Marcela Mexia
Inteligencia Artificial

Octubre Negro: la IA no inventó tus puntos débiles, solo los encontró más rápido

Octubre Negro: la IA no inventó tus puntos débiles, solo los encontró más rápido

Cuando hackearon mi sitio, no fue un genio con capucha. Tampoco una inteligencia artificial de última generación.

Fue mi WordPress. Y no una vez: cuatro.

Me metieron contenido basura que sólo veía Google. Yo le llamo envenenamiento de marca, porque eso fue: mi nombre trabajando para alguien más, sin que yo me enterara.

¿Sabes sobre qué lenguaje corre WordPress? Sobre PHP.

Guarda ese dato. En octubre, PHP fue uno de los protagonistas de lo que los expertos ya bautizaron como "Octubre Negro".

Qué pasó en "Octubre Negro"

En octubre de 2026 salieron a la luz fallas críticas más rápido de lo que muchos equipos podían corregirlas. El 5 de noviembre, The Economist le dedicó su editorial con una advertencia sin rodeos: si el mundo no actúa, viene un desastre cibernético.

Tres casos para dimensionarlo:

  • PHP2Shell. El 21 de octubre, PHP publicó parches de emergencia para dos fallas críticas (9.2 sobre 10) que permitían a un atacante ejecutar código en un servidor sin iniciar sesión. La información se filtró antes de tiempo y el equipo tuvo que adelantar la publicación un día (OfficeChai).
  • Congeladores convertidos en hornos. La noche del 12 de octubre, más de 500 supermercados en Francia amanecieron con sus congeladores en ciclo de descongelado a 50 °C. Toneladas de comida a la basura (HNGN). Tres semanas después, la ola se repitió en al menos siete países europeos (Cybernews).
  • Una llave privada que valía 4. eMudhra, una autoridad certificadora en la que confían Chrome, Firefox, Apple y Microsoft, generó las llaves de ocho certificados intermedios con números diminutos. Una de ellas era literalmente el 4. Una llave bien hecha se escoge entre un número de posibilidades de más de 100 cifras; ésta se adivinaba en un instante (Aikido).

La tesis de The Economist: los defensores van perdiendo

El argumento central es incómodo. La IA, sobre todo los modelos abiertos, le dio a los atacantes una eficiencia y una persistencia que ningún humano tiene. Y la esperanza de que la IA ayudaría más a quien defiende que a quien ataca se está desmoronando.

El editorial da tres razones:

  1. Las mejores armas defensivas están en clubes cerrados. Anthropic (con Project Glasswing) y OpenAI tienen programas por invitación para usar sus modelos más avanzados en ciberdefensa. Según The Economist, hoy ambos necesitan el visto bueno del gobierno de Estados Unidos para admitir a alguien nuevo. Quien se queda afuera se defiende con las mismas herramientas abiertas que usan los atacantes.
  2. Cada parche es un mapa. En cuanto se publica una corrección, la IA del atacante puede leerla, deducir cuál era la falla y atacar a quien todavía no actualiza. Si el parche se filtra antes de tiempo, como pasó con PHP, peor.
  3. Lo básico ahora escala. Un aparato conectado con software viejo o con la contraseña de fábrica siempre fue un riesgo. Lo nuevo es que buscar y explotar esos huecos se automatiza: miles de ataques en paralelo, sin cansancio.

La receta que propone: inclinar la balanza a favor de quien defiende. Que Washington abra más rápido esos programas, que las capacidades ofensivas se queden lejos de los modelos más potentes y que cada organización use IA todos los días para encontrar y cerrar sus propios huecos.

Lo que el titular no te dice

Antes de entrar en pánico, dos matices.

No todo es IA. Un profesor de la Universidad de Columbia consultado por Fortune lo dijo claro: algunos de los incidentes más graves del mes no tuvieron nada que ver con inteligencia artificial. La llave que valía 4, por ejemplo, fue error humano. Puro descuido.

La IA también defiende. Las fallas de PHP no las descubrió un criminal: las encontraron investigadores desde agosto. Uno de ellos, de la firma Calif, trabajó con un modelo de OpenAI; Wiz llegó por su cuenta a otra parte del problema (NeoTeo). El propio equipo de PHP ya usa herramientas de IA para revisar su código. Es la misma tecnología con dos filos.

¿Entonces? El pánico vende clics. A ti no te sirve. Lo que sí te sirve es saber dónde está tu riesgo real.

Qué significa para una PyME en México

Aquí el editorial se vuelve personal.

México está en tierra de nadie. Una PyME de Obregón, Hermosillo o Tijuana no va a estar en la fila de esos clubes de élite. Se defiende con lo que hay. Y lo que hay, por ahora, es poco:

  • Unos 159 millones de intentos de ciberataque al día en 2025, según cifras de FortiGuard Labs citadas por La Crónica. Son alrededor de 58 mil millones en el año.
  • 43,116 incidentes de seguridad informática en dos años, según el INEGI; 79% golpeó al sector privado (Publimetro).
  • Más de 60% de las empresas reportó algún incidente el último año, pero sólo 27% tiene servicios especializados de protección. Faltan más de 77 mil especialistas (El Financiero).
  • Y seguimos sin Ley de Ciberseguridad, tras seis años de discusión (El Financiero).

Tu riesgo no es un modelo de frontera. Es tu módem con la contraseña de fábrica. Los congeladores europeos no cayeron por un ataque de película. Cayeron por controladores conectados a internet, muchos con firmware desactualizado y fallas conocidas (Cybernews).

Ahora piensa en tu negocio: cámaras, checador, terminal punto de venta, el sitio que te hizo "un conocido", el panel del hosting, el módem que nadie toca desde que lo instalaron. Todo eso es una puerta.

Actualizar "cuando haya chance" ya no es estrategia. Si cada parche es un mapa para el atacante, el tiempo entre la corrección y el ataque se encogió. Y ojo: si tu sitio corre en PHP 8.1 o anterior, ya no recibe actualizaciones de seguridad regulares (NeoTeo).

7 cosas que puedes hacer esta semana

Nada de esto requiere un modelo de frontera. Requiere disciplina.

  1. Haz inventario. Anota todo lo que tu negocio tiene conectado a internet: sitio, tienda en línea, cámaras, checador, punto de venta, módem. No puedes proteger lo que no sabes que tienes.
  2. Cambia todas las contraseñas de fábrica. Todas. Hoy.
  3. Hazle tres preguntas a quien te lleva el sitio. ¿En qué versión de PHP corre? ¿Ya se aplicó el parche del 21 de octubre? ¿Cada cuánto actualizan plugins? Si la respuesta es "¿qué es PHP?", ya tienes tu respuesta.
  4. Activa la doble autenticación en correo, banco, hosting, redes sociales y CRM.
  5. Saca de internet lo que no necesita estar ahí. Si tu proveedor necesita entrar a distancia, que sea con su propio usuario y no con el tuyo.
  6. Ten respaldos fuera de línea, y prueba que sí se pueden restaurar. Un respaldo que nunca probaste es una esperanza, no un respaldo.
  7. Capacita a tu gente. La tecnología que encuentra fallas en servidores también escribe correos de phishing impecables. Tu equipo es la primera línea.

La seguridad es higiene, no un producto

A mí me hackearon cuatro veces antes de entenderlo. La ciberseguridad no se compra una vez y ya. Es como lavarte los dientes: nadie lo presume, pero se nota cuando no lo haces.

The Economist le pide a los gobiernos que armen mejor a quienes defienden. Ojalá lo hagan. Pero mientras Washington decide quién entra al club, tú no puedes esperar.

La IA no inventó tus puntos débiles. Solo los encontró más rápido.

Encuéntralos tú primero.

Si no sabes por dónde empezar, en Transformation Trends tenemos un autodiagnóstico gratuito para que sepas en qué nivel está tu empresa: transformationtrends.com/ciber-pyme.

Fuentes

← Volver al blog