Cisco, una de las empresas más grandes del mundo en tecnología de redes y ciberseguridad, fue víctima de un ataque que logró lo que pocos ciberataques consiguen: acceder a sus sistemas internos de desarrollo y copiar más de 300 repositorios con código fuente privado. Entre los archivos robados hay proyectos de inteligencia artificial, soluciones de seguridad aún no publicadas y —lo más preocupante— código fuente perteneciente a clientes corporativos de Cisco, incluyendo bancos y agencias del gobierno de los Estados Unidos.
Todo comenzó con algo aparentemente pequeño: una biblioteca de código abierto llamada LiteLLM, muy utilizada por desarrolladores que trabajan con modelos de inteligencia artificial. Un grupo de atacantes, identificado como TeamPCP, publicó dos paquetes maliciosos en PyPI —el repositorio público de Python— haciéndose pasar por versiones legítimas de esa biblioteca. Dentro de esos paquetes había un ladrón de credenciales silencioso, diseñado para extraer llaves SSH, variables de entorno y credenciales de servicios en la nube como Amazon Web Services, Google Cloud y Microsoft Azure.
Un desarrollador de Cisco instaló uno de esos paquetes. Con las credenciales de AWS robadas, los atacantes accedieron a las cuentas de Amazon Web Services de Cisco y desde ahí se abrieron camino hacia los sistemas internos de desarrollo. En pocas horas, cientos de repositorios privados habían sido copiados sin que nadie lo notara.
La respuesta de Cisco fue inmediata una vez detectado el acceso no autorizado: reinstalaron las computadoras afectadas desde respaldos limpios, actualizaron masivamente las credenciales de acceso en todos sus sistemas y bloquearon las cuentas comprometidas en la nube. Sin embargo, al momento de publicarse el reporte, Cisco no había emitido ningún comunicado público sobre el incidente. El daño ya estaba hecho: código de productos de inteligencia artificial, soluciones de seguridad aún no lanzadas y archivos de clientes que jamás debieron salir de los servidores internos.
Este ataque deja lecciones importantes para cualquier empresa que usa software de terceros — que hoy en día es prácticamente todas. Los ataques a la cadena de suministro, o supply chain attacks, son uno de los vectores más peligrosos y difíciles de detectar precisamente porque no atacan tus sistemas directamente: atacan las herramientas que tú mismo instalas y en las que confías. Cuando un desarrollador actualiza una dependencia de su proyecto, no suele revisar el código fuente de lo que está instalando. Los atacantes lo saben y lo aprovechan.
Para las empresas en Panamá y América Latina que trabajan con servicios en la nube o desarrollan software, el mensaje es claro: revisar regularmente las dependencias de software, limitar los permisos de acceso en la nube al mínimo necesario y contar con monitoreo continuo no es opcional, es parte de la operación básica. Si una empresa del tamaño de Cisco puede ser comprometida por un paquete malicioso en Python, ninguna organización está exenta del riesgo.
¿Tu empresa tiene un proceso para revisar la seguridad de las herramientas y librerías de software que utiliza? Cuéntanos en los comentarios.
El FBI identificó 18 modelos de routers domésticos comprometidos por el malware AVrecon, convertidos en proxies para fraude bancario y robo de credenciales. Te explicamos por qué el router más barato puede salirte muy caro.
Post comments (0)