Pasada una semana, el mundo sigue preguntándose si habrá una segunda ola de ciberataques como la del ransomware WannaCry. No se conoce el origen del hacker u organización responsable. Al menos, nos ahorran el bochorno de las grandes potencias echándose mutuamente la culpa. No se ha identificado al «paciente cero», la primera empresa cuyos datos fueron cifrados y bloqueados con fines extorsivos. Del mecanismo de propagación, se sabe que fue una herramienta apodada Eternal Blue, desarrollada por la NSA para espiar y que llegó a manos del grupo Sjadow Brokers. El vector del ataque ha sido, pues, una vulnerabilidad en Windows XP. Se ignoran tantas otras cosas que uno tiende a pensar que bajo una u otra forma el ataque tendrá otras manifestaciones.
Es verdad que WannaCry ha remitido, gracias a que el dominio usado como cebo (kill switch) ha pasado a ser inocuo tras ser registrado . Pero TrendMicro informa que sus expertos han detectado un pariente, UIWIX, que usaría la vulnerabilidad ya explotada por WannaCry. Al parecer, el nuevo ´bicho` se ejecuta en memoria tras explotar EternalBlue, lo que hace más complicada su detección.
He hablado estos días con varios especialistas en ciberseguridad. Todos sin excepción reconocen, en un rasgo de humildad, que el episodio les ha dejado algunas lecciones. La primera, o la más generalizada, es que ha fallado estrepitosamente la gestión del parcheo periódico de los sistemas operativos. En este caso, se trata del venerable Windows XP. Según qué fuente se consulte, 16 años después de vida, y pese a su numerosa descendencia, todavía representaría entre el 7 y el 8% del parque instalado de PC. Naturalmente, el porcentaje sería más alto entre los usuarios individuales que en las empresas.
Cuesta creer que tantas empresas y organizaciones (gubernamentales muchas de estas) hayan hecho caso omiso a la necesidad de modernizar sus sistemas operativos. Ahí está la madre del cordero: ¿cómo se puede explicar que esto ocurra cuando Windows XP lleva tres años sin soporte de Microsoft? O bien por un deficiente inventario de recursos existentes, o bien por una mentalidad de ´mientras funcione, para qué cambiar`. En los dos casos, funesta actitud.
No hay ninguna duda de que Windows ha ganado la guerra a las alternativas que, supuestamente, iban a debilitar el dominio de Microsoft. En enero de este año, las diversas variantes de Windows estaba activada en el 92% de los PC en funcionamiento en todo el mundo. Sus rivales son minoritarios: Mac (6%) y Linux (2%). Otra cosa es que la política de renovación de versiones de Windows por parte de Microsoft ha sido errática y/o desacertada, lo que a la postre explica que, por ejemplo, aun sobreviva un cierto parque de Windows Vista, criticado desde el primer día, o que – tras un largo período de confusión con Windows 8 y 8.1 – con la llegada de Windows 10 optara por facilitar la actualización mediante la gratuidad. El resultado es que, hoy por hoy, la variante mayoritaria es Windows 7, cosecha del 2009, con el 48,3% del parque, y la más moderna, Windows 10, ha captado sólo una cuarta parte. Una ´larga cola` por usar una frase común en el sector.
Es posible que el susto de la semana pasada acabe provocando una cierta reactivación del mercado de PC, en consonancia con el incremento de la cuota de Windows 10. En esta medida, a Microsoft – y a los fabricantes – WannaCry les habrá hecho un favor. Nada que reprocharles: han hecho lo necesario para convencer a los remisos de que actualizar Windows era un elemento de protección contra amenazas. Brad Smith presidente y jefe del equipo legal de Microsoft, ha recordado recientemente que «un rasgo que todos deberíamos asumir es que mantener los PC en funcionamiento con condiciones de seguridad es responsabilidad de todos».
Desde el punto de vista de la reputación, Microsoft ha salido muy bien parada del incidente. Ha podido recordar que ya en 2002 Bill Gates publicó un memorandum que llamó Trustworthy Computing, Ha tenido motivos para quejarse de la intromisión de la NSA y, de paso, insistir en una propuesta de Smith para que las grandes potencias cibernéticas se pongan de acuerdo para no hacerse la guerra en Internet. Apuesto que caerá en saco roto.