100 millones de datos robados sin un solo exploit: la lección incómoda del caso Snowflake

Imaginamos a los grandes ciberataques como escenas de película: un genio tecleando a toda velocidad, saltándose sistemas imposibles con un exploit deslumbrante. La realidad, casi siempre, es mucho más aburrida y mucho más incómoda. Acaba de confirmarse otra vez: un joven de 26 años se ha declarado culpable de uno de los mayores robos de datos recientes (165 empresas y los datos de más de 100 millones de personas), y lo hizo, básicamente, iniciando sesión.

Qué pasó, sin tecnicismos

Entre 2024 y ahora, el atacante y sus cómplices accedieron a los enormes almacenes de datos en la nube que muchas empresas tenían en la plataforma Snowflake. Pero no rompieron Snowflake. No hubo un fallo mágico en la plataforma. Entraron con contraseñas válidas: usuarios y claves legítimos que, sencillamente, habían sido robados antes por otro camino. Una vez dentro, copiaron los datos y extorsionaron a las empresas para no publicarlos.

Es decir: la cerradura no la forzaron. Tenían la llave.

El villano invisible: los "infostealers"

¿De dónde salieron esas contraseñas? De un tipo de malware que no sale en las noticias pero que está detrás de media internet criminal: los infostealers ("ladrones de información").

Un infostealer es un programa que, una vez en tu equipo (a través de software pirata, un adjunto o una descarga falsa), copia en silencio todo lo jugoso: las contraseñas guardadas en el navegador, las cookies de sesión, los tokens. Luego empaqueta ese botín y lo sube a un mercado criminal, donde se vende al por mayor y por muy poco dinero. Hay millones de estos "paquetes" a la venta ahora mismo.

Y aquí está el detalle que casi nadie ve venir: el equipo infectado no tiene por qué ser el de la empresa. Basta con que un empleado tuviera guardada en su portátil personal la contraseña del trabajo. Un ordenador de casa comprometido puede acabar abriendo la puerta de una multinacional.

La lección que duele: lo básico es lo que falla

Aquí está lo verdaderamente importante de esta historia, y no es el nombre del culpable. Es que el mayor daño vino de la causa más aburrida:

No hizo falta un exploit de día cero ni una técnica de laboratorio. Hizo falta una contraseña robada y, sobre todo, cuentas sin segundo factor de autenticación (2FA) obligatorio. Con 2FA, esa contraseña robada no habría servido de nada: al intentar entrar, el sistema habría pedido un código que el atacante no tenía, y se acabó la fiesta.

Es la moraleja que se repite en casi todas las grandes brechas: no las abren genios, las abre lo básico sin hacer. Un 2FA que nadie activó. Una contraseña reutilizada. Un permiso de más.

La trampa del "la nube es segura"

Hay una idea cómoda y peligrosa: "si mis datos están en un gran proveedor cloud, ya están seguros". Y es media verdad. El proveedor se encarga de que la plataforma sea segura. Pero de que tu cuenta lo sea, te encargas tú.

En la nube manda un principio llamado responsabilidad compartida: el candado de la puerta lo pone el proveedor; la llave, y a quién se la das, es cosa tuya. Cuando el 2FA es opcional en lugar de obligatorio, en la práctica significa que la mayoría no lo tiene puesto. Y ahí es donde entran, uno detrás de otro, 165 clientes con la misma técnica.

Qué hacer (sin humo)

Nada de esto es glamuroso, pero es lo que de verdad mueve la aguja:

• 2FA en todo. Sin excepciones. Es, con diferencia, lo que más protege por menos esfuerzo. Empieza por el correo y las cuentas críticas.
• Un gestor de contraseñas y claves únicas. Si cada sitio tiene una contraseña distinta, una filtrada no arrastra a las demás.
• Cuidado con lo que ejecutas. La mayoría de infostealers entran por software "crackeado" y descargas de dudosa procedencia. Ese atajo puede costarte todas tus claves.
• Comprueba si tus credenciales se han filtrado (hay servicios que te avisan) y cámbialas si aparecen.
• Si gestionas una organización: haz el 2FA obligatorio, no opcional. La diferencia entre "recomendado" y "obligatorio" es, literalmente, la diferencia de esta noticia.

El fondo del asunto

Nos gusta pensar que nos atacan cerebros criminales rompiendo lo irrompible. La verdad es más simple y más aprovechable: casi nunca fuerzan la cerradura; casi siempre entran con una llave que alguien dejó tirada. La buena noticia es que, si el problema es tan básico, la defensa también lo es. El 2FA es ese cerrojo de más que convierte una contraseña robada en un trozo de texto inútil.

No hace falta ser un experto para cerrar la puerta por la que se cuelan los grandes ataques. Solo hace falta echar el cerrojo.