«La seguridad absoluta es imposible»: hablan los expertos tras la inédita brecha que puso en riesgo miles de webs

PHP2Shell se ha convertido en la última preocupación en el ámbito de la inteligencia artificial (IA) y de la ciberseguridad. En concreto, es el nombre que la comunidad tecnológica ha otorgado al conjunto de vulnerabilidades críticas en PHP –considerado uno de los lenguajes de programación más utilizados en el desarrollo web y bajo el que actúa el 70 % de las distintas plataformas– que generaron una alerta mundial este miércoles. La alarma, conocida tras el aviso de la Agencia de Seguridad Nacional de Estados Unidos (NSA por sus siglas en inglés), provocó que distintos portales públicos de distintos países –entre ellos España– tuvieran que ser desconectados.

Para ser más exactos, este fallo de seguridad en el código suele ser aprovechado por los ciberdelincuentes para tomar el control de un servidor web, dando lugar a fraudes de identidad y saqueo de cuentas y perfiles personales, entre otras consecuencias.

En este episodio la inteligencia artificial (IA) fue clave, ya que permitió descubrir los fallos ocultos que llevaban años sin ser detectados por humanos. Como era de esperar, una vez filtradas estas vulnerabilidades se fueron sucediendo los distintos ataques de hackers antes de que se pudieran aplicar los distintos parches de emergencia, dando lugar al pánico global.

De hecho, según la plataforma de ciberseguridad Zscaler, este episodio presentó una puntuación de gravedad de 9,2 sobre 10, ya que los atacantes podían ejecutar código de forma remota sin autenticación ni interacción por parte del usuario.

En palabras de Eugenio Mallol, divulgador y columnista de Tecnología en El Debate, la reciente «fuente de vulnerabilidad» detectada solo puede subsanarse mediante una capacidad de reacción mayor.

«La clave no es evitar ataques ya, sino ser capaz de recuperarse rápidamente, de no dejar que se detenga la actividad por culpa de los ataques. Creo que estamos en el punto de la resiliencia», señala.

Es prácticamente imposible detectar a simple vista si una página web que utiliza de forma habitual padece esta vulnerabilidadEusebio NievaDirector técnico de Check Point Software para España y Portugal

En palabras del experto, aunque «la seguridad absoluta es imposible», lo que está poniendo en evidencia la inteligencia artificial es que al final «la tenemos dentro y ni siquiera sabemos dónde está».

Por su parte, Eusebio Nieva, director técnico de Check Point Software (multinacional líder en el sector de la ciberseguridad) para España y Portugal, argumenta que «estamos presenciando una nueva etapa» en la que se pueden descubrir fallos «en cuestión de minutos»: «Esta aceleración implica que este tipo de noticias serán cada vez más frecuentes, obligando a los defensores a automatizar también sus herramientas de detección para no quedar en desventaja».

Especialmente vulnerable es nuestro país, ya que se estima que el tiempo medio que se tarda en España en introducir una actualización cuando se ha detectado una vulnerabilidad son de 30 a 45 días, provocando que nos encontremos en una posición muy sensible ante brechas de datos.

Por esta razón, Mallol argumenta que en esta «batalla de robots contra robots» urge poner en marcha una «nueva cultura de protección» aplicada a toda la sociedad mediante la incorporación de nuevas herramientas.

En palabras de Nieva, la preocupación que pueda sentir ahora mismo la ciudadanía es «comprensible», ya que el método del ciberatacante a partir de la vulnerabilidad PHP2Shell puede tener lugar sin que haya «síntomas» distintos en nuestras aplicaciones y plataformas: «El método consiste en que el atacante se cuela en carpetas accesibles o archivos manipulados del sistema para mantener el control de la máquina sin levantar sospechas. Este tipo de intrusión podría dejar expuesta toda la información y las bases de datos del sitio web vulnerado además de ser utilizada como 'cabeza de playa' para posteriores asaltos sobre el resto de la infraestructura».

La pregunta es: ¿cómo podemos estar seguros? Según el experto en ciberseguridad, para nosotros es «prácticamente imposible detectar a simple vista si una página web que utiliza de forma habitual padece esta vulnerabilidad», ya que el sitio seguirá funcionando de manera aparentemente normal aunque el posible ataque haya tenido éxito. De esta forma, la responsabilidad de prevenir y solucionar estos fallos «recae de forma exclusiva en las empresas, organizaciones y administradores de las plataformas, quienes deben mantener sus entornos PHP actualizados y protegidos por tecnologías preventivas».

Esto es un poco una ley de la selvaEugenio MallolDivulgador y columnista de Tecnología en El Debate

De cara al futuro, el analista de El Debate sentencia que la creciente tendencia a estos episodios de vulnerabilidad digital no ha hecho otra cosa sino empezar. De hecho, Mallol es claro y conciso: este episodio marca un punto de inflexión tanto para las empresas como para los ciudadanos comunes: «Esto es un poco una ley de la selva. El mensaje tiene que quedar muy claro. Sí, sí y sí. Esto va a ir a más».

Por este motivo, Nieva establece que aquellas organizaciones que integren la IA de forma preventiva en sus propios ciclos de desarrollo serán las que «ganen esta carrera».

«La transparencia en la publicación de incidentes de seguridad y vulnerabilidades es un aliado del ciudadano a la hora de determinar si sus datos pueden estar en riesgo y pueda tomar las medidas», sentencia.