Cuatro historias de seguridad no relacionadas entre sí salieron a la luz en las últimas semanas. Un investigador descubrió que una alarma de coche de posventa llamada KARR — instalada en un estimado de más de 2 millones de vehículos — puede ser desbloqueada, desarmada o desactivada en silencio por cualquiera que esté dentro del alcance de Bluetooth. Un investigador de amenazas de Bitsight descubrió que un popular reproductor de streaming barato, el H96, lleva años alquilando en silencio la conexión a internet de sus propietarios y haciendo clic en anuncios fraudulentos mientras se hace pasar por un teléfono móvil. Un hacker se declaró culpable de brechas vinculadas a los datos de más de 100 millones de personas, y obtuvo acceso no mediante algún exploit ingenioso, sino a través de contraseñas de clientes que llevaban años dando vueltas desde una infección de infostealer, en cuentas que nunca tuvieron activada la autenticación multifactor. Y unos investigadores demostraron que, bajo las condiciones adecuadas, el malware puede extraer passkeys sincronizadas a través de Google Password Manager — precisamente el sistema que muchos de nosotros adoptamos para alejarnos del riesgo de las contraseñas.
Leídas de forma individual, se trata de cuatro categorías de problemas distintas: un fallo de hardware, un esquema de fraude en la cadena de suministro, una brecha corporativa y un problema de implementación criptográfica. Pero comparten una causa raíz que no tiene nada que ver con la tecnología implicada. En todos los casos, lo vulnerable se instaló, activó o creó una vez — y luego nadie volvió a mirarlo.
El patrón detrás de los titulares
La deuda de seguridad se acumula exactamente en los lugares a los que dejas de prestar atención. Una alarma de coche se instala durante un paquete de extras del concesionario y nunca vuelve a pasarte por la cabeza hasta que es la razón por la que tu coche terminó en manos de otra persona. Un reproductor de streaming se enchufa al televisor, funciona bien durante años y nunca hace saltar ninguna alarma porque sigue reproduciendo lo que le pides — el tráfico de fraude publicitario y el reparto de ancho de banda ocurren de forma invisible en paralelo. Una credencial de inicio de sesión se crea, funciona para una pantalla de acceso y luego se queda en una base de datos durante años después de que el dispositivo que la filtró haya sido olvidado, porque rotar una contraseña en la que no piensas no es una tarea que nadie se pone en el calendario. Una passkey se configura específicamente para ser "más segura que una contraseña", y esa reputación se convierte en un motivo para dejar de pensar en qué está protegiendo el dispositivo en el que vive.
Ninguno de estos casos requirió un atacante sofisticado que encontrara algún fallo novedoso que nadie hubiera previsto. La alarma del coche y el robo de passkeys sí implicaron investigación técnica real. Pero lo que realmente permitió que el daño ocurriera a gran escala fue la brecha entre "configurarlo una vez" y "no volver a revisarlo nunca".
Una auditoría de 20 minutos de cosas que ya tienes
No necesitas comprar nada ni convertirte en otro tipo de persona para cerrar la mayor parte de esta brecha. Necesitas hacer una pasada por las categorías anteriores, tratándola como una tarea recurrente en lugar de una configuración de una sola vez.
1. Dispositivos de posventa y complementos
Revisa todo lo que haya sido instalado por un tercero en lugar de venir integrado de fábrica — alarmas de coche, cámaras de salpicadero, cerraduras inteligentes, rastreadores de posventa. Consulta la app o el sitio del fabricante para ver si hay un mecanismo de actualización de firmware y ejecútalo de verdad. En el caso concreto de la alarma KARR, los investigadores señalaron que una señal visual fácil de detectar es una pegatina de "KARR" en la ventanilla del conductor; si tienes una, consulta con el instalador o el fabricante sobre un parche antes de asumir que todo está bien. El hábito más amplio que vale la pena adquirir: cualquier cosa con radio y una app del fabricante es un dispositivo que necesita mantenimiento ocasional, igual que tu teléfono o tu portátil.
2. Lo que sea que esté conectado a tu televisor
Los reproductores de streaming genéricos que se venden en marketplaces con nombres como H96, a menudo anunciados con una tarifa única por contenido "ilimitado", merecen una mirada seria. Si tienes uno, ten en cuenta que su riesgo no es solo el contenido pirateado — es que el propio dispositivo puede estar comportándose como un segundo ordenador en tu red con su propia agenda. Si no puedes verificar qué está haciendo un dispositivo en tu red, y viene de una marca desconocida que promete algo demasiado bueno para su precio, eso ya es motivo suficiente para aislarlo en una red de invitados o sustituirlo por un dispositivo de streaming convencional de una empresa que tiene una reputación que proteger.
3. Contraseñas antiguas, especialmente las reutilizadas o inactivas
La brecha vinculada a la declaración de culpabilidad del hacker relacionado con Snowflake no fue causada por un fallo en la plataforma. Fue causada por credenciales recolectadas años antes por malware en el ordenador de alguien, credenciales que nadie rotó, en cuentas donde la autenticación multifactor había sido desactivada. Ese es un modo de fallo completamente evitable, y es habitual: cualquier cuenta que configuraste una vez y en la que inicias sesión rara vez es exactamente el tipo de cuenta que podría estar sentada ahora mismo sobre una contraseña filtrada de hace años. Si tu gestor de contraseñas ofrece una comprobación de filtraciones o reutilización, ejecútala. Si una cuenta permite MFA y está desactivada, actívala — este único control habría detenido la intrusión que expuso los registros de más de 100 millones de personas.
4. La cuenta que protege tus passkeys
Las passkeys son una mejora real respecto a las contraseñas para el problema específico del phishing y la reutilización. Pero la investigación reciente sobre el robo de passkeys sincronizadas a través de Google Password Manager es un recordatorio útil de que una passkey no es magia — hereda la seguridad de cualquier cuenta y dispositivo a través del cual se sincroniza. Eso significa que la cuenta que alberga tu gestor de contraseñas o la sincronización de passkeys merece la protección más fuerte que tengas: un código de acceso fuerte y único en el propio dispositivo, MFA en la cuenta que realiza la sincronización, y atención a lo que instalas en ese dispositivo, ya que la investigación depende de que el malware ya esté ejecutándose en la máquina, no de un fallo que puedas "parchear" en las propias passkeys.
Por qué vale la pena hacerlo ahora en lugar de después
Ninguna de estas cuatro historias describe una amenaza por la que debas entrar en pánico hoy. Pero las cuatro describen amenazas que crecieron durante meses o años precisamente porque nadie volvió a revisarlas. La solución no es una herramienta nueva ni una suscripción — es elegir un momento recurrente, quizás junto a un hábito que ya tienes como revisar tu extracto bancario, para hacerte una pregunta aburrida sobre las cosas que ya posees y en las que ya confías: ¿cuándo fue la última vez que revisé esto, y sigue habiendo alguien con motivos para vigilarlo aparte de mí?