El 19 de julio de 2024, el mundo experimentó un apagón informático a gran escala debido a una actualización fallida del proveedor de servicios de ciberseguridad CrowdStrike. La actualización afectó a una amplia gama de dispositivos que ejecutan Windows, incluyendo ordenadores personales, servidores y sistemas críticos en sectores como el transporte, la energía y las finanzas.

Impacto del apagón 

El impacto del apagón cibernético fue significativo y generalizado. Se reportaron interrupciones en los siguientes sectores:

• Transporte: Aeropuertos de todo el mundo se vieron obligados a suspender o retrasar vuelos, lo que causó molestias y caos entre los pasajeros.
• Energía: Algunas empresas energéticas experimentaron problemas en sus sistemas de control, lo que generó preocupación por la seguridad y la estabilidad del suministro eléctrico.
• Finanzas: Los bancos y otras instituciones financieras tuvieron dificultades para procesar transacciones, lo que afectó a las operaciones comerciales y a los consumidores.
• Otros sectores: El apagón también afectó a empresas de una amplia gama de sectores, incluyendo la atención médica, la administración pública y la industria manufacturera.

¿Qué ha pasado?

Una actualización reciente del sensor Falcon, un componente clave de la plataforma de seguridad de CrowdStrike, ha introducido un error que provoca que los dispositivos Windows se bloqueen y muestren la temida pantalla azul. Esto ha afectado a una amplia gama de industrias, incluyendo aerolíneas, bancos, medios de comunicación, instituciones gubernamentales y muchas otras.

Para resolver el problema, es necesario eliminar el controlador afectado (csagent.sys o C-00000291.sys)*. Sin embargo, este proceso debe realizarse en modo seguro, lo que significa que es posible que muchos usuarios corporativos no tengan los permisos necesarios para hacerlo.

En estos casos, es probable que los administradores de sistemas de la organización deban intervenir manualmente en los equipos afectados para eliminar el controlador y restaurar el funcionamiento normal.

¿Cómo pudo ocurrir el fallo de CrowdStrike que afectó a Windows a nivel global?

Las actualizaciones críticas, como la que falló en este caso, se someten a rigurosas pruebas en entornos controlados antes de su implementación general. Este proceso, fundamental en la industria digital, busca garantizar que las actualizaciones no causen problemas en los sistemas operativos.

En el caso de CrowdStrike, la compañía ha reconocido el fallo, pero aún no ha explicado en detalle cómo pudo ocurrir. Esta falta de transparencia ha generado cierta inquietud entre los expertos en seguridad cibernética.

¿Se descarta un ciberataque?

Tanto CrowdStrike como expertos en ciberseguridad consultados han descartado rotundamente que el incidente se deba a un ataque malicioso. La compañía ha confirmado que el problema se originó en una actualización defectuosa de contenido para Windows, y que no ha afectado a otros sistemas operativos como Mac o Linux.

¿Por qué el impacto fue global?

La estrecha interconexión entre Windows y Azure, la plataforma de computación en la nube de Microsoft, fue un factor clave en la magnitud del apagón. Un error en CrowdStrike, que opera en muchos sistemas Windows dentro de Azure, provocó una reacción en cadena que afectó a nivel global.

¿Qué se puede hacer para solucionarlo?

Microsoft ha recomendado a los clientes de Azure que restauren copias de seguridad anteriores a la actualización de CrowdStrike. Esta medida temporal evidencia que aún no se ha encontrado una solución definitiva para recuperar los sistemas en su versión actual.

La compañía también está compartiendo posibles soluciones alternativas que han funcionado para algunas empresas. Sin embargo, la situación sigue siendo compleja y requiere de un esfuerzo conjunto entre CrowdStrike y Microsoft para encontrar una solución permanente.

Solución para usuarios

Para los usuarios que experimentan el pantallazo azul debido al fallo de CrowdStrike, se ha recomendado:

1. Iniciar Windows en Modo Seguro.
2. Buscar la carpeta de CrowdStrike.
3. Eliminar el archivo C-00000291*.sys.
4. Reiniciar el computador.

Sin embargo, muchos usuarios corporativos no tienen los permisos necesarios para realizar esta acción, por lo que los administradores corporativos deberán intervenir manualmente en los equipos afectados.

Respuesta al incidente

CrowdStrike reconoció rápidamente el problema y trabajó para identificar la causa y desarrollar una solución. La compañía publicó una actualización de software que solucionaba el error y aconsejó a los usuarios que la instalaran lo antes posible.

¿Quién es CrowdStrike?

CrowdStrike es una empresa estadounidense de ciberseguridad fundada en 2011 por George Kurtz, ex CTO de McAfee. La compañía ofrece una amplia gama de soluciones de seguridad para proteger a las empresas contra las amenazas cibernéticas, incluyendo:

• Endpoint Protection: Protege los dispositivos individuales contra malware, ransomware y otras amenazas.
• Cloud Security: Protege las aplicaciones y datos en la nube.
• Threat Hunting: Ayuda a las empresas a identificar y responder a las amenazas cibernéticas avanzadas.
• Managed Security: Ofrece servicios de seguridad gestionados a empresas de todos los tamaños.

CrowdStrike es una de las empresas de ciberseguridad más grandes y respetadas del mundo. Cuenta con más de 5.000 empleados y más de 6.000 clientes en todo el mundo.

Tendencias y desafíos en ciberseguridad:

1.  Fortalecimiento del factor humano en la ciberseguridad: El factor humano sigue siendo una de las principales vulnerabilidades en la ciberseguridad, especialmente con el crecimiento del teletrabajo y la expansión de servicios en la nube. Es crucial mejorar la capacitación en ciberseguridad para empleados, con un enfoque en la concienciación sobre phishing, ingeniería social y la importancia del uso de autenticación multifactor (MFA) para proteger los sistemas.
2. Ciberseguridad en el teletrabajo y la nube: El teletrabajo y el uso intensivo de la infraestructura en la nube (IaaS, PaaS, SaaS) han generado nuevas superficies de ataque, lo que exige políticas de seguridad más estrictas y soluciones como SD-WAN, Zero Trust y Seguridad como Servicio (SASE). Estos enfoques permiten una gestión de riesgos más granular y flexible, asegurando que solo usuarios y dispositivos autenticados puedan acceder a los recursos críticos.
3. Protección de endpoints y redes móviles: A medida que el trabajo remoto prolifera, proteger los dispositivos finales (endpoints) es esencial. Los empleados usan múltiples dispositivos para acceder a recursos corporativos, lo que exige soluciones de Data Loss Prevention (DLP), cifrado de datos y la implementación de seguridad móvil. Estas medidas, junto con un monitoreo continuo de la seguridad, permiten prevenir fugas de información y ataques a la infraestructura.
4. Copias de seguridad y respuesta ante ransomware: Las copias de seguridad robustas son una medida preventiva clave contra el ransomware, una de las mayores amenazas actuales. Tener estrategias de respuesta ante incidentes (IR) también es fundamental para minimizar los daños y la pérdida de datos en caso de un ataque exitoso.
5. Cumplimiento normativo y privacidad de datos: Con regulaciones como NIS 2 y GDPR, las empresas deben cumplir con estándares más estrictos sobre privacidad y seguridad de datos. Implementar auditorías de seguridad regulares y prácticas de desarrollo seguro (DevSecOps) es crucial para asegurar que las organizaciones mantengan el cumplimiento de estas normativas.
6. Inteligencia Artificial para la defensa cibernética: La IA no solo es una potencial amenaza, sino que también es una herramienta poderosa para la ciberseguridad. Las soluciones de IA pueden identificar patrones de comportamiento anómalos en la red, anticipar posibles amenazas antes de que se materialicen y automatizar respuestas a incidentes. Sin embargo, también debemos mitigar los riesgos inherentes a la IA, como los ataques adversariales que pueden comprometer la precisión y seguridad de los sistemas.

Nuevas tecnologías y metodologías emergentes:

1. Zero Trust y SDN (Software-Defined Networking): El concepto de Zero Trust ha ganado mucha tracción en el ámbito empresarial. Asegura que nadie, dentro o fuera de la red, sea automáticamente confiable, limitando los accesos a los recursos de acuerdo a las políticas de seguridad. El uso de SDN permite una administración centralizada y automatizada de la red, lo que mejora su seguridad y reduce los tiempos de respuesta ante amenazas.
2. Seguridad en la nube y SASE: Las empresas están adoptando cada vez más modelos de seguridad basados en la nube, como SASE, que combina las funciones de red y seguridad en un solo servicio en la nube. Esto simplifica la protección y facilita el acceso seguro a aplicaciones y datos corporativos desde cualquier lugar.
3. Autenticación robusta y gestión de identidad (IAM): La implementación de soluciones de Gestión de Identidades y Accesos (IAM) es esencial para controlar quién tiene acceso a qué recursos y cuándo. Herramientas como MFA (Autenticación Multifactorial) y tecnologías avanzadas como la firma digital añaden una capa extra de protección contra el robo de credenciales y el acceso no autorizado.
4. Defensa contra ataques DDoS y cifrado avanzado: Los ataques de denegación de servicio distribuido (DDoS) siguen siendo una amenaza constante. Contar con soluciones específicas para mitigar estos ataques, junto con el uso de cifrado avanzado, tanto en tránsito como en reposo, ayuda a proteger la confidencialidad e integridad de los datos.
5. Análisis forense y pruebas de penetración: Las pruebas de penetración y el análisis forense digital son esenciales para identificar y corregir vulnerabilidades antes de que sean explotadas. Estas técnicas permiten a las organizaciones mejorar sus defensas y desarrollar planes de respuesta más efectivos.

Necesitas ayuda en la recuperación de tus sistemas. No dudes en contactar con Cibersafety