La Agencia de Seguridad Nacional (NSA) de EE. UU. ha descubierto un importante fallo en Microsoft Windows que habría permitido a los hackers poner en peligro las versiones más recientes de Windows 10, un sistema operativo que usan cerca de 1.000 millones de dispositivos en todo el mundo.

El error criptográfico permitiría a un atacante esconder el malware como si fuera software legítimo. "El usuario no tendría forma de saber que el archivo es malicioso, porque la firma digital parecería de un proveedor fiable", explicó Microsoft. La explotación de esta vulnerabilidad también permitiría que un hacker intercepte y modifique las comunicaciones encriptadas de internet, según un informe de la Universidad Carnegie Mellon (EE. UU.).

En el peculiar comunicado de prensa de la agencia, la NSA insta a los usuarios de Windows a actualizar su sistema y alerta de que los hackers financiados por distintos gobiernos pronto entenderán esta vulnerabilidad "crítica".

La NSA informó del fallo a Microsoft, que publicó una solución el 14 de enero. En el pasado, la agencia se hubiera limitado a utilizar ese defecto para sus propios objetivos ofensivos, pero en la última década las agencias de inteligencia de EE. UU. han cambiado su estrategia. La decisión de corregir el fallo en vez de usarlo como arma representa una victoria para la Dirección de Ciberseguridad de la NSA, el departamento recientemente inaugurado encargado de la ciberdefensa de esta agencia.

La directora del departamento, Anne Neuberger, afirma "Cuando se puso en marcha la nueva dirección de ciberseguridad, nos dimos cuenta de que queríamos hacer las cosas de manera diferente. Queremos un nuevo enfoque para compartir, para generar confianza con la comunidad de ciberseguridad. Se trata de un aspecto clave".

Con este fallo descubierto, Neuberger está dejando públicamente su huella en esta agencia notoriamente secreta.

En 2008, EE. UU. empezó a desarrollar un plan denominado "Proceso de valoración de vulnerabilidades" para hacer frente a los principales defectos tecnológicos y a las cibercapacidades enemigas. El objetivo era mejorar la defensa de los sistemas de información en Estados Unidos ya que ningún otro país depende más del uso de internet de forma segura y protegida. La NSA es la agencia responsable de ejecutar el plan, pero este también incluye al FBI, la CIA, los Departamentos de Energía, Estado, Comercio etcétera. El objetivo es llevar a cabo un proceso completo para analizar las necesidades ofensivas y defensivas del país a medida que se descubren nuevos defectos.

Este exploit pasó por el proceso de valoración de vulnerabilidades y luego fue revelado a Microsoft, según Neuberger. La NSA asegura que no ha detectado ningún uso de este fallo de Windows. Microsoft, que tiene una visibilidad extraordinaria de los ataques que se utilizan en todo el mundo, también afirma que no ha visto la vulnerabilidad explotada.

Aunque la NSA lleva años informando sobre las vulnerabilidades a las compañías de software, esta es la primera vez que se atribuye ese mérito públicamente. En este sentido, Neuberger afirma: "Una parte de generar confianza consiste en mostrar los datos. Llevamos mucho tiempo presentando vulnerabilidades, pero nunca hemos permitido la atribución y, como resultado, a las entidades les cuesta confiar en nosotros. La segunda parte de esta decisión reside en que queremos dar un paso adelante para asesorar a las redes de infraestructuras críticas, para crear conciencia. Para poder llevarlo a cabo, sabíamos que teníamos que ser muy transparentes al respecto".

Además de su misión ofensiva de un nivel mucho más alto, la NSA siempre ha tenido una misión de ciberdefensa. En 2017, la agencia informó a Microsoft sobre una herramienta de hackeo llamada EternalBlue para la que Microsoft creó una solución. Ese informe se produjo después de que un grupo de hackers denominado Shadow Brokers, compuesto presuntamente por agentes de inteligencia rusos, robara esas herramientas. En cuanto se encontró la solución, Shadow Brokers publicó la herramienta online.

Microsoft ha lanzado un parche oficial para la vulnerabilidad actual, pero aún puede pasar mucho tiempo para que las actualizaciones surtan efecto. EternalBlue se utilizó en algunos de los mayores incidentes de hackeo, incluida la campaña de ransomware WannaCry, meses después de que se publicaran las soluciones.

Ese mismo riesgo existe para esta vulnerabilidad crítica. Siempre hay un retraso entre el momento en el que se publica un arreglo y cuando la protección se aplica realmente a los dispositivos de todo el mundo. Esa es una ventana de tiempo que los hackers pretenden explotar. Los expertos recomiendan actualizar su sistema con regularidad.