La filtración por ransomware en Berlin demuestra que las normas de divulgación no son una defensa

Google parcheó doce vulnerabilidades de Chrome esta semana, entre ellas un fallo de V8 que ya estaba bajo ataque activo, seis días antes de que la Cyber Resilience Act de la UE obligue a los fabricantes a notificar los fallos explotados en un plazo de 24 horas. Llámenlo coincidencia o un proveedor que ha interpretado correctamente la fecha límite: en cualquier caso, el parche llegó con la urgencia que la nueva norma pretende imponer. La misma semana, la administración pública de Berlín descubrió los límites de lo que puede lograr cualquier norma de divulgación. La ciudad se negó a pagar un rescate de dos millones de euros, y los hackers filtraron seis terabytes de sus datos de todos modos, incluyendo mapas de infraestructura y los datos personales de ciudadanos y empleados.

No se trata del mismo tipo de fracaso. La Cyber Resilience Act regula lo que ocurre después de descubrir una vulnerabilidad: notificarla rápido, parchearla rápido, informar al regulador. El caso de Berlín trata sobre lo que ocurre una vez que un atacante ya está dentro y ya se ha llevado los datos. Ningún plazo de notificación recupera seis terabytes de la dark web, y ninguna madurez regulatoria sustituye el trabajo más arduo y lento de mantener a los atacantes fuera y tener copias de seguridad utilizables cuando, de todos modos, logran entrar. Como informa Pplware, Berlín decidió no financiar a quienes robaron sus datos, lo cual es la decisión correcta y, por sí sola, no constituye una estrategia de ciberseguridad.

Un plazo de notificación no recupera seis terabytes de la dark web.

Una segunda historia de esta semana trata sobre control en lugar de crimen. CISPE, la asociación europea de la industria cloud, dijo a la Comisión que la estrategia de Broadcom para la AI empresarial está diseñada para encerrar a los clientes en su propio stack, según informa Heise. Esta no es la primera queja de CISPE sobre la empresa: en marzo calificó la purga de los socios independientes de VMware por parte de Broadcom como una "sentencia de muerte" para los proveedores cloud europeos. Seis meses después, la lucha ha pasado de quién puede revender el software de virtualización a quién puede construir la capa de AI empresarial por encima, y es la misma cuestión de soberanía digital europea a la que esta columna sigue volviendo, ahora un nivel más alto en el stack.

Consumidores…

Si sus datos personales pasaron por la administración pública de Berlín, en los mapas de infraestructura expuestos o en los registros de empleados y ciudadanos que ahora están en la dark web, trate las llamadas o correos electrónicos inesperados que hagan referencia a sus datos con más sospecha de lo habitual durante los próximos meses. Esa es la única exposición directa para el consumidor de ambas historias de esta semana. La pelea de Broadcom se desarrolla un nivel más arriba, en los contratos de cloud empresarial que mantienen en funcionamiento los servicios orientados al consumidor que usted utiliza, y no en nada que compre o en lo que haga clic directamente.

Empresas…

Seis días no es mucho margen si la obligación de notificar vulnerabilidades explotadas en 24 horas de la Cyber Resilience Act aún no está integrada en su proceso de respuesta a incidentes, y el parche de Google, que llega justo antes de esa fecha, es una señal razonable de que los proveedores ya están tratando el plazo como una restricción real en lugar de un trámite. Por otro lado, cualquier empresa que ejecute cargas de trabajo empresariales en el stack de VMware de Broadcom debería leer la queja de CISPE como una advertencia sobre hacia dónde se dirige esa dependencia a continuación: desde los términos de licencia hasta el control de la infraestructura de AI. OVHcloud y otros proveedores cloud europeos no son un reemplazo directo para una infraestructura de VMware existente, pero son la alternativa concreta hacia la cual orientar un plan de migración antes de que la decisión se tome por usted.

Administraciones públicas…

La negativa de Berlín a pagar es coherente con la línea más dura que las administraciones públicas europeas han adoptado cada vez más frente a las demandas de rescate, y es la política correcta por sí misma: pagar financia el próximo ataque. Sin embargo, la filtración posterior es un recordatorio de que esta política solo se sostiene cuando se combina con una capacidad de prevención y recuperación que la mayoría de las administraciones públicas, incluida la de Berlín, todavía no tienen de forma visible. La Cyber Resilience Act otorga a las autoridades nacionales, como la BSI de Alemania, un nuevo poder sancionador sobre los proveedores. No obstante, bajo esa ley en específico, no les da ninguna autoridad sobre la postura de seguridad de la propia administración, lo cual sigue siendo un trabajo aparte e inacabado.

Fuentes

• Google parcheó un zero-day en Chrome V8 explotado de forma activa días antes de que entre en vigor la obligación de la Cyber Resilience Act de la UE de notificar vulnerabilidades explotadas en 24 horas · The Next Web
• CISPE advirtió que la estrategia de AI empresarial de Broadcom está diseñada para controlar la elección del cliente, lo que provocó quejas formales ante la UE · Heise Online
• La administración pública de Berlín rechazó una exigencia de rescate de dos millones de euros y, de todos modos, sufrió la filtración de seis terabytes de datos en la dark web · Pplware