Una contraseña vieja dejó expuestas a 27 organizaciones en Colombia: así funciona la campaña que preocupa a ColCERT
ColCERT advirtió sobre una campaña internacional de robo de contraseñas que comprometió interfaces de administración de redes corporativas. Colombia aparece entre los países más afectados y el acceso obtenido podría ser aprovechado posteriormente por grupos de ransomware.
Una campaña internacional de robo de credenciales puso bajo alerta a organizaciones colombianas que utilizan determinados equipos de seguridad y servicios VPN expuestos a internet. De acuerdo con una alerta de ColCERT, el Grupo de Respuesta a Emergencias Cibernéticas de Colombia, 27 organizaciones del país fueron identificadas como afectadas, mientras Colombia ocupó el séptimo lugar entre los países con mayor número de interfaces de administración comprometidas.
La alerta, emitida a mediados de 2026, señala que fueron identificadas 2.436 interfaces de administración comprometidas en Colombia. El riesgo no estaría asociado directamente con una nueva vulnerabilidad de software, sino con la permanencia de credenciales antiguas almacenadas en las configuraciones de los dispositivos.
La situación es especialmente delicada porque las claves obtenidas podrían permitir que terceros ingresen a las redes utilizando credenciales aparentemente legítimas y, posteriormente, comercialicen esos accesos con otros grupos dedicados al cibercrimen.
El problema estaba en una contraseña que permaneció almacenada
Según la alerta, durante el proceso de actualización de los equipos afectados se produjo una transición desde un mecanismo de cifrado considerado débil hacia uno más robusto.
Sin embargo, actualizar el dispositivo no necesariamente eliminaba la información protegida con el sistema anterior. Cuando los administradores no volvían a iniciar sesión o modificaban sus contraseñas después de la actualización, las credenciales antiguas podían permanecer almacenadas en un campo heredado de la configuración.
Esto significa que una organización podía tener sus equipos aparentemente actualizados y, aun así, conservar información que representaba un riesgo de seguridad.
La situación llevó a que algunas empresas consideraran solucionado el problema después de instalar las actualizaciones, sin tener en cuenta que las contraseñas almacenadas previamente podían continuar siendo aprovechadas.
“La actualización no borraba la contraseña vieja y los dejó expuestos”, explicó Pablo García, BDM Cybersecurity LATAM.
¿Cómo consiguieron las credenciales?
La campaña habría utilizado procesos automatizados para localizar en internet las interfaces de administración de los dispositivos expuestos.
Una vez identificados, los atacantes podían obtener archivos de configuración y extraer información relacionada con las credenciales antiguas. Posteriormente, esas contraseñas podían ser sometidas a procesos de descifrado fuera de línea.
De acuerdo con la información de la alerta, incluso contraseñas de hasta 20 caracteres podían ser recuperadas en cuestión de minutos mediante una infraestructura de procesamiento compuesta por decenas de tarjetas gráficas.
Uno de los riesgos de este método es que no necesariamente genera señales evidentes dentro de la organización. Al no requerir numerosos intentos de inicio de sesión contra el sistema, puede evitar mecanismos tradicionales como los bloqueos de cuenta o las alertas provocadas por múltiples intentos fallidos.
También le puede interesar: “Ella no lo falsificó”: abogado de Juliana Guerrero explica el delito por el que fue condenada
El atacante puede ingresar como si fuera un administrador
Una vez obtenidas las credenciales, el escenario cambia considerablemente. El atacante podría autenticarse utilizando una cuenta válida, haciendo que su actividad pueda confundirse inicialmente con una operación legítima de administración.
Desde un dispositivo que controla el acceso a la red, un intruso podría intentar acceder a otros recursos internos, desplazarse hacia sistemas corporativos y comprometer otros componentes de la infraestructura.
La alerta también advierte sobre el riesgo de que se manipulen o eliminen registros locales. Esto puede dificultar posteriormente determinar qué ocurrió, cuándo se produjo el acceso y hasta dónde llegó el atacante, especialmente cuando la organización no cuenta con copias externas de sus registros.
El acceso podría terminar en manos de grupos de ransomware
Uno de los aspectos que más preocupa a las organizaciones es que el robo de credenciales no necesariamente constituye el objetivo final de la operación.
Según la información suministrada sobre la campaña, los accesos obtenidos pueden ser clasificados de acuerdo con características de las empresas afectadas y posteriormente ofrecidos a otros actores del cibercrimen.
Entre las organizaciones consideradas de mayor interés estarían aquellas con ingresos anuales superiores a 500 millones de dólares, debido al potencial impacto económico de un ataque posterior.
En ese escenario, el robo de credenciales sería apenas la primera etapa: un grupo obtiene el acceso inicial y posteriormente otro actor puede adquirirlo para intentar desplegar un ataque de mayor alcance, incluido un eventual ransomware.
¿Qué deben hacer las empresas?
La alerta plantea varias medidas prioritarias para las organizaciones que cuenten con estos servicios expuestos a internet.
Entre las principales recomendaciones están:
- Eliminar el acceso administrativo directo desde internet. Cuando sea indispensable mantenerlo, debe limitarse a direcciones IP autorizadas o utilizar mecanismos adicionales de autenticación.
- Activar autenticación multifactor para las cuentas administrativas y los accesos VPN.
- Cambiar las contraseñas de todos los administradores, utilizando claves robustas y de al menos 16 caracteres.
- Revisar las credenciales almacenadas para garantizar que no permanezca información antigua susceptible de ser aprovechada.
- Enviar los registros de actividad a sistemas externos, preferiblemente plataformas SIEM supervisadas por un SOC, para evitar que un atacante pueda eliminar las evidencias almacenadas únicamente en el dispositivo comprometido.
- Analizar la infraestructura en busca de accesos no autorizados, especialmente cuando existan indicios de que las credenciales pudieron quedar expuestas.
Una actualización no siempre significa que el riesgo desapareció
El caso deja una advertencia para las áreas de tecnología y los responsables de seguridad de las empresas: instalar un parche no necesariamente resuelve todos los riesgos asociados con una credencial comprometida.
La alerta de ColCERT plantea que las organizaciones que utilizan este tipo de servicios deberían asumir que las credenciales potencialmente expuestas pueden estar en manos de terceros y actuar en consecuencia.
Para las empresas, el desafío no está únicamente en mantener actualizado el software, sino también en revisar qué información permanece almacenada después de una actualización, quién puede acceder a ella y si las credenciales utilizadas para proteger los sistemas continúan siendo confiables.
En un escenario donde los accesos iniciales pueden ser comercializados posteriormente entre diferentes actores del cibercrimen, una contraseña antigua puede convertirse en la puerta de entrada a toda una red corporativa.
🟣 QUÉ PASÓ?
Una campaña de robo de credenciales dejó expuestas las redes internas de 27 organizaciones en Colombia, según una alerta de ColCERT.
🟣 EN CLARO
El problema no fue una nueva falla de software: contraseñas antiguas quedaron almacenadas después de actualizaciones de los equipos.
🟣 ¿POR QUÉ IMPORTA?
Porque esas credenciales podían dar a los atacantes acceso como administradores legítimos a las redes corporativas.
🟣 ¿QUÉ SIGUE?
Las organizaciones afectadas deben cambiar credenciales, reforzar el acceso administrativo y revisar posibles accesos no autorizados.
🟣 VERIFICADO
Es cierto: ColCERT reportó la afectación de 27 organizaciones.
No es una falla nueva del software: el riesgo está relacionado con credenciales antiguas que permanecieron almacenadas.
🟣 EL DATO
2.436 interfaces de administración fueron identificadas como comprometidas en Colombia.
