En octubre de 2026, se reportó la presunta filtración de datos en una de las principales entidades globales del sector de Autoridades Certificadoras (CA) e Infraestructura de Clave Pública (PKI). El incidente involucra el acceso no autorizado a un sistema comercial interno que almacenaba detalles de contacto de clientes y documentos de identidad archivados, incluyendo pasaportes, licencias de conducir y facturas de servicios. La organización confirmó que sus servicios de emisión de certificados, plataformas de gestión y credenciales de clientes no se vieron afectados. Se determinó que no existe actividad de emisión fraudulenta, cambios de validación o revocaciones vinculadas a la cuenta no autorizada, por lo que la integridad de los certificados activos se mantiene segura.
Análisis Técnico y Vectores de Riesgo
El origen del incidente subraya los riesgos críticos asociados a las migraciones de infraestructura en la nube y las brechas en los controles de acceso a nivel de aplicación:
- Vector de Exposición (Migración Insegura): La presunta exposición comenzó tras una migración de infraestructura en febrero de 2025. El sistema comercial interno fue movido desde un segmento de red estrictamente protegido por VPN hacia otra zona de disponibilidad. Este cambio expuso accidentalmente el sistema a Internet sin someter la nueva arquitectura a una revisión de seguridad.
- Falla de Control de Acceso y Evasión de MFA: Al quedar expuesto el sistema, una función de registro de cuentas quedó accesible públicamente. Las cuentas creadas mediante esta vía externa no estaban cubiertas por las políticas de Autenticación Multifactor (MFA) exigidas al personal interno de la institución.
- Brecha de Autorización (Permission Gap): Aunque las cuentas fraudulentas recién registradas no tenían ninguna aplicación o rol específico asignado, un fallo en la validación de permisos por defecto les otorgó acceso de solo lectura a la información archivada.
- Ventana de Exposición: El acceso no autorizado a los datos ocurrió presuntamente entre finales de junio y principios de julio de 2026. Inicialmente, la organización trató el evento como un problema de creación de cuentas anómalas bloqueado por el WAF, sin dimensionar que existía un incidente de acceso a datos de fondo hasta meses después mediante el análisis forense de los registros de auditoría.
Plan de Mitigación Operativa y Respuesta
- Contención Perimetral y Despliegue: Asegurar que todas las herramientas internas y repositorios de datos archivados permanezcan estrictamente detrás de infraestructura de red privada. Cualquier modificación en la topología de red o migración entre zonas de disponibilidad debe requerir aprobación formal de seguridad.
- Autorización Explícita (Deny-by-Default): Los controles de acceso no deben depender exclusivamente de las restricciones de red. Se deben implementar validaciones de autorización explícitas a nivel de aplicación, garantizando que cualquier cuenta sin roles asignados tenga denegado el acceso a cualquier recurso por defecto.
- Auditoría de Funciones Expuestas: Identificar y deshabilitar proactivamente funciones de auto-registro en portales administrativos o internos que hayan quedado expuestos accidentalmente, reforzando la monitorización de creación de cuentas no corporativas.
