Recuerdo cuando, hace algunos años, comenzó aquella fiebre del zero-click. En mis charlas trataba de explicarlo y a veces sonaba a película: te podía llegar un mensaje y, sin abrir un enlace, sin descargar un archivo, sin escribir una contraseña y hasta sin tocar el teléfono, alguien podía conseguir la forma de entrar.
Nos habían educado durante años con una regla sencilla: “No le des clic”.
De repente, ni siquiera hacía falta el clic.
En 2019, WhatsApp corrigió una vulnerabilidad utilizada contra más de 1.400 teléfonos. En 2020, Citizen Lab documentó 36 teléfonos de periodistas, productores y ejecutivos de Al Jazeera comprometidos mediante KISMET, un exploit zero-click contra iMessage. Y en 2021 apareció FORCEDENTRY, otra cadena extraordinariamente sofisticada que permitió instalar Pegasus en dispositivos Apple sin interacción de la víctima.
Apple corrigió aquella falla. Cambiaron arquitecturas, aparecieron nuevas protecciones y la conversación siguió adelante.
Hasta que esta semana volví a sentir un pequeño déjà vu.
El 30 de septiembre, Microsoft publicó una investigación sobre CVE-2026-73570, una vulnerabilidad en Zimbra Collaboration Suite. Bajo determinadas configuraciones, un atacante podía enviar una solicitud especialmente construida contra un servidor de correo expuesto a Internet y conseguir ejecutar comandos sin autenticarse y sin que el usuario tuviera que hacer absolutamente nada.
No abrir el correo.
No descargar el adjunto.
No entregar la contraseña.
Nada.
La diferencia técnica con aquellos ataques contra teléfonos es importante y no sería correcto meterlos todos en la misma bolsa del zero-click. Pero para el usuario común la sensación resulta inquietantemente parecida: esta vez el problema podía comenzar antes de que alguien siquiera viera el mensaje.
Microsoft no está hablando solamente de una prueba de laboratorio. Su equipo de inteligencia confirmó compromisos en organizaciones de distintas industrias y regiones. Encontró web shells, accesos remotos, escalamiento de privilegios, mecanismos de persistencia y búsqueda de credenciales y datos almacenados en los buzones.
Los nombres de las víctimas no fueron publicados.
Hay un detalle todavía más interesante. La versión de Zimbra que corregía el problema estaba disponible desde el 20 de julio. La vulnerabilidad se divulgó públicamente el 13 de agosto. Microsoft encontró actividad sobre esa misma ruta incluso antes de la divulgación pública.
En otras palabras, mientras algunos todavía no sabían que había una puerta, alguien ya estaba probando la cerradura.
Y en Venezuela deberíamos prestar atención.
Zimbra no es una tecnología extraña para nosotros. Lleva años presente en infraestructura de correo de organizaciones e instituciones venezolanas. No significa que esas instalaciones sean vulnerables ni que hayan sido comprometidas. Significa algo mucho más sencillo: cuando aparece una falla de esta naturaleza, no podemos leerla como una noticia que ocurre en otro país.
De hecho, este tema me recuerda un caso que suelo contar en mis charlas.
En 2022, el grupo Guacamaya logró penetrar los servidores de correo de la Secretaría de la Defensa Nacional de México, SEDENA. La plataforma era precisamente Zimbra.
Guacamaya explicó posteriormente que había encontrado el servidor sin actualizar meses después de haberse publicado una vulnerabilidad y su correspondiente parche. La intrusión ocurrió entre agosto y septiembre.
El resultado fue gigantesco: alrededor de 4,4 millones de correos y unos seis terabytes de información terminaron comprometidos.
Seis terabytes.
No porque alguien hubiese inventado una computadora cuántica secreta debajo de una montaña. No porque un hacker hubiese escrito una línea de código nunca vista por la humanidad.
Había una vulnerabilidad conocida. Había una actualización. Y el tiempo pasó.
A veces también cuento otro episodio de Guacamaya que suele confundirse con el mexicano. Fue el Estado Mayor Conjunto de Chile. Allí la plataforma afectada no era Zimbra sino Microsoft Exchange y las vulnerabilidades estaban relacionadas con ProxyShell. Las advertencias existían desde 2021 y el ataque llegó meses después, en mayo de 2022. Más de 400.000 correos terminaron expuestos.
Distintos países. Distintas tecnologías. La misma mala costumbre: dejar el parche para después.
Esta semana apareció además otra señal del mismo problema. Mandiant y Google Threat Intelligence reportaron explotación activa de dos vulnerabilidades zero-day en equipos Citrix NetScaler, esas puertas que muchas organizaciones utilizan precisamente para permitir acceso remoto a sus redes.
Google encontró evidencias de organizaciones probablemente afectadas en Norteamérica y Europa, incluyendo sectores gubernamentales, financieros, tecnológicos, educativos, legales y profesionales. La actividad llevaba en marcha al menos desde comienzos de septiembre.
El atacante entendió algo que a veces nosotros olvidamos: no siempre vale la pena engañar al empleado si puedes atacar directamente la puerta de entrada de la empresa.
Y aquí aparece otro mito que todavía escucho con demasiada frecuencia.
“Eso está montado en Linux. Estamos tranquilos”.
No.
Linux es extraordinario, pero no es un chaleco antibalas.
Que un servidor utilice Linux no significa que no necesite actualizaciones. Tampoco significa que no necesite monitoreo, hardening, protección del endpoint, controles antimalware o EDR cuando corresponda.
Y hay otra frase peligrosa: “El puerto está cifrado”.
Perfecto. Entonces, si el servicio que está detrás tiene una vulnerabilidad, el atacante podrá intentar explotarla mediante una comunicación perfectamente cifrada.
TLS protege el canal. No repara el programa que escucha detrás.
Si un puerto no necesita permanecer abierto hacia Internet, ciérrelo. Si solamente deben conectarse determinadas direcciones o redes, restrinja el acceso mediante firewall y listas permitidas. Si existe un servicio publicado, sepamos quién es responsable de actualizarlo. Y si tenemos servidores que llevan años funcionando silenciosamente en una esquina del centro de datos, quizás este sea un buen momento para recordar que “funciona” y “está seguro” son dos conceptos bastante diferentes.
La ciberseguridad tampoco puede reducirse a actualizar Windows.
Hay Linux. Hay appliances. Hay firewalls. Hay gateways. Hay hipervisores. Hay sistemas de correo, VPN, consolas de administración y dispositivos que en ocasiones nadie toca porque precisamente llevan años “sin dar problemas”.
Hasta que los dan.
Y la coincidencia esta semana es casi perfecta.
Comienza octubre, reconocido desde hace más de dos décadas como el Mes de la Concientización sobre Ciberseguridad. En Estados Unidos, CISA vuelve a dedicar el mes a fortalecer la seguridad digital y la infraestructura crítica. Europa hace lo propio con su European Cybersecurity Month.
Desde Venezuela y América Latina podríamos aprovechar octubre para algo un poco menos ceremonial que cambiar una foto en LinkedIn o enviar un correo diciendo que debemos usar contraseñas fuertes.
Podríamos comenzar preguntando algo incómodo:
¿Qué tenemos conectado a Internet que nadie ha actualizado últimamente?
Porque llevamos años enseñando al usuario a no abrir la puerta.
Quizás llegó el momento de revisar también las ventanas, el techo y ese servidor Linux del fondo que, según alguien aseguró hace cinco años, “como es Linux, eso no lo hackean”.
Bienvenido octubre.
Y feliz Mes de la Ciberseguridad.
Ahora sí, por favor, actualicen.
Rafael Núñez Aponte
CEO @MasQueSeguridad
Columnista Radar Cibernético