71% of vulnerability exploitation starts within a week of disclosure

Los ci­ber­de­lin­cuen­tes están apro­ve­chan­do las fa­llas de se­gu­ri­dad re­cién di­vul­ga­das en cues­tión de días, lo que deja a las em­pre­sas con un mar­gen de res­pues­ta muy re­du­ci­do. Según un in­for­me re­cien­te, la media de tiem­po entre la re­ve­la­ción pú­bli­ca y el ata­que a vul­ne­ra­bi­li­da­des gra­ves es de ape­nas tres días, y la gran ma­yo­ría de la ex­plo­ta­ción re­gis­tra­da ocu­rre du­ran­te los pri­me­ros siete días pos­te­rio­res.

Du­ran­te el pe­rio­do ana­li­za­do, los in­ves­ti­ga­do­res ob­ser­va­ron nu­me­ro­sas vul­ne­ra­bi­li­da­des de gra­ve­dad alta y crí­ti­ca que no ne­ce­si­ta­ban au­ten­ti­ca­ción ni la in­ter­ven­ción del usua­rio para ser ex­plo­ta­das, lo que fa­ci­li­ta el ac­ce­so de los ata­can­tes a los sis­te­mas vul­ne­ra­bles. Esta si­tua­ción com­pli­ca la labor de las or­ga­ni­za­cio­nes que de­pen­den de ca­len­da­rios fijos para apli­car par­ches, ya que la pun­tua­ción de gra­ve­dad por sí sola no in­di­ca cuá­les sis­te­mas están ac­ce­si­bles desde el ex­te­rior o su­fren ata­ques ac­ti­vos. Ade­más, se vin­cu­la­ron va­rias fa­llas de soft­wa­re con dis­tin­tos gru­pos de ac­to­res de ame­na­zas que ata­ca­ron sec­to­res clave como el gu­ber­na­men­tal, de de­fen­sa, trans­por­te y salud, entre otros.

El in­for­me tam­bién des­ta­ca que la in­te­li­gen­cia ar­ti­fi­cial se uti­li­zó como he­rra­mien­ta tác­ti­ca y de eje­cu­ción en un por­cen­ta­je re­du­ci­do de los casos ana­li­za­dos, aun­que los hu­ma­nos man­tu­vie­ron el con­trol sobre la elec­ción de los ob­je­ti­vos. Por otra parte, los in­ci­den­tes de ran­som­wa­re en el sec­tor gu­ber­na­men­tal au­men­ta­ron, re­gis­trán­do­se un in­cre­men­to no­ta­ble en Es­ta­dos Uni­dos, mien­tras que en los foros clan­des­ti­nos pre­do­mi­nó la venta de ac­ce­sos a redes y pro­to­co­los de es­cri­to­rio re­mo­to, así como la co­mer­cia­li­za­ción de ex­ploits re­la­cio­na­dos ma­yor­men­te con vul­ne­ra­bi­li­da­des ya co­no­ci­das.