27 organizaciones colombianas expuestas por credenciales antiguas

Una alerta crítica de ColCERT

El Grupo de Respuesta a Emergencias Cibernéticas de Colombia (ColCERT) emitió una alerta de riesgo alto tras documentar una campaña global de robo de credenciales que dejó comprometidas las redes internas de 27 organizaciones colombianas.

Colombia aparece como el séptimo país más afectado del mundo, con 2.436 interfaces de administración vulnerables en firewalls y pasarelas VPN corporativas expuestas a internet.

El problema: contraseñas heredadas

La campaña no explotó una falla de software, sino una deficiencia en la gestión de identidades y almacenamiento de contraseñas.

• Entre 2024 y 2026, el fabricante migró a un algoritmo de cifrado robusto.

• Sin embargo, las contraseñas antiguas permanecieron en campos heredados de configuración.

• Los atacantes automatizaron el escaneo de interfaces, extrajeron esas claves y las descifraron con un clúster de 45 tarjetas gráficas, incluso contraseñas de hasta 20 caracteres en minutos.

Con esas credenciales, los atacantes ingresaron como administradores legítimos, moviéndose lateralmente en las redes y borrando registros locales, lo que dificulta la investigación si no se enviaban a un SIEM externo.

El acceso se vende a grupos de ransomware

El informe advierte que los atacantes clasificaron a las víctimas colombianas según ingresos anuales, priorizando las que superan los USD 500 millones. El acceso inicial se está vendiendo como inventario a grupos de cibercrimen organizado, que posteriormente ejecutan ataques de ransomware.

“Muchas empresas revisaron sus equipos, vieron que estaban actualizados y dieron el tema por superado. La actualización no borraba la contraseña vieja y los dejó expuestos”, explicó Pablo García, BDM Cybersecurity LATAM.

Recomendaciones clave de ColCERT

La alerta prioriza medidas inmediatas:

• Deshabilitar acceso administrativo desde internet en todas las interfaces externas.

• Restringir accesos a direcciones IP autorizadas o exigir certificados de cliente.

• Activar doble factor de autenticación en accesos administrativos y VPN.

• Invalidar todas las contraseñas de administradores, con mínimo 16 caracteres y políticas de cambio periódicas.

• Enviar registros de actividad a un SIEM externo, monitoreado por un SOC.

La recomendación de fondo es clara: cualquier organización con estos servicios en su perímetro debe asumir que sus credenciales actuales ya son conocidas por terceros y aplicar las mejores prácticas de respuesta a incidentes.

Resiliencia más allá de las actualizaciones

El caso demuestra que actualizar software no basta si no se acompaña de una gestión rigurosa de credenciales y monitoreo continuo. La seguridad corporativa en Colombia debe evolucionar hacia un modelo de resiliencia operativa, capaz de anticipar ataques silenciosos y persistentes que hoy se comercializan como acceso inicial en el mercado del cibercrimen.