Por qué las actualizaciones de software son tu mejor herramienta de seguridad

La actualización que ignoraste podría estar protegiéndote

Todos lo hemos hecho: pulsar "Recordármelo más tarde" en una notificación de actualización, con la intención de instalarla en algún momento, y luego olvidarla durante semanas. Parece inofensivo. En realidad, ignorar las actualizaciones de software es uno de los hábitos más peligrosos de la ciberseguridad personal.

Las actualizaciones de software no solo añaden funciones o corrigen errores molestos. Muchas de ellas parchean vulnerabilidades de seguridad: fallos en el código que los atacantes buscan y explotan activamente. Una vez que se descubre y anuncia públicamente una vulnerabilidad, el reloj empieza a correr. Los atacantes comienzan a escanear internet en busca de sistemas sin parchear casi de inmediato.

Cómo funcionan las vulnerabilidades de seguridad

Cada pieza de software —tu sistema operativo, navegador, apps, complementos— está escrita por personas, y las personas cometen errores. Algunos de esos errores crean vulnerabilidades de seguridad: debilidades que un atacante puede explotar para:

• Ejecutar código malicioso en tu dispositivo sin tu conocimiento
• Obtener privilegios elevados, otorgándose control a nivel de administrador
• Robar datos de tu sistema o de las apps que estás ejecutando
• Bloquear o inutilizar tu software o dispositivo

Se descubren vulnerabilidades constantemente en todo tipo de software. Las encuentran investigadores, empresas de seguridad y, a veces, atacantes. Cuando un investigador legítimo encuentra una, normalmente la reporta al fabricante del software, que entonces crea un parche y publica una actualización.

La carrera entre el parcheo y la explotación

Cuando se hace pública una vulnerabilidad —ya sea porque el fabricante la anunció o porque un investigador de seguridad la publicó— entra en lo que se denomina la ventana de exposición. Durante esta ventana:

• Los atacantes leen los mismos boletines de seguridad y registros de cambios que leen los investigadores y los profesionales de informática
• Desarrollan o descargan rápidamente herramientas de explotación dirigidas a la vulnerabilidad
• Escanean internet en busca de cualquier sistema que aún no haya aplicado el parche

Por eso las vulnerabilidades de día cero (fallos aún desconocidos para el fabricante) son tan peligrosas, y tan valiosas en los mercados criminales. Pero incluso después de publicarse un parche, millones de usuarios y organizaciones tardan días, semanas o meses en instalarlo. Esos retrasos son precisamente en lo que confían los atacantes.

Ejemplo del mundo real: WannaCry

En mayo de 2017, el ransomware WannaCry infectó más de 200 000 ordenadores en 150 países en un solo día. Se propagó explotando una vulnerabilidad de Windows llamada EternalBlue. Microsoft había publicado un parche para esta vulnerabilidad dos meses antes. Cada máquina que WannaCry infectó ejecutaba una versión de Windows sin parchear. El parche estaba disponible; los usuarios simplemente no lo habían aplicado.

Hospitales, operadoras de telecomunicaciones y organismos públicos quedaron paralizados, todo por una actualización que no se había instalado.

Qué se actualiza y por qué todo ello importa

Sistema operativo

Tu sistema operativo (Windows, macOS, Android, iOS) es la base de todo lo que hay en tu dispositivo. Las vulnerabilidades del sistema operativo pueden dar a los atacantes el control completo de tu sistema. Las actualizaciones del sistema operativo son las más críticas de aplicar con prontitud.

Navegador web

Tu navegador es tu interfaz principal con internet, y una de las piezas de software más atacadas. Las vulnerabilidades del navegador pueden permitir que sitios web maliciosos instalen malware, roben datos o tomen el control de tu sesión sin que hagas clic en nada. Chrome, Firefox, Edge y Safari se actualizan con frecuencia.

Extensiones y complementos del navegador

Las extensiones son miniprogramas que se ejecutan dentro de tu navegador. Las extensiones obsoletas pueden contener vulnerabilidades que los sitios web maliciosos explotan. Elimina las extensiones que ya no uses y mantén el resto actualizado.

Aplicaciones

Clientes de correo, suites ofimáticas, lectores de PDF, reproductores multimedia: todos ellos han sido explotados en el mundo real. Los documentos maliciosos que explotan vulnerabilidades sin parchear en Microsoft Word o Adobe Reader son un vector de ataque común.

Firmware

Tu router, tus dispositivos de hogar inteligente y otro hardware también ejecutan software llamado firmware. Las vulnerabilidades del firmware son especialmente peligrosas porque operan a bajo nivel y son más difíciles de detectar. Comprueba periódicamente la web del fabricante de tu router en busca de actualizaciones de firmware.

Cómo mantenerte actualizado sin volverte loco

Activa las actualizaciones automáticas

Para tu sistema operativo, navegador y antivirus, activa las actualizaciones automáticas. Estas son las categorías más críticas, y rara vez hay una buena razón para retrasarlas en dispositivos personales.

• Windows: Configuración → Windows Update → Activar actualizaciones automáticas
• macOS: Ajustes del sistema → General → Actualización de software → Activar actualizaciones automáticas
• iOS/Android: Ajustes → General/Sistema → Actualización de software → Actualizaciones automáticas

Actualiza las apps con regularidad

Para las apps móviles, activa las actualizaciones automáticas en tu tienda de aplicaciones. Para las aplicaciones de escritorio, busca actualizaciones cuando las abras o configura notificaciones de actualización.

No ignores los avisos

Cuando tu sistema te indique que hay una actualización de seguridad disponible, instálala ese mismo día. Si requiere reiniciar, reinicia. La molestia de un reinicio de dos minutos no es nada comparada con el coste de un sistema comprometido.

Elimina el software que no uses

Cada aplicación que tienes instalada es una posible superficie de ataque. Desinstala el software que ya no uses: menos apps significa menos cosas que mantener parcheadas y menos vulnerabilidades que explotar.

La excepción: prueba siempre las actualizaciones en entornos críticos

En los dispositivos personales, aplica las actualizaciones con prontitud. En entornos empresariales o de producción, es buena práctica probar las actualizaciones importantes antes de desplegarlas de forma generalizada: una mala actualización puede provocar ocasionalmente problemas de compatibilidad. Pero para el uso personal, el riesgo de no actualizar supera con creces el riesgo de un parche defectuoso poco frecuente.