Ciberataque Masivo a Microsoft: Gobiernos y 400 empresas, víctimas de una crisis de seguridad global
Una crisis de ciberseguridad a escala global está en pleno desarrollo. Grupos de ciberdelincuentes vinculados al estado chino, apodados «Violet Typhoon», están explotando una vulnerabilidad crítica en Microsoft SharePoint Server, comprometiendo los sistemas de, al menos, 400 organizaciones en todo el mundo. La lista de víctimas incluye agencias gubernamentales de alto perfil en Estados Unidos y Europa, además de grandes empresas y universidades. Este ataque no es solo una brecha de seguridad más; es un golpe que expone las debilidades de la infraestructura digital de miles de compañías y obliga a una respuesta de emergencia.
Crónica de la crisis: espionaje a través de SharePoint
El ataque se centra en una vulnerabilidad de «día cero» (un fallo desconocido hasta ahora) en las versiones de SharePoint que las empresas gestionan en sus propios servidores (on-premise). La peligrosidad de este fallo es extrema por varias razones:
- Permite acceso sin autenticación: Es su característica más grave. Un atacante no necesita un nombre de usuario ni una contraseña para explotar el fallo. Simplemente enviando una solicitud web manipulada, puede ejecutar código de forma remota en el servidor.
- Otorga control total: Una vez dentro, los atacantes pueden robar toda la información almacenada en SharePoint, que a menudo incluye los documentos más sensibles de una organización (contratos, informes financieros, datos de empleados).
- Crea acceso persistente: Los atacantes no solo entran y roban; instalan «webshells» o puertas traseras. Esto les permite extraer las claves criptográficas del servidor. Con estas claves, pueden volver a entrar cuando quieran, incluso si la empresa cambia las contraseñas o aplica el parche de seguridad más tarde.
El talón de Aquiles del software «on-premise»
Esta crisis pone de manifiesto una paradoja fundamental en la ciberseguridad corporativa. La vulnerabilidad no afecta a las versiones en la nube de SharePoint (incluidas en Microsoft 365), que son gestionadas y parcheadas directamente por Microsoft. El ataque se ceba exclusivamente en las empresas que, por motivos de control o política interna, deciden gestionar el software en sus propios servidores.
Muchas compañías operan bajo la falsa sensación de seguridad de que tener el software «en casa» es más seguro. Sin embargo, este control conlleva una enorme responsabilidad. La realidad es que la mayoría de las pymes y muchas grandes empresas carecen de los recursos y la agilidad para aplicar parches de seguridad y monitorizar sus sistemas 24/7 con la misma eficacia que un gigante como Microsoft. Este incidente es un duro recordatorio de que una infraestructura mal mantenida, sin importar dónde esté, es el eslabón más débil de la cadena.
Guía de respuesta a incidentes: ¿qué deben hacer las empresas?
Las agencias de ciberseguridad de todo el mundo, siguiendo la estela de la directiva de emergencia de la CISA en EE.UU., han emitido una serie de recomendaciones urgentes para todas las empresas que utilicen SharePoint Server.
- Identificar y Parchear de Inmediato: El primer paso es una auditoría interna para identificar todos los servidores de SharePoint on-premise y aplicar los parches de seguridad de emergencia publicados por Microsoft sin la menor demora.
- Asumir la Brecha y «Cazar» al Intruso: Debido a que los atacantes pueden haber estado dentro de los sistemas durante semanas, parchear no es suficiente. Las empresas deben actuar bajo la suposición de que ya han sido comprometidas. Esto implica buscar activamente «Indicadores de Compromiso» (IoCs), como archivos sospechosos o conexiones de red inusuales.
- Rotar Todas las Credenciales: Para expulsar a los atacantes que ya han robado claves de acceso, es fundamental invalidar y generar de nuevo todas las contraseñas, claves y certificados asociados al entorno de SharePoint y a las cuentas de administrador.
Esta crisis global es una llamada de atención para miles de negocios. En un entorno de amenazas persistentes y sofisticadas, la seguridad no es un producto que se compra, sino un proceso de vigilancia constante.
Fuentes:
- Microsoft Security Response Center: CVE-2025-53770 – Microsoft SharePoint Server Remote Code Execution Vulnerability
- CISA: CISA Adds One Known Exploited Vulnerability to Catalog
- Bleeping Computer: CISA warns of Microsoft SharePoint RCE bug exploited in attacks
- The Hacker News: CISA Alert: Hackers Actively Exploiting Critical SharePoint RCE Vulnerability
- CSO Online: The shared responsibility model for cloud security explained
