La exposición de credenciales asociadas con dispositivos de seguridad Fortinet utilizados por instituciones públicas mexicanas debe ser entendida como algo más que un incidente técnico. Es, sobre todo, una señal de alerta sobre el estado de la ciberseguridad en el sector público y sobre la capacidad real de muchas instituciones para gestionar vulnerabilidades que pueden comprometer infraestructura crítica.
Un análisis de la unidad de investigación de SILIKN identificó credenciales potencialmente comprometidas relacionadas con dispositivos Fortinet pertenecientes a gobiernos estatales, municipios, fiscalías, poderes judiciales, organismos educativos, instituciones de seguridad y dependencias federales.
En total, se identificaron 36 organismos gubernamentales con al menos 59 credenciales expuestas vinculadas con equipos afectados por FortiBleed.
Es importante hacer una precisión: la existencia de estas credenciales en registros expuestos no significa, por sí misma, que todas las instituciones involucradas hayan sido víctimas de una intrusión exitosa.
PUBLICIDAD
Sin embargo, constituye un indicador de riesgo suficientemente serio como para exigir una respuesta inmediata, particularmente cuando se trata de infraestructura utilizada para administrar accesos remotos a redes gubernamentales.
Una vulnerabilidad crítica
El origen del problema se encuentra en FortiBleed, una vulnerabilidad crítica identificada como CVE-2023-27997 que afectó determinados dispositivos FortiGate y permitió, bajo determinadas condiciones, la ejecución remota de código sin autenticación previa.
La vulnerabilidad podía facilitar la extracción de información sensible almacenada en la memoria de los dispositivos, incluidos datos relacionados con la autenticación.
Desde una perspectiva estrictamente técnica, las vulnerabilidades son inevitables. Ningún fabricante puede garantizar que sus productos estarán libres de fallas durante toda su vida útil.
PUBLICIDAD
Lo que sí puede y debe exigirse a las organizaciones es una capacidad madura para identificar, priorizar y corregir esas vulnerabilidades una vez que han sido divulgadas.
Y aquí es donde el caso adquiere una dimensión preocupante.
El fabricante puso a disposición las actualizaciones necesarias para corregir la vulnerabilidad. Sin embargo, la permanencia de dispositivos y credenciales potencialmente expuestos durante periodos prolongados revela que, en diversas instituciones públicas, la capacidad de respuesta no está al nivel que exige la dependencia tecnológica actual.
PUBLICIDAD
El problema, por tanto, no es únicamente FortiBleed. El problema es lo que ocurre después de que una vulnerabilidad crítica se hace pública.
En ciberseguridad existe una premisa que debería ser básica para cualquier organización: una vulnerabilidad conocida, especialmente en un dispositivo expuesto a internet, debe considerarse una emergencia operativa.
Cuando un firewall, una VPN o cualquier otro dispositivo perimetral presenta una vulnerabilidad crítica, el riesgo no se limita al equipo afectado. Estos sistemas funcionan como puertas de entrada hacia entornos internos que pueden contener aplicaciones institucionales, bases de datos, sistemas administrativos, información personal y servicios esenciales.
PUBLICIDAD
Por ello, mantener infraestructura vulnerable durante periodos prolongados equivale a dejar una puerta abierta y confiar en que nadie intentará entrar.
Un riesgo que atraviesa al sector público
Los hallazgos relacionados con FortiBleed muestran precisamente esa problemática. La investigación identificó registros correspondientes a organismos de entidades como Estado de México, Jalisco, Guanajuato, Quintana Roo, Baja California, Puebla, Veracruz, Sonora, Zacatecas, San Luis Potosí, Tabasco, Nayarit, Chiapas, Yucatán y Nuevo León, además de instituciones de carácter federal.
Entre las organizaciones con mayor número de registros identificados se encuentran Puentes Fronterizos, la Fiscalía General del Estado de Baja California, el Gobierno del Estado de México y el Gobierno de Guanajuato. También aparecen organismos relacionados con seguridad pública, justicia, salud, educación, servicios públicos y administración gubernamental.
PUBLICIDAD
Esta diversidad es particularmente relevante porque demuestra que no estamos frente a un problema aislado de una dependencia o de una entidad federativa. El riesgo atraviesa diferentes niveles y sectores de la administración pública.
La ciberseguridad no es un gasto accesorio
Durante años, la ciberseguridad ha competido por recursos con otras necesidades consideradas más urgentes. El problema es que la transformación digital del Estado modificó por completo esa ecuación.
Hoy, un gobierno que depende de redes, sistemas de información, centros de datos, servicios en la nube, plataformas administrativas y comunicaciones digitales no puede considerar la seguridad informática como un gasto accesorio.
PUBLICIDAD
La ausencia de inversiones suficientes, el mantenimiento deficiente, la obsolescencia tecnológica y la falta de personal especializado crean condiciones ideales para que vulnerabilidades conocidas permanezcan sin atender.
El mantenimiento preventivo de la infraestructura digital debería recibir la misma atención que cualquier otro componente esencial para la operación gubernamental. Sin embargo, con demasiada frecuencia se actúa después de un incidente, cuando el costo económico, operativo y reputacional ya es considerablemente mayor.
En ese sentido, FortiBleed deja una lección incómoda: el eslabón más débil no siempre es la tecnología; muchas veces es la capacidad institucional para administrarla correctamente.
PUBLICIDAD
El peligro de las credenciales expuestas
La exposición de credenciales relacionadas con dispositivos Fortinet merece especial atención porque estos equipos suelen controlar conexiones remotas mediante redes privadas virtuales (VPN) y desempeñar funciones críticas dentro del perímetro de seguridad de una organización.
Si una credencial comprometida permanece activa, es reutilizada en otros sistemas o está asociada con privilegios elevados, el impacto potencial puede ser considerable. Dependiendo de la arquitectura y de los controles existentes, un atacante podría intentar acceder a recursos internos, escalar privilegios, desplazarse lateralmente dentro de la red, obtener información confidencial o interrumpir servicios.
En escenarios más graves, una intrusión de este tipo puede convertirse en el punto de partida para ataques de ransomware, espionaje digital o extracción sistemática de información.
Por ello, cambiar una contraseña no siempre es suficiente. Cuando existe la posibilidad de exposición, las organizaciones deben asumir que las credenciales pudieron haber sido utilizadas y realizar una investigación integral: revisar accesos históricos, revocar sesiones, sustituir certificados cuando corresponda, buscar indicadores de compromiso y determinar si existieron movimientos sospechosos dentro de la infraestructura.
Instalar el parche no basta
Una de las ideas más peligrosas en materia de ciberseguridad es asumir que actualizar un dispositivo resuelve automáticamente el incidente.
Una organización puede haber instalado correctamente el parche y, aun así, mantener un riesgo elevado si las credenciales asociadas al dispositivo fueron expuestas antes de la actualización.
Por ello, ante un caso como FortiBleed, la respuesta debe contemplar varias capas de protección: actualización inmediata de los equipos afectados, rotación de credenciales administrativas y de usuarios VPN, implementación de autenticación multifactor, revisión de registros de autenticación, revocación de sesiones potencialmente comprometidas, análisis de indicadores de compromiso y monitoreo continuo.
Pero incluso estas medidas son insuficientes si no forman parte de un programa permanente de gestión de vulnerabilidades.
La pregunta que deberían hacerse las instituciones públicas no es únicamente cuántos dispositivos fueron actualizados. También deberían saber cuántos activos tienen expuestos a internet, qué versiones utilizan, qué vulnerabilidades presentan, quién es responsable de corregirlas, cuánto tiempo tardan en hacerlo y qué sucede cuando una vulnerabilidad crítica permanece abierta.
Si una institución no puede responder esas preguntas, tiene un problema de gobierno de ciberseguridad.
Una deuda que México no puede posponer
El caso FortiBleed expone una deuda que el Gobierno de México no puede seguir posponiendo: construir una estrategia de ciberseguridad gubernamental basada en prevención, capacidad de respuesta y continuidad operativa.
La seguridad digital no puede depender exclusivamente de la buena voluntad de los administradores de sistemas ni de acciones aisladas después de que una vulnerabilidad se hace pública. Se requieren presupuestos adecuados, equipos especializados, inventarios actualizados de activos, procesos formales de gestión de vulnerabilidades, ejercicios periódicos de respuesta a incidentes y mecanismos de supervisión que permitan medir resultados.
También es necesario modificar la cultura institucional. La ciberseguridad no debe ser responsabilidad exclusiva del área de tecnologías de la información. Cuando una vulnerabilidad puede comprometer una fiscalía, un tribunal, una secretaría de seguridad, un organismo de salud o una dependencia federal, estamos hablando de un asunto que involucra directamente a la alta dirección y, en determinados casos, a la seguridad y la continuidad de servicios esenciales.
La transformación digital del Estado ha generado enormes beneficios, pero también ha creado una superficie de ataque cada vez mayor. Mientras más servicios públicos dependan de sistemas conectados, mayor será el impacto potencial de una interrupción o intrusión.
Por eso, invertir en ciberseguridad no es simplemente invertir en tecnología. Es invertir en la continuidad del Estado.
Responder a la velocidad de los atacantes
El caso FortiBleed debería llevar a una reflexión mucho más profunda: si una vulnerabilidad crítica fue conocida, si existían actualizaciones para corregirla y si aun así permanecieron dispositivos y credenciales potencialmente expuestos, ¿cuánto tiempo tardan realmente nuestras instituciones públicas en reaccionar ante una amenaza digital?
Esa es la métrica que debería preocuparnos.
Porque los ciberdelincuentes no esperan ciclos presupuestales, procesos administrativos ni autorizaciones internas. Identifican una oportunidad y actúan. Las instituciones públicas, en cambio, necesitan desarrollar la capacidad de responder con la misma velocidad.
La exposición identificada por SILIKN no demuestra que todas las organizaciones señaladas hayan sufrido una intrusión. Pero sí demuestra que existe una superficie de riesgo que no puede ser ignorada.
FortiBleed debe convertirse en una llamada de atención. Actualizar sistemas, rotar credenciales, utilizar autenticación multifactor y monitorear permanentemente la infraestructura son medidas básicas, no extraordinarias.
El verdadero desafío es construir instituciones capaces de hacer estas tareas de manera sistemática, permanente y verificable.
México no puede continuar tratando la ciberseguridad como una prioridad secundaria mientras su administración pública depende cada vez más de infraestructura digital. La seguridad de esa infraestructura es ya una condición indispensable para proteger información, garantizar servicios, preservar la confianza ciudadana y mantener la continuidad operativa del Estado.
La deuda con la ciberseguridad gubernamental existe. Y cada vulnerabilidad conocida que permanece sin corregir no hace sino aumentar el costo de seguir aplazando su solución.
----
* Víctor Ruiz. Fundador de SILIKN | Emprendedor Tecnológico | Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro | Líder del Capítulo Querétaro de OWASP | CyberOps Associate (CCNA CyberOps) | NIST Cybersecurity Framework 2.0 Certified Expert (CSFE) | (ISC)² Certified in Cybersecurity℠ (CC) | Cyber Security Certified Trainer (CSCT™) | EC-Council Ethical Hacking Essentials (EHE) | EC-Council Certified Cybersecurity Technician (CCT) | Cisco Ethical Hacker & Cybersecurity
Analyst.X: https://x.com/victor_ruiz
Instagram: https://www.instagram.com/silikn
YouTube: https://www.youtube.com/@silikn7599
** Las expresiones emitidas en esta columna son responsabilidad de quien las escribe y no necesariamente coinciden con la línea editorial de Infobae México, respetando la libertad de expresión de expertos.
PUBLICIDAD