Incidentes y vulnerabilidades
Capital One, Equifax, Log4Shell, Heartbleed, XZ: brechas y vulnerabilidades públicas desglosadas en causa, impacto, primera respuesta y prevención, por las lecciones que siguen vigentes.
Fraude de 7pay (2019): evaluación oficial de la causa y protección de cuentas
7pay sufrió accesos no autorizados en julio de 2019. El comunicado del 1 de agosto consideró probable un ataque con listas de credenciales y registró 808 personas y 38,615,473 yenes al 31 de julio, 17:00, por recargas y usos no autorizados.…
Fuga de datos de Benesse (2014) — por qué no se pudo detener a un interno y la defensa del privilegio mínimo
Un ingeniero de sistemas externo en una empresa del grupo subcontratada usó un acceso a la base de datos concedido legítimamente para copiar datos de clientes en masa, transferirlos a un teléfono personal y venderlos a corredores de datos.…
Ransomware de Capcom (2020) — por qué un viejo dispositivo VPN fue la vía de entrada, y la defensa ante la doble extorsión
La vía de entrada fue un viejo dispositivo VPN de respaldo que se había dejado en marcha en una filial norteamericana después de que unidades más nuevas lo reemplazaran. Desde ahí se vulneró la red, se robaron datos y luego el ransomware ci…
El robo de NEM a Coincheck (2018) — Cómo se robaron unos 530 millones de dólares y la defensa de la gestión de claves
El punto de entrada, según se informó, fue phishing dirigido / malware contra empleados, que robó la clave privada de un monedero caliente conectado a Internet; después se movieron unos 523 millones de XEM (unos 530 millones de dólares de l…
Ransomware de KADOKAWA / Niconico (2024) — por qué se propagó a toda la empresa, y la segmentación de red y el BCP
La vía de entrada se describió como phishing que robó las credenciales de un empleado; desde ahí se vulneró la red interna y se ejecutó el ransomware, tumbando durante meses muchos servicios del grupo (incluido Niconico) y filtrando datos d…
Filtración de datos de Takufile-bin (2019) — por qué guardar contraseñas en texto plano es fatal, y la defensa del hashing
Se explotó una vulnerabilidad del servidor para lograr acceso no autorizado y se filtraron ~4,8 millones de registros (nombres, correos, contraseñas de acceso, fechas de nacimiento, incluidos clientes dados de baja). El fallo decisivo fue q…
Filtración masiva de MOVEit (2023) — cómo un zero-day de inyección SQL alcanzó a más de 2.700 organizaciones, y cómo defenderse
La entrada fue un zero-day de inyección SQL (CVE-2023-34362) en MOVEit Transfer, expuesto a internet. Se plantó un web shell (LEMURLOOT) y se robaron datos en masa de la base de datos de respaldo, golpeando a más de 2.700 organizaciones y ~…
Filtración de Capital One (2019) — cómo un SSRF expuso más de 100M de registros, y cómo defenderse
Un solo SSRF alcanzó el endpoint de metadatos → credenciales IAM temporales con privilegios excesivos → copia masiva de S3, filtrando ~106M de registros. Cada paso pudo haberlo detenido. En tu entorno: IMDSv2, IAM de mínimo privilegio y una…
Filtración de Codecov (2021) — cuando una herramienta de CI fue manipulada y se filtraron secretos
Una herramienta de confianza del CI (el Bash Uploader curl|bash) fue alterada en origen. Como tu propio código quedó intacto, pasó ~2 meses inadvertida mientras se filtraban secretos del CI; una verificación de checksum lo detectó. En tu CI…
Filtración de Equifax (2017) — cómo un fallo de Apache Struts sin parchear expuso a 147M de personas
La causa fue un CVE conocido y ya parcheado (CVSS 10.0) dejado sin aplicar en un sistema público. Un certificado de monitorización caducado ocultó la exfiltración durante 76 días. En tu entorno: inventario de activos, un SLA de parcheo, mon…
Heartbleed (CVE-2014-0160) — un fallo de OpenSSL que filtraba la memoria del servidor
La sobrelectura de memoria de OpenSSL podía filtrar claves privadas y sesiones. La causa: el servidor confiaba en una longitud declarada y leía memoria adyacente. La lección: actúa como si todo se hubiera filtrado (reemite certificados, rot…
Log4Shell (CVE-2021-44228) — un fallo en una librería de logging, y por qué los equipos no podían saber rápido si la usaban
El fallo de CVSS 10.0 de Log4j. El problema de fondo era la dependencia transitiva: estar afectado a través de una librería que no sabías que usabas. Un camino pasivo de registro de logs se convirtió en vector de ataque. SBOM, monitorizació…
La puerta trasera de XZ Utils (CVE-2024-3094) — un ataque a la cadena de suministro de un comantenedor de confianza
Un mantenedor de confianza plantó una puerta trasera en xz: un ataque a la cadena de suministro. Un ingeniero notó que los inicios de sesión iban lentos y lo encontró justo antes de las versiones estables. El objetivo no era el código, sino…