Documentos de la FOIA revelan que el hackeo de SolarWinds expuso todos los correos electrónicos de Treasury.gov
Los documentos obtenidos mediante una demanda bajo la Ley de Libertad de Información han añadido un nuevo y preocupante capítulo a la historia del hackeo de SolarWinds en 2020. Según los registros aparecidos recientemente, los atacantes no se limitaron a infiltrarse en un puñado de cuentas del Departamento del Tesoro de Estados Unidos. Obtuvieron un acceso tan profundo que pudieron exponer potencialmente todas y cada una de las direcciones de correo electrónico que terminan en treasury.gov. Resulta que el alcance total de la exposición de datos gubernamentales del hackeo de SolarWinds fue aún más amplio de lo que los funcionarios habían reconocido públicamente.
Lo que revelaron realmente los documentos de la FOIA sobre el acceso al Tesoro
Cuando la brecha de SolarWinds salió a la luz a finales de 2020, las declaraciones del gobierno reconocieron la intrusión en términos generales, pero no detallaron hasta qué punto los atacantes habían penetrado en los sistemas federales. Los nuevos documentos de la FOIA cambian esa imagen de manera significativa.
Los registros indican que los hackers, ampliamente atribuidos al Servicio de Inteligencia Exterior de Rusia (SVR), alcanzaron un nivel de acceso a la infraestructura de correo electrónico del Departamento del Tesoro que les habría permitido ver o recolectar todas las direcciones que operan bajo el dominio treasury.gov. Esto va más allá del compromiso de un subconjunto de buzones. Sugiere que los atacantes tenían visibilidad a nivel administrativo del entorno de correo electrónico del departamento, lo que significa que podían identificar cada cuenta y, probablemente, su contenido, en una de las agencias más sensibles del gobierno de Estados Unidos.
Ese tipo de acceso tiene implicaciones que van mucho más allá de la correspondencia robada. Los directorios de correo electrónico pueden revelar estructuras organizativas, identificar al personal clave y servir como un mapa para posteriores campañas de phishing o para la recopilación selectiva de inteligencia.
Por qué un ataque a la cadena de suministro es diferente de una brecha estándar
Para entender por qué esta brecha fue tan difícil de detectar y tan dañina en su alcance, ayuda comprender el método de ataque. No se trató de un caso de hackers adivinando contraseñas débiles o explotando un servidor sin parches. El ataque a SolarWinds fue un ejemplo de manual de un ataque a la cadena de suministro, lo que significa que los adversarios comprometieron a un proveedor de software de confianza y utilizaron el mecanismo de actualización legítimo de ese proveedor para enviar código malicioso directamente a los clientes.
SolarWinds fabricaba un software de gestión de redes llamado Orion, ampliamente utilizado tanto en agencias federales como en empresas del sector privado. Cuando los atacantes insertaron su malware en una actualización rutinaria del software Orion, cada organización que instaló esa actualización básicamente invitó a la intrusión por la puerta principal. Las herramientas de seguridad que normalmente señalarían una actividad sospechosa no tenían motivos para dar la alarma porque el código malicioso llegaba envuelto en un paquete de software firmado y de confianza.
Esto es precisamente lo que hace que los ataques a la cadena de suministro sean tan peligrosos en comparación con las brechas convencionales. El punto de apoyo del atacante no se establece a través de una grieta en las defensas propias del objetivo, sino a través de un tercero de confianza en el que el objetivo, en la práctica, no tiene motivos para desconfiar.
Cómo los sistemas gubernamentales comprometidos ponen en riesgo los datos de los ciudadanos
La reacción instintiva ante una brecha en el Departamento del Tesoro podría ser tratarla como un problema del gobierno, separado de la privacidad personal cotidiana. Ese planteamiento subestima la exposición.
Las agencias federales poseen enormes cantidades de datos de los ciudadanos: declaraciones de impuestos, informes financieros, información laboral, solicitudes de prestaciones y mucho más. Cuando los atacantes obtienen acceso a nivel administrativo al entorno de correo electrónico de una agencia como el Tesoro, están en posición de interceptar comunicaciones internas sobre auditorías, investigaciones y decisiones políticas. Pueden identificar qué funcionarios supervisan qué programas, información que puede utilizarse para elaborar correos electrónicos de phishing altamente convincentes dirigidos a otras agencias o incluso a ciudadanos particulares relacionados con asuntos gubernamentales en curso.
Más allá de los ataques dirigidos posteriores, está la cuestión del valor de la inteligencia. Saber quién trabaja en el Tesoro, qué programas supervisa y quién se comunica con quién es realmente útil para un servicio de inteligencia extranjero, y ese valor no requiere que los atacantes descifren ni un solo archivo encriptado.
Lo que los usuarios preocupados por su privacidad pueden y no pueden hacer para protegerse
Aquí es donde la exposición de datos gubernamentales del hackeo de SolarWinds enfrenta a los usuarios individuales con una realidad incómoda. Prácticamente no hay nada que un ciudadano privado pueda hacer para evitar que un servicio de inteligencia extranjero comprometa la infraestructura interna de correo electrónico de una agencia federal.
Usar una VPN protege tu propio tráfico. Las contraseñas seguras y la autenticación de dos factores protegen tus cuentas personales. La mensajería cifrada de extremo a extremo protege tus conversaciones privadas. Ninguna de estas medidas influye en si un proveedor de software en el que confía el gobierno federal ha sido comprometido, o en si una agencia gubernamental que tiene registros sobre ti ha sido infiltrada a través del canal de actualización de ese proveedor.
Eso no es un argumento a favor del fatalismo. Es un argumento a favor de la claridad sobre lo que realmente están diseñadas para hacer las diferentes herramientas. Las herramientas de privacidad personal abordan las superficies de ataque personales. Las vulnerabilidades sistémicas en la infraestructura gubernamental o empresarial requieren respuestas sistémicas: auditorías de seguridad rigurosas de los proveedores, arquitecturas de red de confianza cero, plazos obligatorios de divulgación de brechas y supervisión legislativa con capacidad real de acción.
Para los individuos, la respuesta más útil es mantenerse informado sobre qué datos poseen las agencias gubernamentales, prestar atención a las notificaciones de brechas cuando lleguen y ser especialmente escéptico ante comunicaciones no solicitadas que parezcan proceder de fuentes gubernamentales tras una brecha reportada.
Lo que esto significa para ti
El alcance recién revelado de la brecha del Tesoro es un recordatorio de que la protección de los datos personales existe dentro de un ecosistema más amplio que los individuos no controlan. Tus propias prácticas de seguridad importan. Pero también importa la postura de seguridad de todas las instituciones que tienen datos sobre ti.
El hackeo de SolarWinds no fue una anomalía aislada. Expuso una debilidad estructural en la forma en que se confía en las cadenas de suministro de software y en cómo se divulgan las brechas. Comprender ese contexto es esencial para cualquiera que siga de cerca cómo las amenazas a nivel estatal se traducen en riesgos reales para la privacidad. Empieza por construir una comprensión sólida de cómo funcionan los ataques a la cadena de suministro y por qué son tan difíciles de defender a nivel individual. Esos conocimientos previos agudizarán tu lectura de cada historia similar que surja.
