En las últimas semanas surgieron cuatro historias de seguridad sin relación entre sí. Un investigador descubrió que una alarma de auto de venta posterior al mercado llamada KARR —instalada en más de 2 millones de vehículos, según estimaciones— puede ser desbloqueada, desarmada o desactivada en silencio por cualquier persona que esté dentro del alcance de Bluetooth. Un investigador de amenazas de Bitsight descubrió que un popular reproductor de streaming económico, el H96, ha estado alquilando en secreto durante años las conexiones a internet de sus propietarios y haciendo clic en anuncios fraudulentos mientras se hace pasar por un teléfono móvil. Un hacker se declaró culpable de vulneraciones vinculadas a los datos de más de 100 millones de personas, y logró entrar no mediante algún exploit ingenioso, sino a través de contraseñas de clientes que llevaban años dando vueltas desde una infección de infostealer ocurrida tiempo atrás, en cuentas que nunca tuvieron activada la autenticación multifactor. Y unos investigadores demostraron que, bajo las condiciones adecuadas, el malware puede extraer las passkeys sincronizadas a través de Google Password Manager, el mismo sistema que muchos de nosotros adoptamos justamente para alejarnos del riesgo de las contraseñas.
Leídas por separado, se trata de cuatro categorías de problemas distintas: una falla de hardware, un esquema de fraude en la cadena de suministro, una vulneración corporativa y un problema de implementación criptográfica. Pero comparten una causa raíz que no tiene nada que ver con la tecnología involucrada. En todos los casos, lo vulnerable se instaló, activó o creó una sola vez, y después nadie volvió a revisarlo.
El patrón detrás de los titulares
La deuda de seguridad se acumula exactamente en los lugares a los que dejamos de prestarles atención. Una alarma de auto se instala como parte de un paquete adicional del concesionario y nunca vuelve a cruzarte por la mente, hasta que resulta ser la razón por la que tu auto terminó en manos de otra persona. Un reproductor de streaming se conecta al televisor, funciona bien durante años y nunca levanta ninguna alerta porque sigue reproduciendo lo que le pediste que reproduzca; mientras tanto, el tráfico de fraude publicitario y el uso compartido de ancho de banda ocurren de forma invisible en paralelo. Una credencial de acceso se crea, funciona para iniciar sesión y después queda guardada en una base de datos durante años, mucho después de que el dispositivo que la filtró haya quedado en el olvido, porque cambiar una contraseña en la que ni siquiera piensas no es una tarea que nadie anota en el calendario. Una passkey se configura específicamente para ser "más segura que una contraseña", y esa reputación se convierte en un motivo para dejar de pensar en qué está protegiendo al dispositivo en el que vive.
Ninguno de estos casos requirió de un atacante sofisticado que encontrara alguna falla novedosa que nadie había previsto. La alarma de auto y el robo de passkeys sí implicaron una investigación técnica real. Pero lo que en verdad permitió que el daño ocurriera a gran escala fue la brecha entre "configurarlo una vez" y "nunca volver a revisarlo".
Una auditoría de 20 minutos de las cosas que ya tienes
No necesitas comprar nada ni convertirte en otro tipo de persona para cerrar la mayor parte de esta brecha. Necesitas una pasada por las categorías anteriores, tratada como una tarea recurrente y no como una configuración de una sola vez.
1. Dispositivos de venta posterior y complementos
Revisa todo lo que haya sido instalado por un tercero en lugar de venir integrado de fábrica: alarmas de auto, cámaras de tablero, cerraduras inteligentes, rastreadores de venta posterior. Fíjate en la app o el sitio del fabricante si existe un mecanismo de actualización de firmware, y aplícalo. En el caso específico de la alarma KARR, los investigadores señalaron que una señal visual fácil de identificar es una calcomanía de "KARR" en la ventana del lado del conductor; si tienes una, consulta con el instalador o el fabricante sobre un parche antes de asumir que todo está bien. El hábito más amplio que vale la pena adoptar: cualquier cosa que tenga radio y una app del fabricante es un dispositivo que necesita mantenimiento ocasional, igual que tu teléfono o tu laptop.
2. Lo que sea que esté conectado a tu televisor
Vale la pena examinar de cerca los reproductores de streaming genéricos que se venden en marketplaces con nombres como H96, a menudo anunciados con una tarifa única a cambio de contenido "ilimitado". Si tienes uno, ten en cuenta que su riesgo no se limita al contenido pirateado: el dispositivo en sí podría estar comportándose como una segunda computadora en tu red, con su propia agenda. Si no puedes verificar qué está haciendo un dispositivo en tu red, y proviene de una marca desconocida que promete algo demasiado bueno para su precio, eso ya es motivo suficiente para aislarlo en una red de invitados o reemplazarlo por un dispositivo de streaming de una marca reconocida, de una empresa que tiene una reputación que cuidar.
3. Contraseñas viejas, especialmente las reutilizadas o inactivas
La vulneración vinculada a la declaración de culpabilidad del hacker relacionado con Snowflake no fue causada por una falla en la plataforma. Fue causada por credenciales recolectadas años antes por malware en la computadora de alguien, credenciales que nadie cambió, en cuentas donde la autenticación multifactor había sido desactivada. Ese es un modo de falla completamente evitable, y además es común: cualquier cuenta que hayas configurado una sola vez y a la que accedas rara vez es exactamente el tipo de cuenta que podría tener, en este mismo momento, una contraseña filtrada de hace años. Si tu gestor de contraseñas ofrece una verificación de filtraciones o de reutilización, aplícala. Si una cuenta permite la autenticación multifactor y la tienes desactivada, actívala: este único control habría bastado para detener la intrusión que expuso los registros de más de 100 millones de personas.
4. La cuenta que protege tus passkeys
Las passkeys representan una mejora real frente a las contraseñas para el problema específico del phishing y la reutilización. Pero la investigación reciente sobre el robo de passkeys sincronizadas a través de Google Password Manager es un buen recordatorio de que una passkey no es magia: hereda la seguridad de la cuenta y el dispositivo a través de los cuales se sincroniza. Eso significa que la cuenta que aloja tu gestor de contraseñas o la sincronización de passkeys merece la protección más fuerte que tengas disponible: un código de acceso robusto y único en el propio dispositivo, autenticación multifactor en la cuenta que hace la sincronización, y atención a lo que instalas en ese dispositivo, ya que la investigación depende de malware que ya está corriendo en la máquina, y no de una falla que se pueda "parchar" en las passkeys mismas.
Por qué vale la pena hacer esto ahora y no después
Ninguna de estas cuatro historias describe una amenaza por la que debas entrar en pánico hoy. Pero las cuatro describen amenazas que crecieron durante meses o años precisamente porque nadie volvió a revisarlas. La solución no es una herramienta nueva ni una suscripción: es elegir un momento recurrente, tal vez junto a un hábito que ya tengas, como revisar el estado de cuenta de tu banco, para hacerte una pregunta aburrida sobre las cosas que ya posees y en las que ya confías: ¿cuándo fue la última vez que revisé esto, y todavía alguien más, además de mí, tiene un motivo para estar vigilándolo?