Empresa industrial. Nadie había mirado nunca su red desde fuera. Tenían antivirus, tenían copias, tenían un informático de confianza. Y tenían la puerta principal abierta.
Es el camino de entrada más común del ransomware en pymes. Cuando el atacante acierta la contraseña, cifra el servidor, las copias que encuentre y pide un rescate.
Detección
En la revisión externa, la que hacemos desde internet sin tocar nada, vimos el escritorio remoto del servidor del ERP expuesto. Con el usuario administrador. Con una contraseña de ocho caracteres.
Los registros del servidor mostraban miles de intentos de acceso al día desde direcciones de medio mundo. No era un ataque dirigido: son programas que recorren internet probando contraseñas en cada puerta abierta que encuentran. Nadie había mirado esos registros nunca.
Actuación
El mismo día:
- Cerramos el acceso directo desde internet al servidor.
- Cambiamos todas las contraseñas con privilegios.
- Revisamos los registros para confirmar que nadie había entrado ya.
Mitigación
- VPN con doble factor solo para las tres personas que realmente necesitan entrar desde fuera.
- Alertas de intentos de acceso fallidos, para enterarse la próxima vez.
- Revisión de las copias de seguridad: que no estén al alcance del mismo usuario que podría ser comprometido.
- Parches pendientes del servidor aplicados en una ventana acordada con producción.
Acompañamiento
- Cada trimestre revisamos con ellos qué se ve de la empresa desde fuera y quién tiene acceso a qué.
- Su equipo sabe ahora qué registros mirar y cuándo avisarnos.
- Cuando cambian algo en la red (un proveedor nuevo, una máquina conectada, un acceso para mantenimiento), lo comentan antes.
Resultado
Estaban a una contraseña adivinada de parar la fábrica. Hoy el acceso remoto existe, pero solo para quien debe, con doble factor, y con alguien mirando.
¿Te puede pasar?
- ¿Alguien puede entrar en tu servidor desde fuera con solo usuario y contraseña?
- ¿Cuándo fue la última vez que alguien miró los registros de acceso?
- ¿Tu informático ha revisado alguna vez la empresa desde internet, como lo haría un atacante?