Los principales proveedores de navegadores y otras empresas tecnológicas han emitido protecciones de emergencia contra ocho certificados digitales intermedios comprometidos emitidos por la autoridad de certificación eMudhra Limited, con sede en India. Los certificados fueron señalados después de que los investigadores concluyeran que sus claves privadas se habían generado mediante un proceso defectuoso que podía ser «trivial de explotar», lo que abría una vía para que los atacantes se hicieran pasar por sitios web legítimos.
El ingeniero de Mozilla Dennis Jackson dijo que Mozilla detectó el problema tras recibir un aviso el sábado y recuperar de forma independiente las claves privadas pertinentes. Concluyó que el proceso de generación de claves era tanto «defectuoso» como «trivial de explotar». Según Mozilla, un atacante que intercepte la conexión de un usuario podría presentar certificados fraudulentos para hacerse pasar por un sitio de confianza, lo que le permitiría leer o alterar la información transmitida.
Puntos clave
Se bloquearon ocho certificados intermedios de eMudhra después de detectar fallos en la generación de sus claves.
Mozilla afirma que recuperó las claves privadas tras recibir el primer aviso y actuó rápidamente para bloquear los certificados en Firefox mediante OneCRL.
Chrome, las plataformas de Apple y las de Microsoft bloquearon los certificados en distintos momentos a partir del sábado; posteriormente, los bloqueos se propagaron a otros ecosistemas.
Mozilla advierte que el riesgo podría extenderse más allá de los navegadores, ya que algunos clientes no exigen la Transparencia de certificados.
Según se informa, no hay indicios de uso indebido en los principales navegadores más utilizados, y los registros de transparencia de certificados no muestran entradas de los certificados intermedios afectados desde abril de 2025.
Qué se vio comprometido y por qué son importantes los certificados
El incidente gira en torno a ocho certificados intermedios emitidos por eMudhra Limited. Los certificados intermedios forman parte de la cadena de confianza que los navegadores y otros sistemas utilizan para determinar si el certificado de cifrado de una conexión es válido. Si se manipula esa cadena de confianza, los atacantes podrían hacerse pasar por dominios legítimos y comprometer sesiones cifradas.
La evaluación del incidente de Mozilla, según la descripción de Dennis Jackson, indica que las claves privadas asociadas a estos certificados intermedios no estaban suficientemente protegidas y que el propio proceso de generación de claves tenía fallos. En opinión de Mozilla, el impacto potencial es claro: si un atacante puede interceptar la conexión de un usuario, podría presentar certificados fraudulentos para suplantar un sitio web legítimo y, posiblemente, exponer o manipular los datos intercambiados.
Cómo se extendió la respuesta a los principales ecosistemas
Mozilla afirma que recibió el informe inicial el sábado y respondió ese mismo día bloqueando los certificados afectados en Firefox mediante OneCRL. Las protecciones se completaron para Firefox mediante ajustes personalizados, y se publicaron actualizaciones para las versiones de escritorio y Android. El enfoque de Mozilla es importante para los usuarios porque actúa directamente sobre el punto en el que se decide la confianza: impide que los clientes acepten los certificados intermedios comprometidos, aunque la validación habitual del certificado por parte del usuario hubiera sido satisfactoria.
Cloudflare dijo que conoció el problema el lunes y que implementó medidas de mitigación en varios productos el martes. En una publicación de blog, Cloudflare informó de actualizaciones para Cloudflare One y los clientes de WARP, así como para Cloudflare Tunnel, además de medidas de mitigación adicionales en sus servicios. La participación de la empresa pone de relieve que los problemas de confianza en los certificados no se limitan a los navegadores: los componentes de red sensibles a la seguridad y el software cliente también dependen de cadenas de confianza válidas.
Jackson también informó que los certificados se bloquearon en Chrome a partir del sábado. Además, indicó que los dispositivos Apple comenzaron a bloquearlos el lunes y las plataformas de Microsoft, el martes. Aunque cada plataforma tiene sus propios mecanismos para actualizar los almacenes de confianza y sus propios calendarios de distribución, la conclusión clave para los usuarios es que los distintos ecosistemas pueden tardar tiempos diferentes en alcanzar una protección completa; por tanto, los sistemas que se retrasen podrían permanecer expuestos durante más tiempo.
Qué se sabe sobre la explotación y los registros de transparencia de certificados
Mozilla dijo que no hay indicios de que Firefox, Chrome, Edge y Safari hayan sido atacados mediante esta técnica específica. Jackson señaló los registros de transparencia de certificados y observó que no había entradas de los certificados intermedios afectados desde abril de 2025. Esa ausencia reduce la probabilidad de que los atacantes hayan conseguido generar certificados a partir de esos certificados intermedios de una forma que resultara visible para esos sistemas de registro.
Sin embargo, Mozilla advirtió que muchos clientes ajenos al ecosistema de los navegadores no exigen la Transparencia de certificados. Jackson dijo que aún se desconoce si los atacantes aprovecharon el fallo en la generación de claves para atacar a esos clientes que no son navegadores. Esta distinción es importante para los equipos de TI de las organizaciones: aunque los principales navegadores estén protegidos rápidamente, los sistemas internos, las aplicaciones especializadas y los dispositivos integrados podrían validar los certificados TLS de manera diferente y quizá no apliquen las mismas comprobaciones de transparencia ni las actualizaciones de los almacenes de confianza de forma automática.
Los comentarios de Jackson también ponen de relieve por qué los bloqueos de emergencia por sí solos quizá no basten para neutralizar por completo el riesgo. Aunque muchas empresas «ya han publicado actualizaciones o están en proceso de publicarlas», es posible que algunas aplicaciones y sistemas no reciban los bloqueos automáticamente, según cómo se gestionen sus almacenes de confianza.
Por qué este incidente recuerda a brechas anteriores de autoridades de certificación
La acción de emergencia relacionada con eMudhra recuerda un caso emblemático de 2011 que involucró a DigiNotar. En aquella brecha, los atacantes comprometieron la autoridad de certificación neerlandesa y emitieron cientos de certificados SSL fraudulentos, incluidos algunos que permitían suplantar servicios conocidos como Google. La magnitud y las consecuencias del incidente de DigiNotar demostraron cómo los fallos en la confianza de los certificados pueden traducirse en espionaje real y en el compromiso de cuentas.
Según el relato histórico citado en el artículo, en el caso de DigiNotar se utilizaron certificados fraudulentos para espiar un gran número de cuentas de Gmail iraníes. Aunque el incidente de eMudhra parece diferir en cuanto al mecanismo y actualmente se afirma que no hay indicios de explotación en navegadores, la lección general sigue siendo la misma: cuando se socava la confianza en los certificados —especialmente mediante fallos en la generación de claves—, los atacantes podrían aprovechar esa misma debilidad de la cadena de confianza para facilitar suplantaciones de tipo «man-in-the-middle» (intermediario).
Qué deberían vigilar a continuación los equipos de defensa y los usuarios
Para la mayoría de los usuarios, el paso práctico más importante es mantener actualizados los navegadores y el software cliente para recibir a tiempo las medidas de mitigación aplicadas a los almacenes de confianza. Para los equipos de seguridad, la cuestión más urgente es determinar si los sistemas que no son navegadores (aplicaciones personalizadas, clientes integrados o entornos que omiten la Transparencia de certificados) también incorporan las actualizaciones de emergencia de confianza, ya que la advertencia de Mozilla sugiere que la falta de controles de transparencia podría dejar una superficie de ataque adicional más allá de los principales navegadores.
Este artículo se publicó originalmente con el título «Empresas tecnológicas se apresuran a bloquear 8 certificados de eMudhra por riesgo de phishing» en Crypto Breaking News, tu fuente de confianza de noticias sobre criptomonedas, Bitcoin y actualizaciones de blockchain.