En una entrevista publicada el 20 de junio con CNR, a propósito de la función Recall, George Kurtz, fundador de CrowdStrike, la compañía de ciberseguridad que ha ocasionado graves problemas a Microsoft y a miles de clientes en todo el mundo, entre ellos aeropuertos, empresas como Repsol y hasta hospitales, acusó hace pocos días a la tecnológica estadounidense de no tomarse la seguridad como cabría esperar.
En sus palabras a CRN, a propósito de la mencionada función, Kurtz opinó que “la postura de Microsoft sobre seguridad, y el hecho de que quieran hacer algunos cambios, es pura palabrería, para ser claros. Y creo que Recall es un claro ejemplo de la falta de atención que se le presta a la seguridad”.
La presentación de la función Recall, informa CRN en una noticia de la que se hace eco en su propia web la propia CrowdStrike, tenía lugar al poco de que el CEO de Microsoft, Satya Nadella, instara al personal a priorizar la seguridad sobre el lanzamiento de nuevas funciones.
“Les llamaron la atención: cuando se almacena información tan sensible en una base de datos SQL de texto sin formato en el sistema, es una situación propicia para el abuso”, dijo. “Una y otra vez, Microsoft ha priorizado las ganancias y las características sobre la seguridad”, declaró Kurtz en dicha entrevista a CRN.
Kurtz, en la entrevista concedida a CRN, opinó también sobre el informe referente a la cultura y las prácticas de seguridad de Microsoft, publicado en abril por la Junta de Revisión de Seguridad Cibernética (CSRB), una entidad designada por el Departamento de Seguridad Nacional de Estados Unidos. Este informe detalló una investigación sobre la violación de correo electrónico en la nube de Microsoft, un incidente que impactó a varias agencias federales en 2023.
Kurtz señaló que el informe del CSRB subraya problemas serios en las prácticas de seguridad de Microsoft. El documento, indicó, pone en evidencia fallos significativos en la estructura de seguridad y en la respuesta a incidentes de la compañía, resaltando una cultura organizacional que prioriza la velocidad de desarrollo y la expansión de servicios en la nube sobre la seguridad robusta y proactiva. El informe también sugiere que estas deficiencias permitieron que los atacantes explotaran vulnerabilidades en los sistemas de Microsoft, resultando en una violación que comprometió información crítica de varias agencias gubernamentales.
La investigación del CSRB reveló que los atacantes lograron acceder a correos electrónicos sensibles a través de cuentas en la nube de Microsoft, destacando la necesidad de una revisión exhaustiva y la implementación de mejoras en las políticas y tecnologías de seguridad de la compañía. Entre las recomendaciones del informe se incluyen medidas para fortalecer la protección de datos y la detección de amenazas, así como la adopción de mejores prácticas de seguridad cibernética que deberían ser integradas en todos los niveles de la organización.
Enfatizó Kurtz la importancia de aprender de estos incidentes para evitar futuros ataques y subrayó que todas las empresas tecnológicas deben tomar en serio las advertencias y recomendaciones provenientes de incidentes de seguridad de gran escala, al tiempo que abogó por una colaboración más estrecha entre el sector privado y el gobierno para reforzar la defensa cibernética nacional.
En resumen, el informe del CSRB no solo revela las aparentes debilidades de Microsoft en la protección de sus servicios en la nube, sino que también sirve como una llamada de atención para toda la industria tecnológica sobre la importancia de priorizar la seguridad cibernética en todas las operaciones empresariales.
