El Instituto Holandés para la Divulgación de Vulnerabilidades (DIVD), una organización dedicada a investigar vulnerabilidades y proteger servicios informáticos de alcance global, fue víctima a finales de septiembre de un ciberataque que explotó fallos de día cero y que estuvo impulsado por una inteligencia artificial capaz de actuar de manera autónoma.
No es la primera vez que la institución se convierte en blanco de un ataque. Sin embargo, esta vez llamó especialmente la atención la forma en que se produjo la ofensiva, con un comportamiento que los especialistas consideraron fuera de lo habitual.
De acuerdo con el portal especializado SecurityWeek, el sistema decidía cada acción por su cuenta, a gran velocidad y siguiendo una lógica aparentemente errática. En determinado momento, el propio agente llegó a interferir en su ataque de intermediario con otro de fuerza bruta, una acción que, según los expertos, difícilmente realizaría un atacante humano.
Lejos de tratarse de una operación sofisticada y cuidadosamente planificada, el ataque se caracterizó por ser caótico, automatizado y sin una dirección clara. El citado medio describe al sistema actuando “a la velocidad de la luz y con una lógica descuidada”. Más que un agente ejecutando un plan preciso, su comportamiento se asemejaba al de una máquina descontrolada recorriendo los servidores y probando diferentes acciones por su cuenta.
Todo comenzó el 21 de septiembre en el sistema de tickets de soporte del instituto. El DIVD utiliza Zammad, una plataforma de soporte técnico similar a las empleadas por miles de organizaciones. Allí existían dos vulnerabilidades de día cero que todavía no habían sido identificadas.
El ataque tuvo consecuencias reales. Entre la información sustraída se encontraban direcciones de correo electrónico de voluntarios del DIVD, según confirmó la propia organización en la página habilitada para informar sobre el incidente.
Tras detectar actividad sospechosa, el DIVD bloqueó el acceso a sus sistemas y solicitó apoyo a Merlon Security, una empresa neerlandesa de ciberseguridad que utiliza inteligencia artificial, para reconstruir lo ocurrido y determinar el alcance de la intrusión.
La información robada representa además un riesgo posterior al ataque, ya que las direcciones de correo electrónico podrían utilizarse en campañas de ingeniería social dirigidas contra integrantes de la organización.
El episodio se suma a las advertencias sobre el uso de agentes de IA en operaciones de ciberseguridad y ataques informáticos. Empresas como “¿La IA se sale de control? El riesgo de una escoba demasiado obediente”sobre agentes capaces de realizar tareas de forma cada vez más autónoma, una evolución que también plantea nuevos desafíos para quienes se encargan de proteger los sistemas informáticos.
