{"id":1009,"date":"2026-05-28T13:58:00","date_gmt":"2026-05-28T13:58:00","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/28\/zapier-corrige-la-cadena-de-errores-que-segun-los-investigadores-corria-el-riesgo-de-una-apropiacion-generalizada-de-cuentas\/"},"modified":"2026-05-28T13:58:00","modified_gmt":"2026-05-28T13:58:00","slug":"zapier-corrige-la-cadena-de-errores-que-segun-los-investigadores-corria-el-riesgo-de-una-apropiacion-generalizada-de-cuentas","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/28\/zapier-corrige-la-cadena-de-errores-que-segun-los-investigadores-corria-el-riesgo-de-una-apropiacion-generalizada-de-cuentas\/","title":{"rendered":"Zapier corrige la cadena de errores que, seg\u00fan los investigadores, corr\u00eda el riesgo de una apropiaci\u00f3n generalizada de cuentas"},"content":{"rendered":"
\n

Los investigadores de seguridad encadenaron cinco debilidades distintas en el popular servicio de automatizaci\u00f3n del flujo de trabajo Zapier que, si hubiera sido descubierta por primera vez por un actor malicioso, podr\u00eda haber otorgado acceso a millones de cuentas de usuarios y a los sistemas a los que se conectan esas cuentas.<\/p>\n

Las fallas, reveladas por la firma de seguridad Token Security, no requirieron malware ni acceso interno. El \u00fanico requisito previo, seg\u00fan el informe de la empresa, era una cuenta Zapier gratuita. A partir de ah\u00ed, los investigadores encadenaron debilidades que, tomadas individualmente, habr\u00edan parecido rutinarias, pero que en conjunto abrieron el camino hacia uno de los servicios m\u00e1s utilizados de la Internet moderna.<\/p>\n

El software de Zapier se puede configurar para mover datos entre correo electr\u00f3nico, herramientas de relaci\u00f3n con el cliente, procesadores de pagos, calendarios, repositorios de c\u00f3digos y miles de otras aplicaciones. La compa\u00f1\u00eda dice que admite m\u00e1s de 8.000 integraciones de terceros y tiene millones de usuarios, lo que significa que irrumpir en Zapier podr\u00eda convertirse en un ataque de amplio alcance a la cadena de suministro.<\/p>\n

Los investigadores dijeron que un intento de ataque comenzar\u00eda explotando una debilidad en la forma en que los usuarios escriben peque\u00f1os fragmentos de c\u00f3digo como parte de sus automatizaciones. Una vez que se aisl\u00f3 esa caracter\u00edstica, los investigadores recuperaron las credenciales de inicio de sesi\u00f3n que el servicio hab\u00eda intentado descartar. Esas credenciales, a su vez, expusieron un sistema de almacenamiento interno que conten\u00eda m\u00e1s de 1.100 im\u00e1genes privadas del software de Zapier, una de las cuales conten\u00eda una clave de publicaci\u00f3n para un fragmento de c\u00f3digo que se ejecuta dentro del navegador de cada usuario de Zapier que haya iniciado sesi\u00f3n.<\/p>\n

Seg\u00fan el informe, si un atacante actualiz\u00f3 ese c\u00f3digo, podr\u00eda haber actuado como un usuario leg\u00edtimo dentro de la plataforma, creando nuevas automatizaciones, alterando las existentes y aprovechando conexiones que el usuario ya hab\u00eda aprobado para servicios externos. Desde all\u00ed, pod\u00edan ordenar a la plataforma que enviara correos electr\u00f3nicos, moviera archivos, extrajera registros de bases de datos de clientes o publicara mensajes, todo desde cuentas que parecieran completamente leg\u00edtimas.<\/p>\n

Los investigadores enfatizaron que un posible atacante no podr\u00eda haber obtenido contrase\u00f1as o claves de inicio de sesi\u00f3n para esos servicios conectados, ya que permanecen en los servidores de Zapier. Pero debido a que las acciones se habr\u00edan llevado a cabo a trav\u00e9s del propio Zapier, habr\u00edan parecido, para cualquier sistema externo, como las del usuario.<\/p>\n

Un hallazgo separado, descubierto durante la misma investigaci\u00f3n, ilustr\u00f3 cu\u00e1n inmediato puede ser ese riesgo. Los investigadores dijeron que descubrieron una clave funcional vinculada a la cuenta personal del director de tecnolog\u00eda de una empresa externa de inteligencia artificial cuyo software Zapier usaba internamente. Usando esa clave, pudieron enviar un correo electr\u00f3nico desde la cuenta de Gmail del ejecutivo a un buz\u00f3n que controlaban.<\/p>\n

Token Security le dijo a Zapier que la capacidad exist\u00eda pero no la explot\u00f3. Los investigadores confirmaron que ten\u00edan el acceso necesario para insertar una actualizaci\u00f3n maliciosa en el c\u00f3digo que se ejecuta dentro del navegador de cada usuario de Zapier que haya iniciado sesi\u00f3n y, en cambio, informaron los hallazgos en febrero bajo el programa de recompensas por errores de la compa\u00f1\u00eda. <\/p>\n

Los investigadores dijeron que Zapier clasific\u00f3 los problemas en cuatro d\u00edas, los solucion\u00f3 en tres semanas y trabaj\u00f3 con la empresa para permitir la divulgaci\u00f3n. La compa\u00f1\u00eda pag\u00f3 la recompensa m\u00e1xima del programa de 3.000 d\u00f3lares y dice que no tiene evidencia de que las debilidades fueran explotadas antes de que fueran reparadas.<\/p>\n

\u00abVale la pena decirlo en voz alta en una cultura que a menudo castiga a los programas de divulgaci\u00f3n por su lentitud\u00bb, se lee en la publicaci\u00f3n del blog de Token. <\/p>\n

Zapier no respondi\u00f3 a la solicitud de comentarios de CyberScoop. <\/p>\n

El episodio llega en un momento en el que a las plataformas de automatizaci\u00f3n y las herramientas de inteligencia artificial se les otorga cada vez m\u00e1s autoridad permanente para actuar en nombre de los usuarios en docenas de servicios a la vez. Los investigadores de Token Security argumentaron que las debilidades que encontraron no eran exclusivas de Zapier. Dijeron que cada eslab\u00f3n de la cadena era un tipo de error bien documentado. La vulnerabilidad era la cadena misma, y \u200b\u200badvirtieron que es casi seguro que el mismo patr\u00f3n existe en otras empresas que a\u00fan no han analizado.<\/p>\n

Zapier dice que los problemas se han solucionado y no es necesario realizar m\u00e1s acciones. Pero los investigadores sugirieron que las organizaciones con mayor sensibilidad revisen sus registros de automatizaci\u00f3n en busca de cualquier cosa que no hayan creado y consideren reautorizar las conexiones de Zapier a sistemas particularmente sensibles.<\/p>\n

Puede leer el informe de investigaci\u00f3n completo en Sitio web de Token Security<\/a>. <\/p>\n