El código abierto utilizado por el gobierno del Reino Unido guarda serias vulnerabilidades, poniendo en riesgo diversas credenciales, incluido el acceso a cuentas de Microsoft, según ha revelado una investigación realizada por la firma ControlPlane. El estudio, que examinó 349 repositorios distribuidos en 33 organismos públicos, detectó fallos de seguridad en dos tercios de ellos, de acuerdo con un informe publicado por la revista WIRED.
Desde 2017, las entidades públicas en Reino Unido están obligadas a publicar el código que desarrollan bajo licencias abiertas para reducir costes, fomentar la colaboración y permitir que usuarios externos mejoren los proyectos. Precisamente, fue esta apertura la que permitió a Chris Nesbitt-Smith, investigador en seguridad de ControlPlane, descubrir múltiples vulnerabilidades.
Mediante herramientas de inteligencia artificial como Claude Opus y Sonnet, Nesbitt-Smith detectó fallos críticos en el código público. Uno de los casos más alarmantes fue el de la Planning Inspectorate, que dejó expuestas credenciales de Microsoft Entra ID en GitHub durante 18 meses sin ser eliminadas, visibles para cualquiera que las encontrara. 
ControlPlane explicó en su blog que con un único token aún activo era posible acceder a todas las colecciones de sitios de SharePoint en el entorno, así como a bibliotecas sensibles y cuentas privadas de OneDrive de empleados. Esto reflejaba una ampliación del alcance mucho mayor que la prevista para la integración inicial. En otras palabras, un atacante con esas credenciales podía leer y modificar información en toda la infraestructura Microsoft 365 de la organización.
Ante estas acusaciones, un portavoz de Planning Inspectorate aseguró que la actividad del investigador fue detectada inmediatamente por sus herramientas de monitorización y que ya estaban gestionando el caso como un incidente cibernético cuando les contactaron. Añadió que corrigieron la vulnerabilidad en un plazo de 20 minutos tras el aviso y confirmaron que no se produjo ninguna filtración de datos. Asimismo, garantizan haber reforzado sus sistemas y procesos para evitar futuras incidencias y agradecen la labor del investigador.
Una problemática extendida
Este no es un caso aislado. Entre otros problemas detectados se encuentran una brecha de control de acceso en un sistema de adquisición del Departamento de Educación y una filtración de tokens API en el portal de datos abiertos del gobierno escocés, así como varios más en otras entidades públicas.
La investigación empleó inteligencia artificial para identificar estas fallas, aunque Nesbitt-Smith puntualizó que muchas de ellas son fallos básicos y evitables, alejadas del nivel de sofisticación que suele preocupar en los ciberataques mediáticos. «Son errores absurdos», comentó en declaraciones a WIRED.
Este informe surge en un contexto en el que se está utilizando la inteligencia artificial para detectar vulnerabilidades y se han reportado ataques a infraestructuras críticas, lo que genera cuestionamientos sobre la gestión interna de la seguridad y el porqué de que estos fallos sean identificados por investigadores externos.
Olly Maxwell, analista principal de operaciones de seguridad en Huntress, destacó la importancia de esta situación: «Que un investigador detectara más de 100 vulnerabilidades serias en decenas de organismos públicos utilizando una inteligencia artificial de consumo y un portátil debería ser una señal de alarma sobre la asimetría en las amenazas». Maxwell apuntó además que la IA no creó estas vulnerabilidades, pero sí ha democratizado el acceso a su descubrimiento.
No hay que renunciar al código abierto
Maxwell advirtió que los repositorios públicos están siendo constantemente revisados por hackers en busca de falencias, por lo que si un investigador puede identificar estos fallos, es posible que también los estén encontrando actores maliciosos. No obstante, enfatizó, no siempre los atacantes hacen uso inmediato de estas credenciales, sino que pueden almacenarlas para establecer persistencia y utilizarlas cuando tengan beneficios estratégicos, ya sean geopolíticos o económicos.
El experto argumentó que la solución no pasa por restringir los repositorios o abandonar la filosofía de código abierto. El verdadero problema yace en fallos graves dentro de la gobernanza de la cadena de suministro de software y la higiene en DevSecOps. «Exponer credenciales de Microsoft Entra ID con acceso global en un repositorio público de GitHub no es consecuencia del código abierto, sino una ruptura grave en las prácticas básicas de seguridad», señaló.
Maxwell concluyó que existe una gran diferencia entre ser víctima de un sofisticado exploit de día cero y entregar, directamente, las credenciales de producción a los adversarios. Por ello, reclamó que el gobierno debe implementar controles de seguridad estrictos y automatizados en toda la cadena productiva de software y manejar la seguridad de identidades con el rigor operativo que requiere.
