El senador estadounidense Wyden implica a Microsoft como amenaza para la seguridad nacional

EE. UU. El senador Ron Wyden dirigió recientemente una carta al presidente de la FTC, donde etiquetó a Microsoft como una amenaza para la seguridad nacional debido a lo que él describe como "negligencia cibernética grave". 

En la carta, Wyden pidió una investigación sobre el papel de Microsoft en múltiples incidentes de ciberseguridad de alto perfil, afirmando que las prácticas de la empresa han puesto en peligro la infraestructura crítica y la seguridad nacional de EE. UU.

Wyden acusa a Microsoft

En la carta del 10 de septiembre al presidente de la FTC, Andrew Ferguson, Wyden alegó que la "negligencia cibernética grave" del gigante tecnológico ha llevado a ataques de ransomware contra infraestructura crítica, incluidas organizaciones de atención médica de EE. UU., al menos en parte debido a configuraciones predeterminadas en el sistema operativo Windows.

Wyden comparó a Microsoft con un "bombero que vende servicios de extinción de incendios a sus víctimas", y según él, las agencias gubernamentales y otras empresas "no tienen más opción" que usar los productos de la empresa porque tiene un "casi monopolio sobre las TI empresariales".

Wyden citó el ataque de ransomware de mayo de 2024 al operador de hospitales Ascension como un ejemplo principal.

Ese caso, según la empresa, expuso datos médicos y de seguros privados de casi 5.6 millones de personas. Escribió que el operador de hospitales había informado a su personal que un contratista en una laptop de Ascension había hecho clic en un enlace malicioso proporcionado por el motor de búsqueda Bing de Microsoft.

Wyden afirma que el apoyo de Microsoft a la tecnología de cifrado obsoleta y las configuraciones predeterminadas llevaron a la explotación de Ascension. También dijo que la firma aún no ha educado adecuadamente a las empresas sobre cómo mitigar la amenaza.

Un portavoz de Microsoft confirmó el miércoles que RC4, el estándar de cifrado al que se refiere Wyden, es de hecho antiguo, pero representa "menos del .1%" del tráfico de la empresa, y desalienta a los clientes a usarlo.

"Sin embargo, deshabilitar su uso por completo rompería muchos sistemas de clientes", dijo el portavoz, y la empresa está reduciendo gradualmente la extensión en la que los clientes pueden usarlo mientras intenta proporcionar advertencias y orientación también.

RC4 se deshabilitará de forma predeterminada en ciertos productos de Windows a partir del primer trimestre de 2026, y la empresa ha dicho que incluirá "mitigaciones adicionales" para implementaciones existentes.

Wyden exigió una revisión de las prácticas de ciberseguridad del sistema judicial

El movimiento de Wyden contra Microsoft llega poco después de que instara al Juez Presidente John Roberts a iniciar una revisión integral de las prácticas de ciberseguridad del sistema judicial federal.

Su solicitud llegó después de un hackeo significativo del sistema de gestión de casos electrónicos, marcando la segunda brecha importante en cinco años.

La última brecha se registró en junio de este año y ha llevado a los tribunales a anunciar finalmente la implementación de la autenticación multifactor, una medida de seguridad básica que ha sido estándar en las agencias del poder ejecutivo desde 2015.

En lo que respecta a Wyden, la negligencia en la ciberseguridad de los tribunales plantea graves riesgos para la seguridad nacional, ya que la información sensible relacionada con investigaciones en curso y testigos federales podría ser explotada por adversarios extranjeros.

Los documentos judiciales sellados ubicados en el sistema de gestión de casos a menudo incluyen información extremadamente sensible sobre fuentes y métodos de seguridad nacional, los nombres de testigos federales clave o detalles de investigaciones en curso.

Esta información en manos de adversarios extranjeros o cárteles criminales podría ser altamente dañina para la seguridad de los estadounidenses. Las cosas no mejoran con el informe del New York Times de que «los documentos relacionados con actividades delictivas con vínculos en el extranjero» fueron el objetivo del hackeo más reciente.