SECUMOM · CYBER WEEK #03
Una credencial filtrada por años. Un PLC expuesto. Una dependencia “legítima”.
Esta semana no necesitó exploits de ciencia ficción. Bastaron secretos que nunca se rotaron, infraestructura expuesta y paquetes aparentemente legítimos.
1. AWS: el problema no fue que las claves se filtraran. Fue que siguieran funcionando.
Truffle Security volvió a analizar 64,024 claves AWS encontradas en código público, imágenes de contenedores y datasets.
El dato incómodo: 88% seguía activo.
La mediana de antigüedad era de cinco años y solo 14% había sido rotada. Entre las credenciales que pudieron analizar con mayor profundidad, 84% tenía privilegios administrativos completos y aproximadamente una de cada seis correspondía a una root key.
Esto cambia la conversación sobre secret management.
Detectar un secreto expuesto sirve de poco si después nadie lo revoca.
Git history, pipelines, imágenes Docker, datasets y repositorios públicos siguen convirtiéndose en inventarios involuntarios de credenciales.
2. Siemens S7: la IA no creó el problema. Lo hizo más barato de explotar.
Agencias estadounidenses alertaron sobre actividad contra PLC Siemens S7 utilizados en sectores como agua, energía y manufactura.
Los actores han utilizado servicios de scanning para identificar PLCs expuestos o deficientemente segmentados y scripts generados con IA para acelerar el desarrollo y refinamiento de técnicas de explotación.
La parte importante no es el titular “hackers usan IA”.
La IA está reduciendo el costo de aprovechar errores que ya existían: exposición directa, segmentación insuficiente y controles débiles.
En OT, además, el impacto puede dejar de ser únicamente digital: interrupción operacional, downtime y afectación de procesos físicos.
3. npm: el paquete hacía lo que prometía… y también instalaba un backdoor.
Investigadores identificaron 14 paquetes npm troyanizados que se presentaban como utilidades funcionales de calendario y seguimiento de rachas.
El detalle peligroso es precisamente ese: los paquetes funcionaban.
Pero al ser importados podían ejecutar RedC2 4.0, un backdoor Linux asociado a un framework de command-and-control.
Ni siquiera era necesario invocar una función maliciosa explícita: una dependencia directa o transitiva podía introducir el payload.
Descargar una dependencia desde un repositorio legítimo no convierte automáticamente esa dependencia en confiable.
🍬 La yapa de mi Weekly Exposure Brief
Esta semana mi radar procesó 76 CVEs y las agrupó en 40 campañas de remediación.
Entre ellas hubo una que resume bastante bien por qué no priorizo vulnerabilidades mirando únicamente CVSS:
CVE-2026-33824 · Microsoft Windows
- CVSS: 9.8
- EPSS: 77.90%
- CISA KEV: Sí
En la misma edición existen vulnerabilidades con CVSS 10.0 cuyo EPSS está alrededor de 0.5%.
¿Cuál revisaría primero?
La respuesta no debería salir únicamente de un número. Explotación conocida, probabilidad, exposición, criticidad del activo y contexto de negocio cambian completamente la prioridad.
El patrón de esta semana
Una credencial que nunca rotaste.
Un PLC que nunca debió estar expuesto.
Una dependencia que asumiste segura porque venía de npm.
Ninguno necesita un ataque de ciencia ficción.
Y esa es precisamente la parte incómoda.