Actualizaciones y controladores: las nuevas vías de acceso que los ciberdelincuentes aprovechan en los sistemas de información

Mantener los sistemas actualizados sigue siendo una de las reglas fundamentales de la ciberseguridad. Sin embargo, los propios mecanismos diseñados para corregir las vulnerabilidades pueden ser objeto de abuso. Parches falsos, cadenas de distribución comprometidas, controladores legítimos pero vulnerables: los ciberdelincuentes aprovechan ahora componentes en los que los sistemas depositan una gran confianza. Por ello, para los directores de sistemas de información, la gestión de parches debe incorporar más controles, sin ralentizar la corrección de las vulnerabilidades. 

Cuando las propias actualizaciones se convierten en vectores de ciberataques

Los ataques contra la cadena de suministro de software (supply chain) se aprovechan precisamente de esta relación de confianza. Al comprometer a un desarrollador, un proveedor o una infraestructura de distribución, los atacantes pueden intentar introducir código malicioso en un programa o en una actualización. En ese caso, es probable que el archivo se distribuya a través de un canal que la empresa suele considerar legítimo.

Otros ataques se basan en mecanismos más directos. Un aviso de seguridad falso, una página que imita el sitio web de un fabricante o una supuesta herramienta de actualización pueden incitar a un usuario a instalar un programa malicioso.

Sin embargo, la confianza depositada en un componente de software presenta otra limitación: aunque sea auténtico y esté correctamente firmado, puede contener una vulnerabilidad explotable.

Controladores vulnerables: una amenaza a menudo subestimada

Los controladores garantizan la comunicación entre el sistema operativo y los componentes de hardware. Algunos disponen de privilegios elevados, que llegan hasta el núcleo de Windows: una falla puede permitir, por tanto, neutralizar las protecciones del equipo.

Este es el principio de los ataques «Bring Your Own Vulnerable Driver» (BYOVD). En lugar de desarrollar un controlador malicioso que correría el riesgo de ser bloqueado, el atacante introduce o utiliza un controlador legítimo que presenta una vulnerabilidad conocida. Este tipo de ataque ilustra los riesgos asociados a los componentes de software a los que el sistema concede privilegios elevados. También recuerda la importancia de un análisis de riesgos que abarque todo el sistema de información, tal y como defiende la consultora Fidens by TVH Consulting a través de sus servicios de auditoría, análisis de riesgos y gobernanza de la seguridad.

En agosto de 2025, el CERT Santé documentó esta técnica en las operaciones del grupo de ransomware Qilin. Los atacantes utilizaban, en particular, TPwSav.sys, un controlador de Toshiba firmado y vulnerable, para intervenir a nivel del núcleo de Windows y eludir las protecciones de seguridad.

La multiplicación de las superficies de ataque y de los grupos de ciberdelincuentes complica el control de los riesgos

Los controladores solo representan una parte del problema. En un mismo puesto de trabajo conviven un sistema operativo, aplicaciones empresariales, software de seguridad, controladores de periféricos y firmware. Cada uno tiene su propio ciclo de mantenimiento y puede presentar vulnerabilidades específicas.

Los atacantes se aprovechan de estas diferencias, pero también de la falta de visibilidad sobre los componentes instalados. Una vulnerabilidad conocida en un controlador antiguo puede seguir presente en algunos equipos, aunque la mayor parte del parque informático se haya actualizado.

A esta complejidad se suma una ciberdelincuencia cada vez más organizada. «Los grupos de ciberdelincuentes están estructurados hoy en día como auténticas empresas, con herramientas, procesos y especializaciones»,explica Laurent Galvani, experto en ciberseguridad de Fidens by TVH Consulting.

El modelo del «ransomware como servicio» (RaaS) ilustra esta organización: unos actores desarrollan o mantienen las herramientas, mientras que otros se encargan de las intrusiones y de su explotación.

Para las empresas, el reto consiste, por tanto, en conocer con precisión los componentes presentes en sus equipos, sus versiones, sus dependencias y las vulnerabilidades a las que están expuestos. Sin un inventario fiable, la gestión de parches seguirá siendo, inevitablemente, incompleta.

Replantearse la gestión de parches: ya no se trata solo de actualizar, sino de controlar de forma continua

Aplicar un parche tan pronto como esté disponible puede parecer la mejor protección. En la práctica, la gestión de las actualizaciones exige encontrar un equilibrio entre la reducción del riesgo y la continuidad del negocio.

Un controlador de red defectuoso puede hacer que un equipo resulte inaccesible. Una nueva versión de firmware puede modificar el comportamiento de un equipo. Por el contrario, retrasar demasiado tiempo la aplicación de un parche crítico deja una vulnerabilidad que puede ser explotada.

Antes de cualquier implementación, deben verificarse el origen y la integridad de los archivos mediante los mecanismos que ofrecen los fabricantes. A continuación, los parches más sensibles pueden probarse en un entorno representativo, con el fin de identificar posibles incompatibilidades.

Una implementación progresiva permite limitar las consecuencias de un incidente: primero en unos pocos equipos piloto, luego en un grupo más amplio, antes de la implantación generalizada. Este enfoque también implica prever las condiciones para revertir los cambios cuando un cambio provoque un fallo de funcionamiento.

La automatización contribuye a que estas operaciones sean reproducibles, al tiempo que se mantienen los puntos de control. La importancia de la supervisión de las infraestructuras, la verificación de las desviaciones y la automatización de los parches también se aborda en un análisis que puede leerse en Le Monde Informatique.

Automatización y supervisión: hacia una gestión proactiva de las vulnerabilidades

Una supervisión eficaz integra el inventario de componentes, el seguimiento de las vulnerabilidades y la implementación de parches.

Un inventario actualizado permite identificar las versiones presentes en los equipos. La información publicada por los fabricantes y los organismos de ciberseguridad puede cruzarse posteriormente con este inventario para localizar los equipos afectados por una vulnerabilidad.

Esta visibilidad facilita el establecimiento de prioridades. Una brecha explotada activamente en un servidor expuesto a Internet suele requerir una reacción más rápida que una vulnerabilidad de la misma gravedad teórica que afecte a un componente aislado y en desuso.

Las herramientas de supervisión y administración del parque informático pueden automatizar parte del trabajo: detección de versiones obsoletas, seguimiento de las implementaciones, notificación de errores y elaboración de informes de cumplimiento. Se trata de uno de los retos prioritarios en el centro de atención de los directores de sistemas de información desde hace algunos años, tal y como recuerda regularmente la web Cloudlist.fr. Pero lanzar una actualización no significa que se haya instalado. Un equipo apagado, un reinicio aplazado o un fallo silencioso pueden hacer que la vulnerabilidad persista. Por lo tanto, el seguimiento debe centrarse en el estado real de los equipos tras la intervención.

En el caso de los controladores sensibles, esta supervisión puede complementarse con mecanismos de control de aplicaciones y de bloqueo de los controladores vulnerables, teniendo en cuenta sus posibles consecuencias sobre la compatibilidad del hardware.

Convertir la gestión de parches en un auténtico pilar de la gobernanza cibernética

Una buena gestión de las actualizaciones no se basa únicamente en las herramientas. Requiere una política común entre los equipos de operaciones, los responsables de seguridad y las áreas de negocio. Esta política debe especificar, en particular, los plazos de corrección previstos en función de la criticidad, los procedimientos de validación, las responsabilidades y las condiciones que permiten aplazar una actualización. Cuando un parche no pueda aplicarse de inmediato, deben estudiarse medidas compensatorias y documentarse el riesgo residual.

De hecho, el NIST (Instituto Nacional de Estándares y Tecnología) enmarca la gestión de parches en un enfoque de mantenimiento preventivo, que combina la identificación, la priorización, la instalación y la verificación de los parches. Este enfoque implica a los responsables técnicos, pero también a los departamentos de negocio cuando las operaciones pueden afectar a la disponibilidad de los servicios.

Existen algunos indicadores que permiten supervisar los resultados: porcentaje de equipos actualizados, número de vulnerabilidades críticas sin corregir, tiempo medio de corrección, fallos en la implementación o excepciones pendientes de resolución.

Las actualizaciones siguen siendo indispensables para la seguridad de los sistemas de información. No obstante, los ataques que se aprovechan de la confianza depositada en los controladores y los mecanismos de distribución nos recuerdan que deben estar supervisados. El control del riesgo se basa ahora en la capacidad de identificar los componentes vulnerables, implementar las correcciones adecuadas y verificar de forma duradera su eficacia.