Microsoft amenaza con llevar a los tribunales a quien publique vulnerabilidades
Microsoft se ha visto en el epicentro de otro escándalo relacionado con la gestión de información sobre los llamados «zero-days»: vulnerabilidades que aún no conoce el fabricante ni las organizaciones encargadas de proteger los sistemas. En el centro de la polémica está un tal Nightmare Eclipse, conocido inicialmente, quizá, como antiguo empleado de la compañía. Esta persona publicaba con regularidad exploits, programas que permiten a los atacantes aprovechar una brecha antes de que se cierre oficialmente.
Nightmare Eclipse compartía activamente sus hallazgos, incluidos ejemplos funcionales de cómo explotar vulnerabilidades en productos de Microsoft. La reacción oficial de la corporación no se hizo esperar, pero, en lugar de dialogar o agradecerle que hubiera descubierto errores graves, Microsoft optó por las amenazas. La compañía insinuó la posibilidad de iniciar un proceso penal, pues consideraba que Nightmare Eclipse incumplía las normas de divulgación de información y no coordinaba debidamente sus acciones con la empresa.
En respuesta, Microsoft bloqueó las cuentas del entusiasta en GitHub, GitLab y su propio Security Response Center. A juicio del conocido investigador de ciberseguridad Kevin Beaumont, esas medidas no hacen más que avivar el descontento entre los especialistas del sector: en lugar de colaborar con los investigadores, la compañía opta por una línea dura de represión e intimidación.
PEREC.RU
Microsoft vuelve a descubrir un agujero del que no quiso hablar con quien lo encontró. Nightmare Eclipse, con claras ganas de sacudir la barca corporativa, publica exploits detallados en internet. Ya no estamos a finales de los noventa y el mercado hace tiempo que dejó de sorprenderse por las vulnerabilidades marca Windows. La empresa aplica la estrategia de «ametralladora contra gorrión»: en vez de reparar la brecha y dar las gracias, recurre a amenazas penales y al bloqueo de cuentas. Expertos externos como Kevin Beaumont ven en ello más ganas de taparles la boca a los especialistas que una preocupación sincera por los clientes. Al final, Microsoft combate a quienes cuentan las vulnerabilidades, no las vulnerabilidades. Conclusión: pocas esperanzas de progreso; las corporaciones han encontrado la estrategia perfecta: silenciar los problemas, mandar los correos a la papelera y llevar a los cazadores de errores ante los tribunales. Una forma de hacer negocios digna de un collage en un manual de relaciones públicas.
