«Aquí no hay nada que robar» y otras formas de sentirse a salvo

Hay una frase que aparece en casi todas las conversaciones sobre seguridad. No la suelta el becario: la suelta quien firma las facturas, con una sonrisa tranquila, justo después de preguntar cuánto costaría «eso del doble factor».

«Es que aquí no hay nada que robar.»

Y lo dice de buena fe. El problema es que esa frase no describe tu nivel de riesgo: describe tu nivel de calma. Son dos métricas distintas y casi nunca están correlacionadas.

La sensación de seguridad no es una medida de seguridad

La sensación es una variable de salida del sistema nervioso. La seguridad es una propiedad del sistema técnico. Que la primera esté alta no dice absolutamente nada de la segunda; de hecho, cuando la sensación sube sin que haya cambiado nada en la infraestructura, lo que ha subido es el riesgo, porque la calma es exactamente lo que hace que dejes de mirar.

Al ladrón profesional no le hace falta romper nada si consigue que le abras tú. Y para eso no necesita un exploit: necesita que estés cómodo.

El inventario de lo que sí vales (aunque no vendas nada)

«No hay nada que robar» presupone que lo único monetizable es una tarjeta de crédito. Repasemos el balance real de una web pequeña que no vende nada:

• CPU y ancho de banda. Tu servidor es un ordenador encendido las 24 horas con conexión simétrica. Eso vale dinero: minado, fuerza bruta contra terceros, un nodo más de una botnet.
• Tu IP y su reputación. Una IP limpia sirve para enviar spam durante unas horas. Cuando la quemen, el que se queda sin correo eres tú: tus presupuestos empiezan a caer en la bandeja de spam de tus clientes y tardas dos semanas en entender por qué nadie contesta.
• Tu dominio y tu certificado. Un formulario de banco falso alojado en tudominio.com/wp-content/uploads/2019/actualizar-datos/ es infinitamente más creíble que uno en un dominio raro. Y sí, sale con el candadito verde, porque el certificado es tuyo.
• Tu base de datos. «Solo tenemos el formulario de contacto» son nombres, teléfonos y correos verificados: materia prima de primera para el phishing dirigido. Y si además hay usuarios con contraseña, recuerda que la gente recicla: ese volcado se prueba en otros cien servicios. Se llama credential stuffing y es un for con un fichero de texto.
• Tu acceso a terceros. Tú eres el proveedor de alguien. Tus credenciales de FTP, tu acceso al hosting del cliente, tu cuenta de la herramienta compartida. Nadie te ataca por lo que eres: te atacan por con quién trabajas.

Lo que se roba de una web pequeña casi nunca es dinero. Es capacidad: cómputo, reputación y confianza. Las tres se venden muy bien y ninguna aparece en tu balance.

Nadie te ha elegido: te ha encontrado un bucle

La imagen mental del ataque —alguien decidiendo que tú eres el objetivo— es reconfortante, porque permite concluir que no eres suficientemente interesante. La realidad es mucho menos halagadora: no hay nadie. Hay un proceso.

Prueba a levantar un dominio nuevo, emitir un certificado y esperar. En cuestión de minutos —a veces menos— empezarán a aparecer en el log peticiones a /.env, /.git/config, /wp-login.php y /xmlrpc.php. No es que alguien te haya visto en LinkedIn: es que los certificados TLS se publican en los registros de Certificate Transparency, que son públicos por diseño y por buenas razones, y hay bots suscritos a ese flujo. Bonita ironía: el mecanismo que existe para que puedas confiar en los certificados es el que anuncia al mundo que acabas de nacer.

Ese escaneo no discrimina por tamaño, sector ni facturación. Discrimina por versión y por puerto abierto. Es la diferencia entre un atraco y el granizo.

Los cinco amuletos

Ninguno es inútil. Todos son insuficientes. El daño no lo hace la herramienta, lo hace la sensación de haber terminado.

1. El candado. TLS cifra el canal. Garantiza que nadie lee lo que viaja entre el navegador y el servidor. No dice nada sobre la honradez de quien está al otro lado ni sobre el estado del software que recibe los datos. Puedes tener TLS 1.3 impecable transportando un formulario hasta un panel cuya contraseña es admin1234. El cifrado hace su trabajo con una lealtad admirable.

2. El antivirus. Instalado en 2019, con la licencia caducada en 2021, y el icono sigue en la bandeja del sistema como una estampita en el salpicadero. Protege contra lo que ya está catalogado. La mitad de lo que hoy hace daño no es un fichero: es una sesión robada, una contraseña reutilizada o un correo perfectamente escrito.

3. «Está en la nube». El modelo de responsabilidad compartida es sencillo y casi nadie lo lee: el proveedor responde de la seguridad de la nube; tú respondes de la seguridad en la nube. Traducido: te garantizan que el centro de datos no arde, no que tu bucket esté privado, que tus copias tengan retención o que ese usuario que se fue en marzo ya no tenga permisos.

4. El backup de Schrödinger. Existe y no existe simultáneamente hasta que intentas restaurarlo. Un backup que no has restaurado nunca no es un backup: es un fichero grande con buenas intenciones. Y hay dos preguntas que casi nadie sabe responder: cuánta información estás dispuesto a perder (RPO) y cuánto tiempo puedes estar caído (RTO). Si no tienes esos dos números, no tienes una estrategia de copias: tienes un cron.

5. «Somos muy pequeños». La automatización cuesta lo mismo apuntando a diez servidores que a diez millones. Ser pequeño no te esconde; te quita el departamento que se encarga.

Añade tú los de la casa: el segundo factor por SMS (interceptable, pero mucho mejor que nada), la VPN que se cree un antivirus, y la joya de la corona, la URL que «solo conocemos nosotros». La seguridad por oscuridad funciona hasta que alguien reenvía un correo.

Lo nuevo: el portátil del salón y el prompt

Los últimos años han añadido tres agujeros que no son técnicos, son de contexto:

El dispositivo mestizo. El portátil donde entras al gestor de correo de la empresa es el mismo donde tu hijo instala mods de un juego. Ya conté cómo se vive eso en casa. En una empresa sin política de dispositivos es igual, pero con acceso a la contabilidad.

La distracción doméstica. El error más caro que verás este año no será un zero-day: será el autocompletado del cliente de correo eligiendo a la Ana equivocada mientras alguien pone una lavadora. Trabajar en casa está muy bien; trabajar en casa sin procedimientos convierte cada interrupción en una posible fuga de datos.

El prompt. Pegar el listado de clientes, el contrato o el volcado de la base de datos en un chat gratuito para que «me lo resuma». Un prompt no es un cuarto oscuro: es un formulario que envías a un tercero, y las condiciones de uso de la versión gratuita suelen ser bastante explícitas sobre qué pueden hacer con eso. Y ya que hablamos de terceros: revisa qué permisos concediste con aquel «continuar con Google» para convertir un PDF. Muchos de esos accesos siguen vivos, con alcance completo sobre el Drive y sin caducidad.

Cambiar la pregunta

La pregunta «¿nos van a atacar?» tiene un problema de diseño: solo admite dos respuestas y una de ellas es tranquilizadora. Las preguntas útiles son otras tres:

1. ¿Cuánto tardaría en enterarme? Si la respuesta es «cuando me llame un cliente», tu sistema de detección es tu cliente.
2. ¿Cuánto tardaría en volver? Cronometrado, no estimado.
3. ¿Qué se lleva por delante? No en euros: en cuentas, en accesos y en confianza de terceros.

Cinco cosas de este mes que no son un proyecto

1. Inventario de treinta minutos. Dominios, hostings, cuentas, servicios de pago y —sobre todo— quién tiene acceso a qué. Incluye a quien se fue hace un año y sigue en el grupo de administradores.
2. Restaurar una copia de verdad. En un entorno aparte, con cronómetro y hasta ver la home. Ese día pasas de creer a saber.
3. Segundo factor resistente al phishing donde de verdad importa. Passkeys o llave física en correo, dominio, hosting y banco. Están atadas criptográficamente al dominio real, así que no se pueden entregar por error en una web clonada.
4. Mínimo privilegio. Nadie es administrador «por comodidad», y las claves de API se emiten con ámbito y caducidad. Ya conté lo que me costó aprenderlo.
5. Un canal para decir «creo que la he liado». Sin consecuencias y sin cara rara. Las dos horas que tarda alguien en atreverse a contarlo suelen ser exactamente las dos horas en las que aún se podía parar la transferencia.

Y la de fondo, la aburrida, la que no da titulares: el mantenimiento. Actualizar, mirar los logs y renovar contraseñas no es glamuroso, pero es lo único que degrada con el tiempo si no se hace. Como bien saben los que están de guardia en agosto.

La parte incómoda

La falsa sensación de seguridad no es estupidez ni dejadez. Es el estado por defecto de cualquiera que todavía no ha tenido un incidente, y en eso se parece muchísimo a la contraseña del gato: cómoda, memorable y catastrófica. Nuestro cerebro calcula el riesgo por lo que recuerda, y si no recuerdas ninguna intrusión, el cálculo sale bajo. Funciona igual de mal con las copias de seguridad, con el humo del cuadro eléctrico y con esa muela.

Tampoco se arregla con miedo. El miedo permanente es tan inútil como la calma permanente: las dos acaban en parálisis, solo que una es más incómoda.

Lo que sí se puede hacer es cambiar la sensación por evidencia. No «creo que tenemos backups», sino «restauré uno el 12 de agosto y tardó 40 minutos». No «creo que nadie más tiene acceso», sino «revisé la lista el lunes y eché a tres». La tranquilidad basada en datos también se siente bien, con la ventaja de ser cierta.

Volveré sobre todo esto en octubre, con más calma y por partes. De momento me conformo con dejar aquí una herramienta de diagnóstico rápida:

El día que te sientas completamente seguro, mira la fecha de la última copia que restauraste. Casi siempre esa fecha explica la sensación.