridad Mandiant. Mandiant se negó a dar detalles sobre las organizaciones a las que se dirigían los hackers.
“Con el tiempo, todos pueden armar la maldita cosa”, dijo a CNN el director ejecutivo de Mandiant, Kevin Mandia, refiriéndose a la vulnerabilidad. “Ese es el problema. Y probablemente habrá grandes hackers escondidos en el ruido de los no tan buenos”.
El “ruido” es un problema real. Para los profesionales de la ciberseguridad, Twitter ha sido un cambio constante tanto de información útil como, en algunos casos, de información errónea que no tiene nada que ver con la vulnerabilidad.
Abordan el problema
Para abordar el problema, CISA dijo que establecería un sitio web público con información sobre qué productos de software se vieron afectados por la vulnerabilidad y las técnicas que los hackers estaban utilizando para explotarla.
“Este será un proceso de varias semanas en el que nuevos actores están explotando la vulnerabilidad”, dijo Eric Goldstein, subdirector ejecutivo de seguridad cibernética de CISA, en la llamada telefónica.
La ubicuidad del software obligó a los profesionales de la ciberseguridad de todo el país a pasar el fin de semana comprobando si sus sistemas son vulnerables.
“Para la mayor parte del mundo de la tecnología de la información, no hubo fin de semana”, dijo a CNN Rick Holland, director de seguridad de la información de la firma de ciberseguridad Digital Shadows. “Fue sólo otro largo conjunto de días”.
Geneva Sands de CNN contribuyó con este reportaje.