Microsoft en problemas por amenazar investigador.

En un giro inesperado en el campo de la ciberseguridad, Microsoft ha amenazado con acciones legales tras la divulgación pública de diversas vulnerabilidades en sus productos por parte de un investigador de seguridad conocido como “Nightmare Eclipse”. Esta serie de errores aún sin corregir, que incluye fallas críticas en herramientas como el antivirus Defender y el sistema de cifrado BitLocker, ha encendido un debate sobre las responsabilidades de los investigadores en la divulgación de vulnerabilidades.

La controversia surgió cuando Microsoft publicó una entrada de blog donde criticaba a Nightmare Eclipse por no seguir los protocolos de aviso previos a la divulgación, considerándola una acción “irresponsable”. La empresa argumenta que dicho acto no solo pone en riesgo su seguridad, sino que también facilita a piratas informáticos la explotación de las vulnerabilidades, algunas de las cuales ya se han visto en ataques reales, según la Agencia de Ciberseguridad de EE. UU. (CISA).

Microsoft ha afirmado que su Unidad de Delitos Digitales tomará medidas contra aquellos que faciliten actividades delictivas, haciendo hincapié en el enfoque que incluye desde acciones civiles hasta coordinación con las fuerzas del orden. Este enfoque se basa en proteger a la compañía y sus usuarios mediante diversas estrategias.

Por su parte, Nightmare Eclipse alega que intentó comunicarse con Microsoft, pero fue maltratado por la compañía, incluso perdiendo acceso a su cuenta en el Centro de Respuesta de Seguridad (MSRC), una plataforma donde los investigadores reportan vulnerabilidades. Con la divulgación pública de los errores, muchas de estas vulnerabilidades se convirtieron en “zero-days”, es decir, fallas que son desconocidas por el fabricante en el momento de su divulgación.

Este conflicto ha reavivado un viejo debate sobre la obligación de los investigadores a garantizar que las vulnerabilidades que descubren se solucionen. Aunque se ha acordado ampliamente que los investigadores deben ser compensados por su trabajo, las reacciones a la gestión de Microsoft en este asunto han sido abrumadoramente negativas dentro de la comunidad de ciberseguridad. Varios expertos, incluyendo a Katie Moussouris, quien ayudó a establecer programas de recompensas por errores en Microsoft, han expresado que la amenaza de acciones penales podría hacer que los investigadores desconfíen de la empresa, afectando la disposición de otros a reportar vulnerabilidades en el futuro.

La crítica ha sido contundente; Moussouris enfatiza que el uso del término “divulgación responsable” por parte de Microsoft podría ser visto como un intento de proteger más a la empresa que a sus clientes. En un ambiente donde la confianza entre investigadores y empresas es crucial para la mejora de la seguridad cibernética, este desencuentro podría tener implicaciones serias, haciendo que menos personas se sientan motivadas a informar sobre problemas de seguridad.

Con tal accionar, Microsoft no solo se enfrenta a cuestionamientos sobre su manejo de este caso en particular, sino también sobre cómo su política de divulgación podría estar afectando a la comunidad de ciberseguridad en general. En un contexto donde la seguridad digital es tan crítica, la necesidad de una colaboración efectiva entre investigadores y empresas nunca ha sido tan evidente.

Gracias por leer Columna Digital, puedes seguirnos en Facebook, Twitter, Instagram o visitar nuestra página oficial. No olvides comentar sobre este articulo directamente en la parte inferior de esta página, tu comentario es muy importante para nuestra área de redacción y nuestros lectores.