Hackers hackeados: el equivalente holandés al INCIBE sufre un ataque por fallos 'Zero-day'

Las agencias estatales de ciberseguridad llevan mucho tiempo avisando a medio mundo sobre sus vulnerabilidades. Bancos, ayuntamientos y empresas suelen recibir sus correos de alerta cuando se acerca una amenaza. Lo que nadie vio venir es que esta vez el golpe lo iban a recibir directamente los propios protectores.

Hablamos del Instituto Holandés para la Divulgación de Vulnerabilidades (DIVD), el equivalente holandés a nuestro INCIBE español. Se trata de un organismo dedicado por entero a la investigación y protección de sistemas informáticos. Sin embargo, hace unos días ellos mismos sufrieron un ciberataque y lo admitieron de forma directa: «somos los hackers que fuimos hackeados».

El incidente empezó un lunes, concretamente el 21 de septiembre, y entró por la puerta de servicio. El acceso se produjo a través del sistema de tickets de soporte del instituto, gestionado con Zammad, una plataforma de asistencia técnica idéntica a la que utilizan miles de empresas para organizar sus incidencias.

Los atacantes aprovecharon dos fallos de tipo «Zero-day», que son agujeros de seguridad desconocidos para los creadores del software y para los que aún no hay parche. Uno de ellos permitía ejecutar código de forma remota sin necesidad de tener cuenta previa, secuestrando las sesiones que ya estaban iniciadas en la plataforma.

Este suceso demuestra que ni los expertos que nos protegen están a salvo cuando aparecen vulnerabilidades invisibles en herramientas cotidianas. ¿Qué opináis en la comunidad de BeersStorming sobre el hecho de que incluso los cazadores de fallos acaben siendo cazados?