Por qué lo lento no abre un ticket

Los controladores que mantienen fría una cámara de supermercado no tienen teclado ni pantalla. Viven en la trastienda, atornillados a la pared encima de un cuadro eléctrico, y pasan años sin que nadie los toque. El Danfoss AK-SM 800A, uno de los más extendidos, lleva dentro un mecanismo oculto de «código del día» que permite entrar sin la contraseña del cliente. Claroty Team82 lo documentó como una elusión de autenticación y quedó registrado como CVE-2025-41450. Las letras son iniciales inglesas, de Common Vulnerabilities and Exposures, vulnerabilidades y exposiciones comunes, la lista pública donde cada fallo conocido recibe un número propio para que todo el mundo sepa de cuál se habla. Su gravedad es de 8,2 sobre 10 en la escala CVSS, iniciales también inglesas de Common Vulnerability Scoring System, el sistema común de puntuación de vulnerabilidades, en su versión 3.

Por qué está ahí ese mecanismo no lo ha explicado el fabricante. Lo que resuelve sí se ve desde fuera: un técnico que llega un sábado a un supermercado de un polígono, con el equipo colgado en la pared y un encargado que no sabe ninguna contraseña, necesita poder entrar igual. El día que alguien decidió que el soporte tuviera siempre una forma de entrar, esa era la decisión sensata.

Lo que produce esa decisión años después es otra cosa. Una entrada por el código del día, mirada desde el sistema que vigila los accesos, tiene el mismo aspecto que cualquier otra: hay sesión, hay credencial aceptada, hay respuesta correcta. Nada de lo que llega al panel dice que esa puerta la ha abierto alguien que no debía.

El panel, además, está calibrado. Un sistema de vigilancia que avisa de todo deja de ser un sistema de vigilancia en 2 semanas, porque la gente aprende a cerrar los avisos sin leerlos. Alguien sube entonces el umbral hasta que el ruido baja a un volumen que un equipo pequeño puede atender de verdad. Lo que ocurre de forma constante se queda por debajo del umbral, porque el umbral se subió para que lo constante dejara de sonar.

La pregunta es por qué un riesgo que lleva meses en el mismo sitio no llega nunca a ser asunto de nadie. El martes conté en la newsletter que una organización reacciona al golpe mucho mejor de lo que reacciona a la presión que llega despacio, con los informes del año delante. Detrás de esa diferencia hay 6 decisiones de diseño, tomadas en sitios distintos de la organización, por personas distintas y en momentos distintos.

Hace falta que pase algo

Un ticket se abre cuando pasa algo. Alguien llama, un servicio deja de responder, una regla salta, un auditor pregunta. El campo de fecha y hora que lleva el registro no está ahí por casualidad: toda la herramienta está construida sobre la idea de que existe un instante en el que el problema empezó. Una situación que lleva meses exactamente igual no tiene ningún instante que anotar en ese campo.

Quien diseñó ese formulario tampoco se equivocó. Un servicio de atención que registre estados además de acontecimientos se llena de entradas que nadie cierra nunca y deja de servir para medir el trabajo, que es para lo que se compró.

El mismo diseño tiene un segundo efecto, ya con la lista abierta. La cola de vulnerabilidades se ordena por gravedad, que es lo razonable: primero lo que más daño puede hacer. Esa puntuación tiene una propiedad que nadie discute, porque nadie la mira: no envejece. Al mismo controlador del principio le documentaron otros 2 fallos: una inyección de comandos que lleva a ejecución remota, con 7,6, y una denegación de servicio, con 5,4, en la misma escala. Una puntuación de gravedad será la misma dentro de 2 años, así que lo que lleva mucho tiempo esperando no se mueve del sitio que ocupa en la lista.

La cantidad mediana de vulnerabilidades pendientes por organización subió de 11 a 16 en el último informe de investigaciones sobre brechas de datos de Verizon. La mediana es el caso que queda justo en el medio cuando pones a todas las organizaciones en fila, de modo que un caso muy grande en un extremo de la fila no mueve ese número. La lista de cada uno es más larga que hace un año. Lo que ya estaba al fondo ha quedado más al fondo.

La casilla que nadie imprimió

El formulario de aceptación de riesgo pide 3 cosas: quién firma, qué impacto se asume y con qué justificación. Con esos 3 campos ya es mejor que lo que había antes, que era un acuerdo de palabra en un pasillo, a pocos días de una puesta en producción. Quien lo diseñó estaba resolviendo un problema real, el de las excepciones que se concedían sin dejar rastro.

Lo que ese formulario no pide es una fecha de vencimiento. Nadie la echó de menos, porque la aceptación se entendía como el cierre de una discusión y no como la apertura de un plazo. Una aceptación sin fecha no vuelve a la mesa por sí sola, no hay nada que la caduque y nadie recibe ningún aviso. El riesgo que se asumió para llegar a tiempo a una campaña de Navidad sigue asumido varias Navidades después.

Existe una versión peor, que es la aceptación que nunca llegó a escribirse. El mismo informe de Verizon mira qué hacen las organizaciones con los hallazgos que se les comunican sobre sus servicios en la nube: solo el 23% de los terceros corrigió del todo el doble factor de autenticación que faltaba o estaba mal configurado. Con las contraseñas débiles y los permisos mal puestos, resolver la mitad de los hallazgos llevó casi 8 meses. La aceptación por silencio no lleva fecha porque ni siquiera lleva papel.

Nadie se equivocó aquí

El catálogo de vulnerabilidades explotadas conocidas lo mantiene la agencia estadounidense de ciberseguridad e infraestructuras, CISA por sus iniciales inglesas, de Cybersecurity and Infrastructure Security Agency, y dentro están los fallos de los que consta que se están usando contra alguien ahora mismo. Verizon mide qué pasa con ellos: a los 7 días de detectarse una de esas vulnerabilidades, entre el 60% y el 70% sigue sin corregir. Ese porcentaje no ha bajado en 3 años, con más herramientas, más proceso y más presión normativa por el medio.

Ese porcentaje tampoco cambia según lo madura que sea la organización. Si lo lento solo se escapara donde se trabaja mal, esto sería un problema de ejecución y se arreglaría con más gente, con más presupuesto y con mejores herramientas. Se escapa igual donde se trabaja bien.

Los informes que sostienen esta entrada los publican empresas de seguridad sobre los casos y los datos que ellas ven, así que son parte interesada. Lo que cuentan describe lo que llega hasta ellas.

Aun con esa reserva, lo que queda es un patrón que se repite en organizaciones muy distintas y que no se explica por la pericia de nadie. Ninguna de estas decisiones es un error. Todas juntas son una política que nadie escribió.

El equipo que se quedó en la pared

Un contrato de mantenimiento termina el día que termina. El proveedor deja de facturar, la organización deja de pagar, el equipo sigue encendido haciendo lo único que sabe hacer. El acceso remoto que se abrió para que ese proveedor pudiera atender una avería un domingo por la tarde no aparece en ninguna cláusula de salida, porque las cláusulas de salida hablan de datos, de confidencialidad y de penalizaciones. Un contrato de servicio se escribe pensando en cómo empieza el servicio. Lo que hay que apagar el día que termina no le ocupa ninguna cláusula.

La noche del 11 al 12 de octubre de 2026, alguien puso en modo descongelación los controladores de refrigeración de cientos de supermercados franceses, entre ellos los de Carrefour, Monoprix, Coopérative U e Intermarché. La investigación está en manos de la ANSSI, iniciales francesas de Agence nationale de la sécurité des systèmes d’information, la agencia francesa de ciberseguridad, y de la fiscalía de París, sin que por ahora se conozcan los autores ni el motivo.

Según la cobertura del caso, la ANSSI apuntó a vulnerabilidades en 4 familias de controlador: Danfoss AK-SM, Danfoss AK-SC, Copeland XWEB y Dixell XWEB. Son equipos que se compran una vez, se instalan en una trastienda y se conectan a internet para poder mirarlos desde una oficina central, normalmente con la instalación y el mantenimiento incluidos en el mismo pedido.

Qué vulnerabilidad concreta se usó aquella noche no lo ha confirmado ninguna fuente oficial: quien ata el ataque a los fallos documentados en ese controlador es la cobertura del caso, no la agencia ni el fabricante. Copeland confirmó un fallo propio en controladores descatalogados y fuera de soporte, de los que ya no reciben arreglos. La distancia entre el parche y el ataque no se puede dar, porque las fuentes no coinciden en la fecha. El firmware que corrige los fallos del Danfoss estaba publicado antes de aquella noche.

Con el caso ya en todos los periódicos, la Fundación Shadowserver contaba todavía unos 350 de esos equipos alcanzables desde internet, después de haber contado más de 550 esa misma semana. De Copeland quedaban otros 1.173 expuestos. Que un equipo siga accesible con el ataque ya publicado significa que llegó información nueva y no movió nada. Tomar una decisión razonable en su día y no volver a mirarla son dos cosas distintas. La segunda tiene dueño hoy.

Donde se acaba la memoria

Los días de registro que guarda una organización salen de una partida de almacenamiento. Alguien pidió presupuesto, miró el precio por terabyte, lo multiplicó por el volumen diario que generan los sistemas y eligió un número que cabía dentro de lo aprobado. La política de retención más extendida guarda 90 días, que es un trimestre, cuadra con los ciclos de auditoría y cumple el mínimo que piden varias normas.

Al lado de ese número nadie puso el otro. Mandiant, en su recuento anual, sitúa en 122 días la mediana del tiempo que el atacante pasa dentro antes de que alguien lo descubra cuando se trata de espionaje o de trabajadores de tecnologías de la información infiltrados desde Corea del Norte. En campañas como BRICKSTORM se llega a rozar los 400 días dentro. El día que descubres una intrusión de ese tipo, el primer tramo de lo que pasó ya no está guardado en ningún sitio.

La decisión se tomó comparando euros con terabytes, que es la comparación que tenía delante quien la tomó. Para que los 90 días significaran algo habría que ponerlos en la misma línea que los días que dura una intrusión de las que no hacen ruido. Esa segunda cifra vive en un informe que no llega a la reunión de presupuesto.

La agenda la pone lo que estalla

Un comité de seguridad se convoca por acontecimientos. Un incidente, una auditoría, una certificación que caduca, una norma nueva, una pregunta incómoda del consejo. El orden del día lo escribe alguien que tiene 1 hora de reunión y 20 asuntos posibles encima de la mesa. En un orden del día entran los asuntos que traen fecha. Un estado que lleva meses igual no trae ninguna.

Del catálogo de vulnerabilidades explotadas conocidas, solo el 26% quedó corregido del todo en 2025, frente al 38% del año anterior. Son 12 puntos menos, un 31,6% menos de lo que se cerraba un año antes. Un indicador que empeora así no convoca a nadie, porque no hay un día concreto en el que empeorase, no hay a quién llamar de madrugada y no existe ninguna plantilla de informe para contar que algo lleva un año yendo a peor despacio.

Nadie va a plantear ese dato como una urgencia. El comité está construido para atender lo que tiene fecha, y ese asunto no la tiene; cuando llega a una diapositiva, llega como una línea de contexto antes del punto siguiente. De todo lo que he contado aquí, eso es lo que a mí me parece más serio.

El comité es el único sitio de la organización donde las 6 decisiones de esta entrada se pueden mirar juntas. Ninguna de las 6 ha hecho saltar nunca nada, así que ninguna llega sola a ese orden del día.

Quién vuelve a mirar

El mecanismo de soporte del fabricante, el umbral del panel, el disparador que exige la herramienta de tickets, los campos que pide el formulario de aceptación, el alcance del contrato con el proveedor y los días que se guardan los registros se decidieron por separado, con la información que entonces era la buena. Lo que ninguna de las 6 lleva escrito es cuándo hay que volver a mirarla.

Una decisión que no tiene prevista una segunda lectura se convierte en costumbre al cabo de un tiempo. La diferencia práctica está en que una costumbre no se discute, porque ya nadie recuerda que alguien la eligió por un motivo concreto. Preguntar por el umbral de un panel que lleva 4 años igual suena a estar buscando culpables, cuando lo único que se busca es el motivo.

El dueño de esa segunda lectura tiene que ser una persona con nombre. Un departamento no vuelve a mirar nada: vuelve a mirar quien tiene el asunto escrito en su calendario y le aparece delante un martes por la mañana. Lo que no tiene nombre propio detrás no vuelve, por muy bien redactado que esté el procedimiento.

Poner una fecha no arregla el riesgo, no cierra la excepción, no revoca ningún acceso y no baja ninguna de las cifras de esta entrada. Lo único que garantiza una fecha es que llegue un día en el que alguien tenga delante aquella decisión y tenga que decir en voz alta si sigue teniendo sentido. Puede que la respuesta sea que sí y que todo se quede igual un año más. Esa vez, al menos, lo habrá decidido alguien.

De cómo se ven estas decisiones desde dentro de una organización va mi novela «Las Celdas Vacías. El Sentido de la Seguridad»: https://www.amazon.es/Las-celdas-vac%C3%ADas-sentido-seguridad/dp/8409841983?tag=elsentidodela-21&linkCode=ll2&linkId=dcc527b47907a5ab3319361054c84cac

¿Quién eligió los días de registro que guarda tu organización y contra qué cifra los comparó?

Fuentes

El controlador y sus fallos

• Claroty Team82. Freeze the controller, defrost the food: uncovering vulnerabilities in Danfoss refrigeration controllers. https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers Los 3 fallos del Danfoss AK-SM 800A: CVE-2025-41450, elusión de autenticación por un mecanismo oculto de «código del día», 8,2; CVE-2025-41451, inyección de comandos que lleva a ejecución remota, 7,6; y CVE-2025-41452, denegación de servicio, 5,4. Las puntuaciones son de la escala CVSS versión 3. Textual: «Customers using affected AK-SM 800A controllers should upgrade to firmware version R4.3.1 or later as soon as possible.» Investigador sobre su propio trabajo.

El ataque de octubre

• Cybersecurity Dive, 15 de octubre de 2026. Thousands of refrigerator devices remain exposed following French cyberattack. https://www.cybersecuritydive.com/news/thousands-refrigerator-devices-exposed-french-cyberattack/833117/ Recoge a la ANSSI sobre los equipos apuntados, a Copeland confirmando un fallo en controladores descatalogados y fuera de soporte, y a la Fundación Shadowserver sobre la exposición posterior: «About 350 instances of the Danfoss AK-SM 800A remained exposed as of Wednesday, down from more than 550 earlier this week», más 1.173 instancias de Copeland XWEB Pro y Evo. De ahí salen también las cadenas afectadas. Medio especializado que recoge fuentes oficiales y de parte. Que la ANSSI apuntara a 4 familias de controlador llega por esta vía y el cuerpo lo dice.
• Bruce Schneier, 14 de octubre de 2026. https://www.schneier.com/blog/archives/2026/10/cyberattack-on-connected-fridges-in-france.html Recoge que los equipos afectados eran modelos antiguos cuyo software de seguridad no se podía actualizar.

Las vulnerabilidades que siguen abiertas

• Verizon, mayo de 2026. 2026 Data Breach Investigations Report. https://www.verizon.com/business/resources/T343/reports/2026-dbir-data-breach-investigations-report.pdf Textual: «By Day 7 […] somewhere between 60% and 70% of KEV vulnerabilities remain open regardless of year, volume or organizational maturity. This first-week rate barely moved despite three years of additional process development, tooling investment and mandate pressure»; «Only 26% of the CISA KEV vulnerabilities had been fully remediated, a considerable drop from last year’s 38%»; «The median number of KEV vulnerabilities that had to be patched by organizations has risen in 2025 to 16, where this figure was 11 in 2024»; y sobre terceros, «only 23% of third-party organizations fully remediated missing or improperly secured multifactor authentication (MFA) on their cloud accounts» y «the time to resolve 50% of all findings was much worse, reaching almost eight months». Las cifras están comprobadas en el PDF original del informe, no en artículos de cobertura. Informe de fabricante con muestra agregada de varios socios.
• Los 12 puntos y el 31,6% son las dos lecturas de la misma caída, del 38% al 26%: la diferencia en puntos y lo que supone sobre la cifra de partida. La división es sobre dos cifras publicadas por Verizon.

El tiempo que pasa alguien dentro

• Mandiant y Google Cloud, 23 de marzo de 2026. M-Trends 2026: Data, Insights, and Strategies From the Frontlines. https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/ Textual: «When looking specifically at the high quantity of cyber espionage and North Korean IT worker incidents, the median dwell time for both categories was 122 days»; y sobre la retención, «With threats like BRICKSTORM achieving dwell times of nearly 400 days, standard 90-day log retention policies leave organizations completely blind to the initial access vector and the full scope of the intrusion». El informe no llama media ni mediana a esos casi 400 días, y por eso el cuerpo dice «rozar». Fabricante sobre su propia cartera de casos.

La pieza pareja

• «¿Debería la seguridad ser no newtoniana?», newsletter del martes 10/11/2026. https://www.linkedin.com/pulse/deber%C3%ADa-la-seguridad-ser-newtoniana-juan-francisco-cornago-baratech-vtyte/