531 certificados falsos dejaron expuestas 300.000 cuentas de correo. Esta vez solo son 8, pero el riesgo está mucho más oculto 🦖
🕐 最新解读群里更新
Un equipo de seguridad logró reconstruir de forma independiente las claves privadas de 8 certificados intermedios de la entidad certificadora india eMudhra. En el informe del incidente, Dennis Jackson, ingeniero de criptografía de Mozilla, escribió que el proceso de generación de claves tenía fallos y era tan sencillo de explotar que cualquiera podía hacerlo ⚠️
El aviso llegó el sábado 17 de octubre. Para el martes de esta semana, los cuatro navegadores —Google, Apple, Microsoft y Firefox— ya habían bloqueado los certificados. La divulgación oficial del incidente estaba prevista para el 19 de octubre.
Primero, aclaremos qué es un certificado: es el documento de identidad de un sitio web. HTTPS funciona porque el navegador confía en ese certificado. Si es válido, la barra de direcciones indica que la conexión es segura y el usuario da por hecho que está en el sitio web auténtico.
Así que, si se pueden reconstruir las claves privadas de una entidad certificadora, los atacantes pueden emitir certificados para cualquier dominio y luego interceptar la conexión de los usuarios, robar sus credenciales o cambiar la dirección de una transferencia. El navegador no dará ninguna alerta durante todo el proceso 🔐
La respuesta para bloquearlos fue bastante rápida. Google incluyó los certificados en su lista negra ese mismo sábado; Apple lo hizo el lunes y Microsoft, el martes. Firefox, además de añadirlos a la lista negra, publicó actualizaciones para las versiones de escritorio y Android, con el fin de impedir que la configuración personalizada permitiera eludir el bloqueo. El proveedor de seguridad en la nube Cloudflare se enteró el lunes y el martes actualizó sus clientes One y WARP, así como su servicio Tunnel.
Un dato aún más importante: desde abril de 2025, los registros de transparencia de certificados no contienen ninguna entrada de estos certificados intermedios. En otras palabras, por ahora no hay pruebas de que esos 8 certificados se hayan usado realmente 💥
Pero que no se hayan usado no significa que el sistema no tenga problemas.
Muchos clientes que no son navegadores ni siquiera comprueban la transparencia de los certificados. Las aplicaciones de monederos, las versiones de escritorio de las plataformas de intercambio, los complementos de cotizaciones y los scripts de trading automático pertenecen a esta categoría. Solo verifican la cadena de certificados, no si el certificado aparece en los registros. Dicho de otro modo: los navegadores ya están protegidos, pero no se puede decir lo mismo con certeza de algunas aplicaciones que tienes en el móvil.
El incidente de DigiNotar de 2011 es un precedente aleccionador. Entonces, unos hackers tomaron el control de esta entidad certificadora neerlandesa y emitieron 531 certificados falsos haciéndose pasar por Google. Alrededor de 300.000 cuentas de Gmail iraníes fueron vigiladas. La entidad acabó cerrando definitivamente.
Mi conclusión es que el verdadero punto de riesgo de este tipo de incidentes ya se ha desplazado de los navegadores a los monederos y las aplicaciones cliente. Los fabricantes de navegadores tienen equipos especializados, listas negras y registros obligatorios, y reaccionan en cuestión de horas. En cambio, los monederos y las aplicaciones de trading se actualizan lentamente, se auditan poco y nadie comprueba por ellos la transparencia de los certificados.
Si visitas páginas de plataformas de intercambio a diario, basta con recordar esto: que un certificado sea válido no significa que el sitio web sea auténtico. Comprueba el dominio manualmente, no hagas clic en los anuncios que aparecen entre los resultados de búsqueda y no instales aplicaciones de escritorio de origen dudoso. Eso es mucho más práctico que cualquier otra cosa.
¿Cómo sueles comprobar que estás en el sitio web oficial? Cuéntamelo en los comentarios.
Toca el avatar para ver la transmisión en directo.
Todos los días te ayudamos a seguir las noticias más importantes del mercado cripto. No solo te contamos qué ocurre, sino que también te ayudamos a entender la lógica y las oportunidades que hay detrás 👀🚀
🕐 最新解读群里更新
Un equipo de seguridad logró reconstruir de forma independiente las claves privadas de 8 certificados intermedios de la entidad certificadora india eMudhra. En el informe del incidente, Dennis Jackson, ingeniero de criptografía de Mozilla, escribió que el proceso de generación de claves tenía fallos y era tan sencillo de explotar que cualquiera podía hacerlo ⚠️
El aviso llegó el sábado 17 de octubre. Para el martes de esta semana, los cuatro navegadores —Google, Apple, Microsoft y Firefox— ya habían bloqueado los certificados. La divulgación oficial del incidente estaba prevista para el 19 de octubre.
Primero, aclaremos qué es un certificado: es el documento de identidad de un sitio web. HTTPS funciona porque el navegador confía en ese certificado. Si es válido, la barra de direcciones indica que la conexión es segura y el usuario da por hecho que está en el sitio web auténtico.
Así que, si se pueden reconstruir las claves privadas de una entidad certificadora, los atacantes pueden emitir certificados para cualquier dominio y luego interceptar la conexión de los usuarios, robar sus credenciales o cambiar la dirección de una transferencia. El navegador no dará ninguna alerta durante todo el proceso 🔐
La respuesta para bloquearlos fue bastante rápida. Google incluyó los certificados en su lista negra ese mismo sábado; Apple lo hizo el lunes y Microsoft, el martes. Firefox, además de añadirlos a la lista negra, publicó actualizaciones para las versiones de escritorio y Android, con el fin de impedir que la configuración personalizada permitiera eludir el bloqueo. El proveedor de seguridad en la nube Cloudflare se enteró el lunes y el martes actualizó sus clientes One y WARP, así como su servicio Tunnel.
Un dato aún más importante: desde abril de 2025, los registros de transparencia de certificados no contienen ninguna entrada de estos certificados intermedios. En otras palabras, por ahora no hay pruebas de que esos 8 certificados se hayan usado realmente 💥
Pero que no se hayan usado no significa que el sistema no tenga problemas.
Muchos clientes que no son navegadores ni siquiera comprueban la transparencia de los certificados. Las aplicaciones de monederos, las versiones de escritorio de las plataformas de intercambio, los complementos de cotizaciones y los scripts de trading automático pertenecen a esta categoría. Solo verifican la cadena de certificados, no si el certificado aparece en los registros. Dicho de otro modo: los navegadores ya están protegidos, pero no se puede decir lo mismo con certeza de algunas aplicaciones que tienes en el móvil.
El incidente de DigiNotar de 2011 es un precedente aleccionador. Entonces, unos hackers tomaron el control de esta entidad certificadora neerlandesa y emitieron 531 certificados falsos haciéndose pasar por Google. Alrededor de 300.000 cuentas de Gmail iraníes fueron vigiladas. La entidad acabó cerrando definitivamente.
Mi conclusión es que el verdadero punto de riesgo de este tipo de incidentes ya se ha desplazado de los navegadores a los monederos y las aplicaciones cliente. Los fabricantes de navegadores tienen equipos especializados, listas negras y registros obligatorios, y reaccionan en cuestión de horas. En cambio, los monederos y las aplicaciones de trading se actualizan lentamente, se auditan poco y nadie comprueba por ellos la transparencia de los certificados.
Si visitas páginas de plataformas de intercambio a diario, basta con recordar esto: que un certificado sea válido no significa que el sitio web sea auténtico. Comprueba el dominio manualmente, no hagas clic en los anuncios que aparecen entre los resultados de búsqueda y no instales aplicaciones de escritorio de origen dudoso. Eso es mucho más práctico que cualquier otra cosa.
¿Cómo sueles comprobar que estás en el sitio web oficial? Cuéntamelo en los comentarios.
Toca el avatar para ver la transmisión en directo.
Todos los días te ayudamos a seguir las noticias más importantes del mercado cripto. No solo te contamos qué ocurre, sino que también te ayudamos a entender la lógica y las oportunidades que hay detrás 👀🚀