Informe de intervención

El problema de productividad y el problema de seguridad eran el mismo problema.

Cougar reportó pantallas negras que impedían trabajar. El diagnóstico encontró que la causa no era una falla del software de escritorio remoto, sino un ataque de intrusión activo que consumía los recursos con los que el servidor construye los escritorios de trabajo.

Pantallas negras: Constantes→Ninguna
Intentos de intrusión: 72.000 / día→0
Memoria disponible: 1,4 GB→6,5 GB
Puertos expuestos: 4 abiertos→Cerrados

#01

Lo que realmente ocurría

La hipótesis inicial —la más habitual en la industria— era que una actualización de Windows había roto el componente que permite múltiples sesiones simultáneas. Esa hipótesis resultó incorrecta. El componente funcionaba correctamente.

Lo que ocurría era otra cosa: el servicio de Escritorio Remoto estaba publicado hacia todo internet y configurado sin verificación de identidad previa a la conexión. Como consecuencia, cada intento de intrusión provocaba que el servidor construyera un escritorio completo antes de comprobar si quien llamaba tenía credenciales válidas.

El acceso remoto estaba publicado hacia todo internet, sin restricción de origen.

El servidor recibía ~50 intentos de intrusión por minuto, de forma sostenida y desde múltiples países.

Sin verificación previa de identidad, cada intento reservaba los recursos de un escritorio completo.

Esos recursos no se liberaban al fallar el intento, y se acumulaban hora tras hora.

Cuando un empleado legítimo se conectaba, ya no quedaba capacidad para construirle un escritorio funcional. El resultado era una pantalla negra.

#02

Hallazgos de seguridad

El diagnóstico reveló una exposición significativamente mayor a la esperada para un servidor con información contable.

Hallazgo	Severidad	Situación encontrada
Ataque de fuerza bruta activo	Crítica	~72.000 intentos diarios contra las cuentas del personal. Los atacantes conocían los nombres reales de los usuarios.
Servicios internos publicados a internet	Crítica	Servicios de archivos y de administración remota accesibles desde cualquier punto del planeta, incluyendo acceso al disco completo del servidor.
Sin bloqueo tras intentos fallidos	Alta	Un atacante podía probar contraseñas de forma ilimitada e indefinida, sin consecuencia alguna.
Sin longitud mínima de contraseña	Alta	La política permitía contraseñas de cualquier longitud, incluso vacías.
Verificación de identidad desactivada	Alta	Origen directo de la pantalla negra y de la exposición del servidor.
Comunicación sin cifrado moderno	Media	El canal de escritorio remoto no usaba cifrado de transporte actual.
Registro de auditoría insuficiente	Media	El volumen del ataque saturaba el registro, dejando solo 8,5 horas de historial.
Cuenta de aprovisionamiento activa	Media	Cuenta técnica del proveedor de nube, con privilegios de administrador, habilitada innecesariamente.

#03

¿Hubo una intrusión consumada?

No. El ataque no había tenido éxito.

Se verificó específicamente: ninguna de las direcciones atacantes logró autenticarse, no se crearon ni modificaron cuentas de usuario, no se alteraron los grupos de administradores, no se detectó software malicioso ni mecanismos de persistencia, y el registro de auditoría no fue manipulado.

Alcance del análisis, declarado con precisión. El registro de auditoría solo conservaba 8,5 horas de historial, porque el propio ataque lo saturaba. Las verificaciones basadas en el estado del sistema —cuentas, privilegios, software instalado, mecanismos de arranque— sí cubren toda la vida del servidor, y están limpias. Por eso la conclusión se declara como alta confianza y no como certeza absoluta.

Con la configuración encontrada, era cuestión de tiempo.

#04

Antes y después

Indicador	Antes	Después
Pantallas negras	Constantes, impedían trabajar	Ninguna, con 3 usuarios simultáneos
Intentos de intrusión	~72.000 / día	0
Recursos retenidos por sesiones fraudulentas	925.591	117.453
Escritorios fantasma acumulados	297	2
Memoria disponible	1,4 GB de 8	6,5 GB
Servicios expuestos a internet	4 puertos críticos abiertos al mundo	Cerrados; acceso restringido a Colombia
Bloqueo de cuenta	Inexistente	10 intentos / 15 min
Longitud mínima de contraseña	0 caracteres	12 caracteres
Verificación de identidad previa	Desactivada	Activa y obligatoria
Cifrado del canal remoto	Sin cifrado de transporte	Cifrado moderno
Historial de auditoría	8,5 horas	Semanas
Vigilancia automática	Ninguna	Revisión diaria automatizada

#05

El riesgo que se evitó

El acceso remoto desprotegido es hoy el principal vector de entrada de ransomware en pequeñas y medianas empresas. El patrón es conocido: los atacantes prueban contraseñas de forma masiva hasta acertar una, entran con credenciales legítimas, cifran la información contable y exigen un rescate.

En el caso de Cougar concurrían simultáneamente todas las condiciones que ese patrón necesita: un ataque sostenido y dirigido con conocimiento de los nombres reales de los usuarios, intentos ilimitados sin bloqueo de cuenta, una política que permitía contraseñas débiles, acceso directo al disco completo desde internet, y respaldos alojados en el mismo servidor que los datos.

Es decir: si una sola contraseña hubiera cedido, el atacante habría tenido acceso a la información contable y a los respaldos al mismo tiempo. No existía separación entre ambos. La intervención rompió esa cadena en varios puntos a la vez.

#06

Por qué esta intervención tenía valor

Cougar contrató la resolución de un problema de productividad. Lo que se entregó fue eso y el descubrimiento de que la causa era un incidente de seguridad en curso.

Se resolvió el problema real, no el aparente. La hipótesis inicial habría llevado a reinstalar o reconfigurar el componente de escritorio remoto. Eso no habría corregido nada, porque el componente estaba sano: el problema habría regresado a los pocos días, con el costo de la intervención perdido.

Se detectó un ataque en curso que nadie estaba viendo. El servidor recibía 72.000 intentos diarios sin ninguna alerta, ningún registro conservado y ninguna vigilancia. Se descubrió por el diagnóstico, no por un aviso.

Se dejó el servidor con capacidad de defensa propia. Además de cerrar la exposición, quedó instalada una revisión automática diaria que avisa si la configuración se degrada, si el ataque regresa, o si una actualización de Windows rompe el funcionamiento multiusuario.

La alternativa —no intervenir— tenía un costo esperado muy superior: la pérdida de la información contable de Cougar y de sus clientes, con sus implicaciones legales y reputacionales, además de la interrupción prolongada de la operación.

#07

Estado actual

La verificación posterior, realizada once horas después de la intervención y con el equipo trabajando en condiciones normales, confirma:

Tres usuarios en sesiones simultáneas, con escritorios plenamente funcionales.

Cero intentos de intrusión en la última hora.

Consumo de recursos en niveles normales.

Helisa y su motor de base de datos operando sin interrupción.

Sin pérdida de información.

#08

Recomendaciones pendientes

Quedan fuera del alcance ya ejecutado y se proponen por orden de prioridad.

Copia de respaldos fuera del servidor Alta

Es correcto señalar que Cougar sí cuenta con respaldos automáticos diarios de su información contable, generados por el propio sistema Helisa. El punto débil no es su ausencia, sino que residen en el mismo disco del mismo servidor: un incidente de ransomware o la pérdida del servidor afectaría datos y respaldos simultáneamente.

Acceso mediante red privada Alta

Hoy el acceso remoto está restringido por país. El siguiente nivel es retirarlo por completo de internet mediante una red privada cifrada, de modo que el servidor deje de ser visible para cualquier atacante. Para los usuarios el cambio es transparente: siguen usando la misma aplicación de Escritorio Remoto de Windows.

Rotación de credenciales administrativas Media

El entorno estuvo bajo ataque sostenido; es buena práctica renovar las credenciales administrativas.

Revisión de una cuenta inactiva Media

Una cuenta de usuario sin actividad desde el 29 de julio presenta indicios de no tener contraseña asignada. Conviene revisarla y, si no está en uso, deshabilitarla.

Ampliación de memoria de 8 GB a 16 GB Media

Con cinco usuarios trabajando simultáneamente el margen es ajustado. No es la causa del problema resuelto, pero limita el crecimiento del equipo.

Protección contra manipulación del antivirus Baja

Requiere activarse de forma manual en el servidor; es una tarea de pocos minutos.