El mercado de los exploits de día cero: cómo las ciberarmas acumuladas se escapan al mundo

En 2007, Charlie Miller, exempleado de la Agencia de Seguridad Nacional de Estados Unidos (NSA), reveló públicamente por primera vez que el gobierno estadounidense compraba de forma activa exploits de día cero para software. Hasta ese momento, los fallos de seguridad ocultos que los desarrolladores de software aún no habían descubierto ni corregido mediante un parche pertenecían a un rincón oscuro de la informática. Sin embargo, una vez identificada una vulnerabilidad de seguridad, convertirla en una ciberarma funcional requiere asombrosamente poco tiempo. Para 2017, las estimaciones indicaban que transformar una vulnerabilidad de día cero no divulgada en un exploit operativo tomaba un promedio de tan solo 22 días.

La anatomía de una vulnerabilidad secreta

Los desarrolladores de software dejan inevitablemente errores en los códigos fuente complejos. Cuando investigadores de seguridad u operativos respaldados por Estados descubren estas vulnerabilidades sin parche, obtienen un acceso silencioso a los dispositivos de sus objetivos. En lugar de notificar a los proveedores de software para que desarrollen una actualización, los compradores pagan elevadas sumas para mantener en secreto estas vías de entrada. Un estudio de 2022 sobre el precio de los exploits reveló una tasa de inflación anualizada del 44 por ciento, impulsada por la intensa competencia entre agencias gubernamentales e intermediarios comerciales de exploits. Los exploits de cero clics de alto valor —como los descubiertos en 2022 en servicios de mensajería como iMessage y WhatsApp, utilizados por el software espía Pegasus— alcanzan los precios más altos porque comprometen los dispositivos sin requerir interacción alguna por parte del usuario.

El tiempo corre para el almacenamiento de fallos

Los programas de inteligencia estatal enfrentan un riesgo matemático inherente cuando deciden almacenar vulnerabilidades sin parche para su uso operativo. Una investigación de RAND Corporation publicada en 2017 reveló que un exploit de día cero almacenado tiene una vida útil media de 6,9 años, la cual se reduce a 1,4 años si se adquiere a través de un proveedor externo. El secreto no permanece exclusivo por mucho tiempo: RAND estimó que investigadores independientes o actores rivales redescubren el 5,7 por ciento de los fallos de día cero secretos en el plazo de un solo año, mientras que otros estudios académicos sitúan esa tasa de coincidencia anual hasta en un 21,9 por ciento. Cada vulnerabilidad secreta que se mantiene abierta es una cuenta atrás antes de que alguien más descubra exactamente la misma puerta de entrada.

Cuando los secretos de Estado se convierten en amenazas globales

El poder operativo de estas armas digitales quedó demostrado en 2010, cuando el gusano Stuxnet utilizó cuatro vulnerabilidades distintas de día cero para dañar el programa nuclear de Irán. No obstante, acumular exploits secretos también genera una profunda fragilidad sistémica. En 2016, un grupo de piratas informáticos denominado The Shadow Brokers filtró un conjunto de herramientas cibernéticas supuestamente robadas de la NSA. Entre estas herramientas se encontraba EternalBlue, un exploit que aprovechaba un fallo en el protocolo Server Message Block de Microsoft Windows. Los ciberdelincuentes convirtieron rápidamente EternalBlue en ataques globales de ransomware, incluidos WannaCry y NotPetya, paralizando hospitales, empresas de transporte marítimo e infraestructuras empresariales en todo el mundo.

El impacto derivado de las filtraciones y del redescubrimiento de exploits no deja de aumentar. Según Google Threat Intelligence, solo en 2024 se explotaron en la práctica un número récord de 75 vulnerabilidades de día cero. Mientras las agencias estatales y los compradores privados sigan optando por almacenar vulnerabilidades de software en lugar de reportarlas para su corrección, las herramientas diseñadas para el espionaje táctico terminarán filtrándose inevitablemente a las redes públicas, poniendo en riesgo la infraestructura básica sobre la que se sustenta el software moderno.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Zero-day vulnerability