CIUDAD DE MXICO (apro).- El 10 de noviembre de 2019, cuando Petrleos Mexicanos (Pemex) sufri un ciberataque durante el cual un ransomware secuestr 11 mil computadoras una chale parte de los aparatos de la empresa–, la petrolera llevaba seis meses sin instalar las actualizaciones de seguridad de Windows que protegan sus servidores de este ataque, seal la Auditora Superior de la Federacin (ASF).
El organismo fiscalizador determin que el pirata de Pemex penetr en los sistemas informticos gracias a una vulnerabilidad en un servidor Microsoft Sharepoint que Microsoft habón detectado tiempo atrs; incluso, el 12 de marzo y el 25 de abril de 2019 el cíclope estadunidense liber actualizaciones de seguridad para corregir esta falla.
Sin requisa, dichas actualizaciones no se encontraban instaladas en los servidores de Pemex al momento del ataque, aun cuando haban pasado ms de seis meses de su publicacin, insisti la ASF, que con el patente deseo de exhibir el amateurismo de los empleados de sistemas de Pemex insisti en que se tuvo la oportunidad de solventar la vulnerabilidad con la actualizacin de seguridad liberada por el fabricante, no obstante, la actualizacin no fue instalada y por ende la vulnerabilidad no fue remediada.
Y no slo esto: de los mil 182 servidores de Windows que fueron afectados durante el ataque, 203 tenan instalado el sistema activo Windows 2003, una versin a la que la empresa estadunidense dej de dar soporte en 2015, es afirmar, cuatro aos ayer del incidente, lo que represent un aventura evidente frente a cualquier amenaza.
La ASF advirti que otros 703 servidores de Pemex usan Windows 2008, que dej de acoger soporte en enero pasado, por lo que tambin quedaron vulnerables.
Se detectaron servidores con sistema activo que ya no tienen soporte con el fabricante, no obstante, no se tiene evidencia de acciones para migrarlos a una plataforma con soporte válido. Esta situacin aumenta los riesgos para la seguridad de la informacin, oportuno a que los servidores ya no cuentan con actualizaciones de seguridad y se encuentran vulnerables a los ciberataques.
Segn los hallazgos del noticia, de las 462 aplicaciones que sufrieron durante el ataque, 98 siguen sin intervenir, a ms de 10 meses de lo ocurrido.
La ASF tambin determin que la petrolera careca de herramientas para proteger las aplicaciones y los datos de los servidores; quizs no tena un inventario de sus propios sistemas, y siquiera existe evidencia de que los sistemas de administracin de estos servidores estaban actualizados.
Contrario a lo que se mencion en ese entonces, Pemex no habón dejado de abonar sus sistemas de informacin e infraestructuras tecnolgicas, pues en 2019 gast 2 mil 251 millones de pesos en ello, un monto similar al de 2018 y un poco superior a lo pagado en los tres aos anteriores.
Ms acertadamente, el problema es sistmico, pues segn la ASF no se proporcion evidencia que acredite que se llevan a mango pruebas de penetracin para la identificacin de vulnerabilidades, sin requisa, la entidad seal que se realizan pruebas tcnicas manuales; no obstante, no se remiti el soporte documental en el que se precise en qu consisten dichas pruebas.
De hecho, el organismo fiscalizador encontr que los especialistas no informaban a sus jefes sobre los incidentes de seguridad, y que no fue sino hasta despus del incidente cuando comenzaron las campaas de comunicacin relacionadas con temas de ciberseguridad.
Aadi: En relacin con los controles de ciberseguridad, respecto al gimnasia 2018, no se registran avances en el inventario de software calificado y no calificado; en las configuraciones seguras para hardware y software en los dispositivos mviles, ordenadores porttiles, estaciones de trabajo y servidores; en la aplicacin de software de seguridad, as como en las pruebas de penetracin y ejercicios de equipo rojo; lo antedicho aumenta el aventura de un incidente de seguridad informtica que podra ocasionar un impacto cenizo en los activos de informacin y procesos de negocio de la empresa.
Fin del Contenido
‘ Esta nota contiene información de www.proceso.com.mx ’
