Un fallo, cuarenta gigantes: la extorsión en cadena de Cl0p

Cada cierto tiempo aparece un nombre en las noticias de ciberseguridad y arrastra consigo una lista de víctimas que parece el ranking de una revista de negocios: Shell, Philips, General Electric, Fiserv… Esta vez el nombre es Cl0p, y la lista pasa de las cuarenta grandes empresas. Lo llamativo no es el tamaño de las víctimas. Es que a todas las han pillado por la misma puerta, a la vez, con el mismo truco.

Qué ha pasado

Cl0p encontró un agujero en un programa llamado PTC Windchill (y su primo FlexPLM). No es un nombre que suene fuera del mundo industrial, pero es una pieza clave en muchas fábricas: es donde las empresas guardan los planos, las especificaciones y la ingeniería de lo que fabrican. El diseño de una máquina, la fórmula de un producto, el know-how que las hace competitivas. Las joyas de la corona, vamos.

El fallo (catalogado como CVE-2026-12569) permitía ejecutar código en el servidor sin necesidad de usuario ni contraseña. Con eso, los atacantes colaban un pequeño programa espía en la máquina y empezaban a descargarse los datos con tranquilidad. Lo explotaron como zero-day, es decir, antes de que existiera parche: cuando el fabricante se enteró y publicó la corrección, el saqueo ya estaba en marcha.

Lo importante no es el fallo, es el método

Aquí es donde conviene levantar la vista del titular. Un fallo grave en un software concreto es noticia de un día. Lo que hace a Cl0p peligroso es su manera de operar, que llevan años perfeccionando:

No van empresa por empresa buscándole el punto débil a cada una. Eso es lento y artesanal. Lo que hacen es buscar el punto débil de una herramienta que usan miles de empresas al mismo tiempo. Un solo fallo en una pieza compartida, y con una única campaña les caen decenas de víctimas de golpe, como quien encuentra la llave maestra de todo un edificio en vez de forzar puerta por puerta.

Y hay un segundo detalle que lo cambia todo: ya no cifran nada. El ransomware clásico te bloqueaba los ficheros y te pedía dinero por la llave. Pero eso tiene un contra para el atacante: si tienes buenas copias de seguridad, restauras y te ríes de ellos. Cl0p ha eliminado ese punto flaco de su modelo. No te bloquean los datos: se llevan una copia y amenazan con publicarla. Y contra eso las copias de seguridad no sirven de nada, porque el problema ya no es recuperar la información, es que ya no es secreta. Lo robado no se puede des-robar.

No es la primera vez (ni será la última)

Si esta historia te suena, es porque la has vivido ya varias veces con otros nombres. Cl0p no ha improvisado: esto es, literalmente, su modelo de negocio, repetido con una precisión casi industrial.

En 2023 el nombre que estaba en boca de todos era MOVEit, un programa para transferir ficheros: un solo fallo se llevó por delante a más de dos mil setecientas organizaciones y los datos de decenas de millones de personas. Antes fue GoAnywhere. Antes, Accellion. Después, Cleo. Y ahora, Windchill. Distinta herramienta cada vez, mismísimo patrón: elegir un software empresarial muy extendido, reventar un fallo antes de que haya parche, vaciar cuanto se pueda y pasar a cobrar.

Verlo en fila, uno detrás de otro, deja una lección incómoda: no es mala suerte que le toque a una empresa u otra. Es una estrategia deliberada y rentable que se va a seguir repitiendo mientras funcione. La única incógnita es cuál será la próxima herramienta de la lista.

La superficie de ataque que casi nadie mira

La moraleja de fondo es una que repito mucho por aquí: tu seguridad no depende solo de tu código, depende de todo lo que conectas.

Una empresa puede tener a su propio equipo blindado, contraseñas impecables y a la gente formada… y aun así acabar en la lista de Cl0p porque un programa de un tercero, comprado e instalado años atrás y expuesto a internet, tenía un agujero. Cada herramienta que enchufas a la red es una puerta más, y esa puerta la fabrica y la mantiene otro. Cuantas más piezas ajenas expones a internet "porque son cómodas de usar desde fuera", más grande es el perímetro que tienes que vigilar y menos control tienes sobre él.

Esto no es un argumento para no usar software de terceros (sería absurdo). Es un argumento para saber exactamente qué tienes expuesto y tratarlo como lo que es: una parte de tu seguridad que está en manos de otro.

Qué se puede hacer

Contra este tipo de campañas no hay una bala de plata, pero sí varias costumbres que marcan la diferencia entre salir en la lista o no:

• Parchea rápido, sobre todo lo que da a internet. En estas campañas, entre que se publica el fallo y que empiezan a explotarlo masivamente pueden pasar horas. El calendario de "ya lo actualizaré el mes que viene" es justo la ventana que buscan.
• No expongas a internet lo que no haga falta. Muchas de estas herramientas empresariales no necesitan estar accesibles desde cualquier parte del mundo. Detrás de una VPN o de un control de acceso, el mismo fallo deja de ser una invitación abierta.
• Asume que pueden entrar y vigila lo raro. Un programa espía subido a un servidor deja rastro: procesos extraños, conexiones a horas intempestivas, descargas de datos inusualmente grandes. Detectar la fuga a tiempo es la diferencia entre un susto y una portada.
• Minimiza los secretos que viven en sistemas expuestos. Si una herramienta accesible desde fuera no necesita guardar tus datos más sensibles, que no los guarde. Menos joyas al alcance, menos que perder.
• Ten un plan para cuando pase, no para si pasa. Saber a quién avisar, qué se llevó el atacante y cómo comunicarlo se decide mucho mejor antes del incidente que a las tres de la madrugada con la extorsión ya encima de la mesa.

Y una última idea, la más incómoda de todas: las copias de seguridad ya no te salvan de esto. Siguen siendo imprescindibles (para recuperarte de un borrado, de un fallo de disco, de un ransomware clásico), pero no devuelven el secreto a lo que ya se ha filtrado. Frente a la extorsión por robo de datos, la mejor copia de seguridad es que el atacante no llegue a entrar.

El fondo del asunto

Cl0p no es especialmente sofisticado en el sentido de película. No hace magia. Hace algo mucho más eficaz: ha industrializado el robo. Ha entendido que la forma más rentable de atacar no es reventar una empresa, sino reventar una herramienta que usan cientos y dejar que la propia popularidad del software haga el trabajo de multiplicar las víctimas.

Mientras el software empresarial se siga instalando y olvidando, expuesto a internet y sin actualizar, este guion se va a repetir con otro nombre dentro de unos meses. La pregunta no es si volverá a pasar, sino cuál será la próxima llave maestra… y si a ti te pillará con la puerta ya cerrada.