WASHINGTON—Altos funcionarios de seguridad de EE. UU. dijeron el lunes que aún no habían visto ataques cibernéticos perturbadores o destructivos significativos, como ataques de ransomware, vinculados a una falla masiva de Internet descubierta hace un mes, pero advirtieron que el error podría ayudar a la actividad nefasta de delincuentes y extranjeros. gobiernos durante meses o años por venir.
La administración de Biden no ha identificado ninguna infracción confirmada de las agencias del gobierno federal que confiaron en la falla en el código de software ampliamente utilizado conocido como Log4j, ni ha detectado gobiernos extranjeros que desarrollen ataques que exploten la falla para llevar a cabo una intrusión en la red, dijeron las autoridades. durante una rueda de prensa.
Aún así, los funcionarios dijeron que los peligros planteados por Log4j, un fragmento de código gratuito que registra la actividad en las redes y aplicaciones informáticas, eran graves y probablemente serían un problema duradero para las organizaciones grandes y pequeñas debido a la ubicuidad del software.
“La escala y el impacto potencial de esto lo hacen increíblemente serio”, dijo Jen Easterly, directora de la Agencia de Seguridad de Infraestructura y Ciberseguridad. A pesar de la falta de ataques importantes hasta el momento, la Sra. Easterly dijo que consideraba que el problema de Log4j era «la vulnerabilidad más grave» que había visto en su carrera de décadas y que le preocupaban los riesgos a largo plazo para las redes que controlan la infraestructura crítica de EE. UU.
La Sra. Easterly dijo que la falla había llevado hasta ahora a una «actividad delictiva generalizada» que consistía principalmente en instalar software de minería de criptomonedas o código de botnet en dispositivos vulnerables. Agregó que algunos piratas informáticos pueden estar esperando sin ser detectados después de ingresar a las redes para causar más daño y dijo que había límites en lo que CISA puede saber porque las organizaciones víctimas a menudo no informan las intrusiones al gobierno.
Los investigadores han dicho que la falla de Log4j, divulgada públicamente hace un mes después de ser descubierta por un equipo de seguridad chino, era particularmente preocupante porque el software gratuito basado en Java se usa en una variedad de productos que incluyen software de seguridad, herramientas de red y servidores de videojuegos. Es imposible saber el número exacto de usuarios de Log4j, pero el software se ha descargado millones de veces, según la organización que lo crea, Apache Software Foundation.
Un catálogo público de productos que se sabe que tienen la falla que creó CISA a raíz de su descubrimiento ha recibido más de 2800 presentaciones que detallan los problemas relacionados con Log4j en diferentes productos comerciales que incorporan el código, dijo la Sra. Easterly. Es probable que cientos de millones de dispositivos individuales estén en riesgo, dijo.
La administración no ha confirmado que los piratas informáticos respaldados por gobiernos extranjeros estén explotando la falla de Log4j, pero «por supuesto, es posible que eso cambie», dijo Eric Goldstein, subdirector ejecutivo de seguridad cibernética de CISA. Altos funcionarios han dicho por separado que esperan que tal actividad sea inevitable.
Múltiples empresas de ciberseguridad con sede en EE. UU. y Microsoft corporación
dijo en diciembre que habían identificado a piratas informáticos vinculados a China, Irán y otros gobiernos que explotaban la vulnerabilidad de Log4j. El gobierno de EE. UU. a menudo es más lento que las empresas privadas para atribuir formalmente los ataques cibernéticos a gobiernos extranjeros, dada la importancia geopolítica adicional de hacerlo.
El impacto del error Log4j en el extranjero hasta ahora ha sido más pronunciado que en los EE. UU. El Ministerio de Defensa belga ha informado de una brecha en sus sistemas. Además, empresas que van desde una empresa química alemana hasta un proveedor de piezas industriales con sede en Milwaukee se han apresurado a reforzar sus redes, desconectando partes como medida de precaución.
La Comisión Federal de Comercio instó la semana pasada a las organizaciones a abordar la falla de Log4j en los productos con parches disponibles para evitar la exposición a posibles acciones legales de la agencia.
Escribir a Dustin Volz en dustin.volz@wsj.com
Copyright ©2022 Dow Jones & Company, Inc. Todos los derechos reservados. 87990cbe856818d5eddac44c7b1cdeb8
Fuente: WSJ