La configuración de tu firewall es un archivo de contraseñas: qué se filtra con ella y qué rotar
Unos investigadores afirman que un actor copió archivos de configuración de firewalls y usó las credenciales guardadas para entrar en redes de empresas. Qué contiene un archivo de configuración, por qué un parche no lo arregla y qué rotar primero.
Por Prasad Kukkala · Ciberseguridad · Qué ha cambiado · · 15 min de lectura
Un firewall se sitúa en el borde de la red de una empresa y decide qué puede entrar y qué puede salir. Para hacer ese trabajo guarda un archivo de ajustes, llamado configuración (o config). La mayoría de los equipos trata ese archivo como una copia de seguridad. En octubre de 2026, unos investigadores describieron a un actor que lo trató como un archivo de contraseñas.
La investigación procede de Group-IB y NyxLab. Su informe, Stray Cat, Open Doors: How k0t Wanders Through the Network Edge, se publicó el 21 de octubre de 2026. Siguen a un actor llamado k0t que, según ellos, entró en muchas redes de empresas a través de dispositivos perimetrales expuestos.
Ese caso plantea una pregunta que todo equipo que gestiona un firewall o una VPN tiene que responder.
Si alguien copió la configuración de tu firewall, ¿qué más se llevó y qué debes cambiar?
El dispositivo es la puerta y la configuración es el llavero
Un dispositivo perimetral es cualquier equipo que da a internet y vigila la entrada. Los firewalls y las puertas de enlace VPN son los más comunes. Una VPN (red privada virtual) permite al personal iniciar sesión desde fuera y llegar a los sistemas internos como si estuviera en la oficina.
El archivo de configuración de un dispositivo así contiene algo más que reglas. A menudo guarda las credenciales que el dispositivo usa para comunicarse con otros sistemas, y los secretos de las personas y los administradores que conoce.
Piensa en la recepción de un hotel. La recepción vigila el edificio, pero en su cajón hay una lista de llaves de repuesto. Cerrar mejor la puerta principal no sirve de nada si una copia de lo que hay en el cajón ya salió del edificio.
Esa es la idea central de este artículo. Un parche arregla la puerta. No anula una copia de la lista de llaves.
Figura 1. La vía de intrusión que describe Group-IB. Un parche solo cierra el segundo paso.
Qué ocurrió, según los investigadores
Group-IB afirma que k0t buscó firewalls y puertas de enlace VPN expuestos y después entró mediante un fallo conocido o adivinando contraseñas. Una vez dentro, descargó la configuración del dispositivo y descifró los secretos guardados. Luego usó esas credenciales para entrar en la red como lo haría un empleado normal, e intentó obtener el control total del dominio de Windows. Group-IB indica que muchas de las vulneraciones que encontró están fechadas entre febrero y junio de 2026.
Aquí conviene conocer un término más. Active Directory es el sistema que usa la mayoría de las empresas para mantener la lista de cuentas del personal y lo que puede hacer cada una. Domain Admin (administrador de dominio) es el tipo de cuenta que puede controlarlo todo. Group-IB informa de intentos de llegar a ese nivel. También informa de que el actor instaló herramientas de administración remota y sacó datos a un almacenamiento en la nube.
Los fallos que recoge el informe mezclan lo antiguo y lo nuevo.
En el caso de Fortinet, el informe apunta a una debilidad de 2019 en la forma en que FortiOS protege las contraseñas guardadas, que según los investigadores se usó para descifrar configuraciones descargadas. En el de Palo Alto, menciona un fallo de 2026 en GlobalProtect. Cuando los exploits no funcionaban, Group-IB afirma que el actor recurría a adivinar contraseñas. Eso importa, porque un dispositivo sin ningún fallo conocido puede caer igualmente por unas credenciales débiles.
Qué puede abrir una configuración copiada
No todas las configuraciones contienen lo mismo. Los ajustes varían según el producto y según cómo lo haya configurado el equipo. El informe de Group-IB y los avisos de los proveedores apuntan a tres grupos de secretos que conviene revisar en cualquier dispositivo.
El primero es la cuenta de enlace al directorio (bind account). Es la cuenta que usa el firewall para buscar al personal en Active Directory (a menudo mediante un protocolo llamado LDAP), de modo que pueda preguntar «¿esta persona tiene permiso?». Normalmente tiene permiso para leer toda la lista del personal. Si alguien la obtiene, consigue un mapa de las cuentas de la empresa sin tener que entrar antes.
El segundo son los secretos de los usuarios locales. Son las credenciales guardadas en el propio dispositivo para usuarios de VPN o administradores. El tercero son los secretos de administración que controlan el firewall.
Figura 2. Un solo archivo descargado puede contener tres tipos de secretos. La solución es un ajuste que los cifra con tu propia clave.
Qué abre cada secreto robado
Selecciona un grupo de secretos para ver qué abre y qué cambiar.
Qué es: La cuenta que usa el firewall para buscar al personal en Active Directory, a menudo mediante LDAP. Normalmente tiene permiso para leer toda la lista del personal.
Qué obtiene un ladrón: Un mapa de las cuentas de la empresa, sin tener que entrar antes.
Qué hacer: Rótala primero, porque es la de mayor alcance. Usa una cuenta con pocos privilegios para el enlace, no una con muchos.
Qué es: Las credenciales guardadas en el propio dispositivo para usuarios de VPN u otras cuentas locales.
Qué obtiene un ladrón: Una forma de iniciar sesión como un empleado normal y entrar en la red por la vía habitual.
Qué hacer: Rótalas cuando el dispositivo esté limpio. Añade autenticación multifactor y bloqueos en cada inicio de sesión de VPN, y nunca reutilices una contraseña entre el firewall y cualquier otra cosa.
Qué es: Los secretos que controlan el propio firewall, incluidas las cuentas de administración y las claves de API.
Qué obtiene un ladrón: El control del propio firewall. Las fuentes discrepan en un punto: el aviso de Fortinet excluye de la debilidad la contraseña de administrador, mientras que Group-IB informa de que recuperó credenciales de administrador.
Qué hacer: Rota las cuentas de administración y las claves de API justo después de que el dispositivo esté limpio, y considéralas expuestas hasta que sepas lo contrario.
El antiguo fallo de Fortinet muestra cómo funciona esto en la práctica.
El aviso de Fortinet sobre CVE-2019-6693 indica que FortiOS usaba una clave fija en el código (hard-coded) para proteger las contraseñas guardadas en la configuración. Cualquiera que conociera esa clave podía descifrarlas a partir de un archivo copiado. Fortinet añadió un ajuste llamado private-data-encryption para que un equipo pueda usar su propia clave. El aviso señala que ese ajuste está desactivado por defecto, y su solución alternativa es proteger siempre con contraseña las copias de seguridad de la configuración.
Muchos equipos pasan por alto esta parte. Mantener el firmware actualizado no activa ese ajuste. Un dispositivo puede tener todos los parches aplicados y seguir guardando secretos que cualquiera con una copia puede leer.
Las fuentes discrepan en un punto. El aviso de Fortinet dice que la debilidad afecta a los datos cifrados de la configuración, excepto a la contraseña del administrador. Group-IB informa de que también recuperó credenciales de administrador. Hasta que sepas cuál de las dos cosas es cierta para tu dispositivo, considera expuestos los secretos de administración.
Lo que los investigadores no saben
Se trata del informe de un proveedor y de una sola fuente, así que sus límites importan. Group-IB afirma que el número de víctimas que contó es un mínimo y que la distribución regional puede reflejar solo qué dispositivos estaban expuestos. Indica que el vínculo con el ransomware no está confirmado. Algunas víctimas también aparecen en los sitios de filtraciones de los grupos de ransomware Qilin y The Gentlemen, y los investigadores creen que k0t es probablemente un intermediario de acceso inicial (initial access broker).
Un intermediario de acceso inicial es un delincuente que entra en una red y luego vende o cede ese acceso a otra persona. Esa otra persona puede ser un grupo de ransomware. Por eso, el grupo que entra puede no ser el mismo que envía la nota de rescate.
Figura 3. Entre la intrusión y la exigencia puede haber un intervalo silencioso. Ese intervalo es tu mejor ocasión para detectar al intruso.
Solo usamos lo que Group-IB afirma en su propio informe. Tampoco reproducimos indicadores ni nombres de herramientas, porque a un defensor le aporta poco una lista de nombres que cambia cada mes.
Por qué un parche por sí solo no es la respuesta
Fíjate en el caso de Palo Alto. El aviso de Palo Alto sobre CVE-2026-0257, publicado por primera vez el 13 de mayo de 2026, describe una forma de eludir el inicio de sesión en GlobalProtect, su función de VPN. Solo se aplica cuando está activada cierta función de cookies y se usa cierta configuración de certificados. El aviso enumera versiones corregidas para cada línea de versiones y señala que el fallo se observó en ataques limitados.
La corrección sirve para el futuro. Pero si alguien usó el fallo antes de que aplicaras el parche, la corrección no elimina lo que hizo entretanto.
Lo mismo ocurre con el fallo de configuración de Fortinet. Una vez aplicados los ajustes adecuados, una configuración copiada en el futuro queda protegida. Una configuración copiada antes no lo está, y los secretos que contiene siguen siendo legibles.
Es la misma lección que en nuestro artículo sobre dispositivos perimetrales con parches, pero no limpios (en inglés). Allí la pregunta era si se puede confiar en el propio dispositivo. Aquí la pregunta es qué ha entregado ya el dispositivo.
Un aviso del FBI y del Servicio Secreto de Estados Unidos, publicado el 6 de octubre de 2026, describe una campaña relacionada llamada FortiBleed. Informa del uso de contraseñas robadas o reutilizadas contra dispositivos FortiGate y VPN SSL expuestos, de la creación de nuevas cuentas de administración y del uso de ese acceso por parte de afiliados de ransomware. Group-IB afirma que ve una posible conexión entre su caso y FortiBleed, pero muy poca coincidencia en los datos comprometidos, así que trátalos como dos historias distintas que enseñan la misma lección.
Qué hacer primero: el orden de trabajo
Si gestionas un dispositivo perimetral expuesto y crees que puede haber sido manipulado, trabaja en este orden. Es el orden que recomendamos, elaborado a partir de las indicaciones de los proveedores y del FBI. El orden importa más que la velocidad.
Figura 4. Rota después de que el dispositivo esté limpio, no antes.
Aísla y conserva las pruebas. Guarda los registros (logs) y una copia de la configuración antes de cambiar nada, para poder ver qué cambió y cuándo.
Aplica el parche o reconstruye. Si no puedes estar seguro de que el dispositivo está limpio, reconstrúyelo a partir de una imagen de confianza. Rotar los secretos en un dispositivo que el intruso aún controla solo le entrega los nuevos.
Rota las cuentas de administración y las claves de API. Son las que controlan el propio dispositivo.
Rota la cuenta de enlace al directorio, las credenciales de VPN y las de usuarios locales. Empieza por la cuenta de enlace, porque es la de mayor alcance. Usa una cuenta con pocos privilegios para el enlace, no una con muchos.
Rastrea hacia atrás. Busca desde hoy hasta la primera fecha en que el dispositivo estuvo expuesto, no solo desde el día en que te diste cuenta.
¿Por dónde empiezo tras una exposición?
Responde hasta cuatro preguntas. Es la ayuda para decidir de TechiesJournal, elaborada a partir del orden de trabajo anterior. No es una indicación de los proveedores y no es exhaustiva.
¿Has guardado los registros y una copia de la configuración?
Primero, aísla el dispositivo y conserva las pruebas. Guarda los registros y una copia de la configuración antes de cambiar nada, para poder ver qué cambió y cuándo.
¿Estás seguro de que el dispositivo está limpio?
Aplica el parche o reconstruye. Si no puedes estar seguro de que el dispositivo está limpio, reconstrúyelo a partir de una imagen de confianza. Rotar los secretos en un dispositivo que el intruso aún controla solo le entrega los nuevos.
¿Has rotado las cuentas de administración y las claves de API?
Rota las cuentas de administración y las claves de API. Son las que controlan el propio dispositivo.
¿Has rotado la cuenta de enlace al directorio, las credenciales de VPN y las de usuarios locales?
Rota la cuenta de enlace al directorio, las credenciales de VPN y las de usuarios locales. Empieza por la cuenta de enlace, porque es la de mayor alcance. Usa una cuenta con pocos privilegios para el enlace, no una con muchos.
Rastrea hacia atrás. Busca desde hoy hasta la primera fecha en que el dispositivo estuvo expuesto, no solo desde el día en que te diste cuenta. Después, cierra el resquicio que hizo útil la copia.
Después, cierra el resquicio que hizo útil la copia. Activa private-data-encryption donde tu proveedor lo ofrezca, protege con contraseña las copias de seguridad de la configuración y saca la administración del dispositivo de la internet pública. El aviso del FBI clasifica las opciones: las listas de hosts de confianza son buenas, una política local-in es mejor y eliminar el acceso de administración desde internet es lo mejor.
Las contraseñas son la otra mitad
Grupos como este no siempre necesitan un fallo. Como se ha señalado antes, adivinar contraseñas era el recurso cuando un exploit fallaba. Una VPN que acepta solo una contraseña, sin bloqueo, es una invitación abierta.
Figura 5. Un segundo paso en el inicio de sesión de la VPN impide que baste con adivinar una contraseña.
Así que la lista de refuerzo (hardening) tiene tres puntos sencillos. Usa la autenticación multifactor (MFA), una segunda prueba de identidad además de la contraseña, en cada inicio de sesión de VPN y de administración. Configura bloqueos ante fallos repetidos. Y nunca reutilices una contraseña entre el firewall y cualquier otra cosa.
Una advertencia: no toda la MFA es igual. Nuestro artículo sobre la reutilización de tokens (token replay) en Microsoft 365 (en inglés) muestra cómo los tokens de sesión robados pueden esquivar algunas configuraciones de MFA. La MFA es necesaria, pero por sí sola no es una respuesta completa.
Dónde buscar a un intruso silencioso
Por el intervalo de la figura 3, quizá tengas que buscar a alguien que lleva semanas dentro. Group-IB enumera señales en cuatro frentes.
Figura 6. Cuatro lugares donde buscar. Muchas de estas herramientas también las usan administradores legítimos, así que el contexto decide.
La figura enumera las señales de cada frente. La mayoría se reduce a una pregunta: ¿alguien puede explicar esta cuenta, esta sesión o esta herramienta?
Los investigadores insisten en que muchas de estas herramientas son de doble uso, es decir, que los administradores legítimos también las usan. Una herramienta de administración remota no es una prueba de ataque. Una herramienta de administración remota desconocida en un servidor, instalada a las 3 a. m., merece una pregunta.
¿Cuánto deberías aprender?
Este es el modelo Conocer, Usar, Dominar que aplicamos en todo TechiesJournal.
Conocer: un estudiante, analista o desarrollador debería saber qué es un dispositivo perimetral, por qué su configuración contiene secretos y qué es un intermediario de acceso inicial. Con eso basta para leer noticias sobre el próximo incidente con un firewall y hacer la pregunta adecuada.
Usar: un administrador de sistemas o ingeniero de nube que gestiona un firewall o una VPN debería ser capaz de encontrar y rotar todas las credenciales que guarda el dispositivo, activar el cifrado de la configuración, restringir la administración y leer los registros del dispositivo.
Dominar: un ingeniero o arquitecto de seguridad debería ser capaz de diseñar el plan de rotación entre el directorio, la VPN y la nube, rastrear hacia atrás hasta la primera fecha de exposición y decidir cuándo reconstruir en lugar de reparar.
¿Qué puedes ignorar por ahora? Las listas de indicadores y los nombres de herramientas. Cambian a menudo, y los hábitos anteriores no.
Lo que sabemos y lo que no
Afirmación
Tipo
Fuente
FortiOS usaba una clave fija en el código para las contraseñas guardadas, corregido mediante un ajuste desactivado por defecto
Hecho
Aviso de Fortinet FG-IR-19-007
Elusión del inicio de sesión en Palo Alto GlobalProtect, con versiones corregidas por línea de versiones
Hecho
Aviso de Palo Alto sobre CVE-2026-0257
Un actor llamado k0t copió y descifró configuraciones de dispositivos y usó las credenciales
Informe de investigadores
Group-IB y NyxLab
Muchas víctimas, con la cifra real desconocida
Informe de investigadores, cifra mínima
Group-IB y NyxLab
k0t actúa como intermediario de acceso inicial
Inferencia nuestra, basada en la opinión de los investigadores
Group-IB y NyxLab
Hay víctimas en común con sitios de filtraciones de ransomware
Informe de investigadores, vínculo no confirmado
Group-IB y NyxLab
Quién compró o usó el acceso, y cuándo
Desconocido
Ninguna
Tu siguiente paso
Elige un dispositivo perimetral del que seas responsable. Hazte tres preguntas.
¿Puedo enumerar todas las credenciales guardadas en su configuración?
¿Está activado el cifrado de la configuración y están protegidas con contraseña las copias de seguridad?
Si esta configuración saliera hoy, ¿cuánto tardaría en rotar todo lo que contiene?
Si no puedes responder a la tercera pregunta, ya tienes tu primera tarea.
Revisa un dispositivo perimetral
Elige un dispositivo perimetral del que seas responsable y responde a tres preguntas. Es la autoevaluación de TechiesJournal, elaborada a partir de las tres preguntas anteriores.
¿Puedes enumerar todas las credenciales guardadas en su configuración?
Empieza por ahí. Elabora la lista de todas las credenciales que guarda el dispositivo. No puedes rotar lo que no puedes enumerar.
¿Está activado el cifrado de la configuración y están protegidas con contraseña las copias de seguridad?
Cierra el resquicio que hace útil una copia. Activa private-data-encryption donde tu proveedor lo ofrezca y protege con contraseña las copias de seguridad de la configuración.
Si esta configuración saliera hoy, ¿sabes cuánto tardarías en rotar todo lo que contiene?
Ya tienes tu primera tarea. Calcula cuánto tardarías en rotar todo lo que contiene la configuración y reduce ese tiempo.
Puedes responder a las tres preguntas. Repite la comprobación con el siguiente dispositivo perimetral que gestiones.
Un parche cierra la puerta, pero solo la rotación deja fuera de juego las llaves copiadas.
Hardcoded symmetric key in fips.c (FG-IR-19-007): Fortinet PSIRT. Léelo para conocer el ajuste private-data-encryption y la solución alternativa para las copias de seguridad de la configuración.
