MIT Technology Review contó la historia de HD Moore, jefe de investigación de sistemas de una empresa que se llama Rapid7.
En su tiempo libre, Moore estaba trabajando en un ambicioso y peligroso proyecto: quería enviar a un ping a todos los computadores conectados a internet. Esto fue lo que pasó:
Un ping normalmente es utilizado para diagnosticar la conexión a internet de otros computadores. En términos simples, este procedimiento se parece a lo que los submarinos hacen para detectar los objetos cercanos con un sonar: envían una señal que regresa, con la que se puede conseguir cierta información. Así, al enviar a un ping a otro computador, este retorna a su sitio de origen con ciertos datos.
Moore invirtió mucho dinero para lograr enviar pings a todo el mundo. Tuvo que comprar buenos computadores, los recibos del servicio de electricidad llegaron por las nubes y se necesitó equipo de enfriamiento especial para que los computadores no pusieran en llamas su apartamento. Eso sin mencionar las miles de amenazas y correos hirientes que recibió por parte de miles de personas que recibieron su señal. Sin embargo, los resultados del ‘atentado’ de Moore mostraron importantes resultados.
El investigador de Rapid7 señaló que su acto de locura reveló información importante: envió la señal a 3.700 millones de computadores conectados a internet, de los cuales 310 millones mostraron ser muy vulnerables a ataques muy comunes hoy en día. De esos, hay un segmento específico que alertó a Moore: los 114.000 que pertenecen a negocios o industrias. Estos pueden ser accedidos a través de métodos comunes; y 13.000 de ellos directamente, sin mayor esfuerzo.
Estas conexiones débiles se hacen a través servidores seriales, que son utilizados por equipos anticuados para lograr entrar a internet. Esos servidores son los que exponen a los equipos a estos riesgos, pues no están protegidos contra muchas vulnerabilidades de seguridad.
Según el MIT, “estas cuentas vulnerables les dan grandes oportunidades a atacantes, como reiniciar los servidores de una compañía, acceder a información de sistemas médicos y datos de clientes. Incluso pueden conseguir acceso a sistemas de control de equipo industrial”.
Más allá de los resultados, el investigador no quedó con muchas ganas de volver a hacerlo. Los gastos fueron demasiados y los riesgos muy altos como para correr con ellos de nuevo. Esto, sin embargo, quedará a la historia del mundo de la computación como un gran acto de locura.
