¿Cómo detuvo un error de CrowdStrike al mundo?

Nota del editor: Echa un vistazo a nuestro blog en vivo, actualizado regularmente para conocer todos los nuevos desarrollos sobre la caída de Microsoft/CrowdStrike.

Actualizar tu sistema es imperativo para mantenerlo seguro ante ciberataques y otras amenazas. Pero a veces algo sale mal, como ocurrió a finales de esta semana.

CrowdStrike, una empresa de ciberseguridad que protege a empresas y usuarios de ciberataques, cometió un error, provocando un colapso global. Los usuarios con computadoras Windows vieron la “pantalla azul de la muerte”, se cancelaron vuelos, los bancos se quedaron sin servicio, y los sitios web se cayeron.

“Esto fue una actualización del software que se implementó en la clientela de la empresa en todo el mundo, pero especialmente en aquellos que estaban utilizando servidores Windows, y dentro de un cierto período de tiempo”, comentó Derrick Cogburn, profesor en la American University, Director Ejecutivo del Instituto sobre Discapacidad y Política Pública de la AU, y Co-Director de Facultad del Laboratorio de Gobernanza de Internet, a Mashable. “Por lo tanto, no fue todo el que usa CrowdStrike, pero una parte significativa de la comunidad.”

Cogburn dijo que afectó a una red conectada de empresas que solo intentaban hacer lo correcto y protegerse a sí mismas y a sus usuarios. Pero “cuando un proveedor como CrowdStrike tiene un problema con una actualización, puede propagarse por toda la industria a nivel mundial”.

“A medida que hemos aumentado la conciencia sobre la ciberseguridad, más empresas y organizaciones han trabajado para protegerse a sí mismas”, dijo Cogburn. “CrowdStrike es una de las mejores empresas en proteger a empresas y organizaciones de una variedad de ciberataques”.

Esto, por supuesto, no fue un ciberataque —parece haber sido un error en una actualización— pero son el tipo de problemas que podrían surgir de un ciberataque. Dado que CrowdStrike se ha posicionado como la principal empresa externa que proporciona salvaguardias contra amenazas cibernéticas, muchas empresas han adoptado sus servicios. Cogburn argumenta que CrowdStrike hace un buen trabajo combatiendo esos ataques, pero cometió un grave error que causó un caos generalizado. Demasiadas empresas están integradas con la misma herramienta. Cuando falla, toda una red global de empresas se ve afectada.

¿Cómo pudo una actualización de software silenciar a tantos sistemas?

“El incidente es un gran ejemplo de las fallas en cascada que pueden ocurrir dado nuestros sistemas relativamente homogéneos que componen la espina dorsal de la infraestructura informática”, dijo Gregory Falco, experto en ciberseguridad y profesor asistente de ingeniería en la Universidad de Cornell, por correo electrónico.

Rory Mir, Director Asociado de Organización Comunitaria de la Electronic Frontier Foundation, le dijo a Mashable que estos sistemas digitales no pueden ser perfectos todo el tiempo. Confiamos en ellos para salvaguardar nuestros sitios, pero “van a fallar en algún momento”, ya sea por un ataque deliberado o un simple error.

“El problema es que estamos realmente atrapados en una monocultura digital, donde décadas de prácticas anticompetitivas la han creado de manera que solo un sistema es responsable de gran parte de lo que dependemos, desde aerolíneas hasta hospitales y escuelas”, dijo Mir. “Un error que provoca una gran falla sucede, es una inevitabilidad. Pero que tenga este tipo de impacto es un fracaso de política”.

¿A quién afecta más esto?

Cada vez que ocurre un desastre, nos damos cuenta de que los más en riesgo son también los más afectados por este tipo de fallas sistémicas.

“Algo que vemos regularmente con cualquier tipo de falla del sistema, como ataques de malware e intrusiones de datos, aunque la naturaleza de la falla afecte a todos en general, francamente la capacidad de resiliencia y de afrontarlo merece un impacto dispar”, dijo Mir. “Las personas que tienen suficiente dinero para tener sistemas de respaldo y tal vez puedan reservar otro hotel para esperar otro vuelo o algo así pueden sobrellevar mejor este tipo de desastres”.

En última instancia, el acceso a la tecnología es costoso. Y saber cómo funciona la tecnología es, como dice Mir, “un conocimiento privilegiado”.

“Cuando tienes algo tan extendido como esto, a veces no piensas en todas las consecuencias no deseadas”, dijo Cogburn. Piensas en aerolíneas y estaciones de televisión, pero quizás no piensas de inmediato en cómo SNAP EBT se ve afectado (estuvo sin servicio durante horas) o en los servicios de alimentos y educativos. Mientras algunas personas pueden adaptarse fácilmente y conducir a la oficina en lugar de trabajar desde casa, otras no tienen esa misma flexibilidad.

“Para las personas que tienen opciones más limitadas, si dependen de dispositivos conectados y servicios conectados, y estos se apagan, es posible que no tengan la flexibilidad para cambiar a un entorno más cara a cara”, dijo Cogburn. “Creo que esa es una de las formas en que las poblaciones desatendidas se ven afectadas”.

Las empresas más pequeñas podrían ser más afectadas que las grandes compañías que pueden “sobrellevar la tormenta un poco más fácilmente”, explicó Cogburn, porque no cuentan con los mismos recursos para recurrir.

Inevitablemente, esto podría llevar a que algunas personas no confíen en sistemas como CrowdStrike en absoluto, lo que, según Cogburn, es “muy peligroso”. Piensa en cuántas veces no quieres actualizar tu teléfono, pero luego eres vulnerable a errores y ataques —luego multiplica eso por 100.

“Te dejas increíblemente vulnerable a la razón por la cual se desarrolló el parche en primer lugar”, dijo Cogburn.

¿Cómo podemos asegurarnos de que esto no vuelva a ocurrir?

Estos tipos de fallas son un poco inevitables, pero sus efectos en la sociedad no tienen por qué serlo. Mir argumenta que la naturaleza extendida de este problema se debe a la falta de aplicación de la ley de competencia por parte de organismos como el DOJ y los fiscales generales estatales.

“Hasta ahora, las leyes antimonopolio realmente se han centrado en reducir los precios para los consumidores, lo cual es genial y todo, pero también han creado esta monocultura donde puede ser solo una gran empresa la que ofrece una oferta barata, pero luego se convierte en este enorme punto único de falla. Y podemos llegar a tener este escenario como el del año 2000”, dijo Mir.

Mir tiene la esperanza de que esta falla masiva e inédita lleve a un cambio legislativo.

“Este es en gran medida un fracaso de los propios encargados de hacer cumplir la ley antimonopolio —el DOJ, la FTC, los Fiscales Generales— pero creo que con suerte este desastre será una llamada de atención para todos ellos y potencialmente para los legisladores para asegurarse de que las leyes antimonopolio estén funcionando en beneficio de los consumidores y por razones más allá de reducir los precios”, dijo Mir.

En última instancia, esta fue una falla sin precedentes. Pero, de alguna manera, tuvimos suerte —no fue un ciberataque. Podríamos no tener tanta suerte la próxima vez, así que debemos abordarlo ahora —antes de que sea demasiado tarde.