{"id":1100,"date":"2026-06-05T15:54:38","date_gmt":"2026-06-05T15:54:38","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/05\/el-incidente-de-nightmare-eclipse-muestra-que-es-posible-que-las-peleas-entre-investigadores-y-proveedores-nunca-desaparezcan-por-completo\/"},"modified":"2026-06-05T15:54:38","modified_gmt":"2026-06-05T15:54:38","slug":"el-incidente-de-nightmare-eclipse-muestra-que-es-posible-que-las-peleas-entre-investigadores-y-proveedores-nunca-desaparezcan-por-completo","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/05\/el-incidente-de-nightmare-eclipse-muestra-que-es-posible-que-las-peleas-entre-investigadores-y-proveedores-nunca-desaparezcan-por-completo\/","title":{"rendered":"El incidente de Nightmare Eclipse muestra que es posible que las peleas entre investigadores y proveedores nunca desaparezcan por completo"},"content":{"rendered":"
\n

Microsoft reabri\u00f3 algunas heridas y ha reavivado el debate durante las \u00faltimas dos semanas sobre la divulgaci\u00f3n de vulnerabilidades y la din\u00e1mica a veces conflictiva que crea entre investigadores y proveedores de seguridad. <\/p>\n

La \u00faltima controversia se produjo cuando Microsoft amenaz\u00f3 con emprender acciones legales penales contra un investigador de seguridad que revel\u00f3 p\u00fablicamente una serie de vulnerabilidades de d\u00eda cero con exploits de prueba de concepto. microsoft insisti\u00f3 en que no recibi\u00f3 detalles<\/a> sobre las vulnerabilidades antes del lanzamiento, y agreg\u00f3 que los defectos no fueron divulgados de manera responsable y pusieron a sus clientes en riesgos innecesarios.<\/p>\n

La disputa p\u00fablica entre Microsoft y el investigador conocido como \u201cEclipse de pesadilla<\/a>\u00ab, que no pudo ser identificado ni contactado para hacer comentarios, provoc\u00f3 consternaci\u00f3n entre algunos profesionales de la seguridad. La contundente respuesta de Microsoft y la reacci\u00f3n resultante revivieron un punto de fricci\u00f3n entre proveedores e investigadores que encuentran e informan fallas en el software que venden.<\/p>\n

\u00abLa pelea se argumenta como una divulgaci\u00f3n coordinada, pero la queja subyacente es personal y espec\u00edfica de una manera que la divulgaci\u00f3n no deber\u00eda serlo, especialmente con un proveedor que ha estado en esto durante tanto tiempo\u00bb, dijo a CyberScoop Katie Moussouris, fundadora y directora ejecutiva de Luta Security.<\/p>\n

\u00abMicrosoft pareci\u00f3 emocionarse y no deber\u00eda haber dicho nada p\u00fablicamente, pero de alguna manera se sinti\u00f3 justificado al llamar a un investigador e involucrar a las autoridades al mismo tiempo\u00bb, dijo. \u00abEso los devuelve a las primeras etapas del duelo por la revelaci\u00f3n de la vulnerabilidad: la negaci\u00f3n y la ira\u00bb.<\/p>\n

El antiguo empleado de Microsoft que trabaj\u00f3 en contacto con la comunidad de seguridad, cre\u00f3 el primer programa de recompensas de la empresa y ha otorgado charlas en conferencias sobre el tema<\/a> Ya en 2013, dijo que la compa\u00f1\u00eda redobl\u00f3 su falta de responsabilidad en toda la saga.<\/p>\n

Microsoft se neg\u00f3 a responder preguntas a ra\u00edz de las consecuencias.<\/p>\n

Nightmare Eclipse insinu\u00f3 una falla y una batalla inminente con el proveedor en una serie de publicaciones de blog previas a la misiva de Microsoft sobre las vulnerabilidades. rojosol<\/a>, Desdefender<\/a>, Martillo azul<\/a>, llave amarilla<\/a>GreenPlasma y MiniPlasma.<\/p>\n

Los atacantes explotaron tres de las seis vulnerabilidades que Nightmare Eclipse lanz\u00f3 antes de que Microsoft las parcheara.<\/p>\n

El investigador afirm\u00f3 que Microsoft se neg\u00f3 a comunicarse, no les pag\u00f3 ni les dio cr\u00e9dito por descubrir e informar algunas de las vulnerabilidades, elimin\u00f3 la cuenta del Centro de Respuesta de Seguridad de Microsoft que usaron para revelar las vulnerabilidades y marc\u00f3 su cuenta de GitHub para su eliminaci\u00f3n. <\/p>\n

\u00abEst\u00e1n demostrando a todos que est\u00e1n intensificando activamente este conflicto\u00bb, escribieron, antes de amenazar a Microsoft con un comunicado a mediados de julio que \u00abasegurar\u00e1 que sus huesos queden destrozados ese d\u00eda\u00bb.<\/p>\n

La divulgaci\u00f3n de vulnerabilidades es una v\u00eda de doble sentido<\/h4>\n

Las caracter\u00edsticas de los procesos adecuados de divulgaci\u00f3n de vulnerabilidades tienen matices y, a menudo, se enmarcan en los ojos del espectador.<\/p>\n

Cualquier baile exitoso entre cazadores de insectos y vendedores se reduce a encontrarse a mitad de camino, dijo Andrew Morris, fundador y arquitecto jefe de GreyNoise. <\/p>\n

Si bien los proveedores deben corregir los defectos del software y priorizar la seguridad, Morris se\u00f1al\u00f3 que la divulgaci\u00f3n irresponsable de vulnerabilidades perjudica tanto a los respondedores de incidentes como a las v\u00edctimas potenciales. <\/p>\n

\u00abPersonalmente, siento que este investigador est\u00e1 siendo extremadamente mezquino. Parece que tienen un inter\u00e9s especial\u00bb, dijo.<\/p>\n

\u00abNo puedes darle algo a alguien y decir que es por la bondad de tu coraz\u00f3n, y luego enojarte cuando no te pagan por ello\u00bb. <\/p>\n

Pero Morris tambi\u00e9n dej\u00f3 claro que los proveedores tienen la responsabilidad de generar confianza entre los investigadores. <\/p>\n

\u00abSi realmente le importa ser el primero en enterarse de los errores en su software, no enterarse una vez que se ha producido un da\u00f1o o una vez que alguien ha sido descubierto, entonces desea cultivar esa confianza con la comunidad de seguridad\u00bb, dijo Morris. <\/p>\n

Microsoft dijo que reconoce que la relaci\u00f3n entre los investigadores de seguridad y los proveedores es cr\u00edtica y, en ocasiones, fr\u00e1gil. <\/p>\n

\u00abValoramos profundamente a la comunidad de seguridad y continuaremos tomando en serio sus comentarios\u00bb, dijo la compa\u00f1\u00eda en su publicaci\u00f3n. en X<\/a>. <\/p>\n

Sin embargo, la compa\u00f1\u00eda se mantiene firme en oponerse a las circunstancias de las revelaciones de Nightmare Eclipse, describiendo sus acciones como ilegales, injustificables e irresponsables. <\/p>\n

\u00abCuando un individuo infringe la ley y participa en actividades maliciosas que causan un da\u00f1o real a nuestros clientes, trabajaremos con las autoridades seg\u00fan corresponda\u00bb, dijo Microsoft sin nombrar al investigador por su apodo. \u00abSeguimos creyendo firmemente en la divulgaci\u00f3n coordinada de vulnerabilidades como base para proteger a los clientes y mejorar nuestros productos. Sabemos que, dada la naturaleza de este trabajo, en ocasiones habr\u00e1 malentendidos. Seguimos comprometidos a participar de buena fe y a brindar una experiencia respetuosa y profesional para todos los investigadores, independientemente de interacciones pasadas\u00bb.<\/p>\n

El costo del retroceso<\/h4>\n

Los investigadores de seguridad buscan defectos por varias razones: pagos de recompensas, reconocimiento, credibilidad de la industria o simplemente la emoci\u00f3n de la b\u00fasqueda que conlleva encontrar vulnerabilidades y solucionarlas.<\/p>\n

En el mejor de los casos, este proceso ocurre entre bastidores, con parches publicados y advertidos a los clientes antes de que ocurra la explotaci\u00f3n.<\/p>\n

Este enfoque colaborativo ha arraigado y mejorado considerablemente, pero todav\u00eda hay casos en los que los investigadores se sienten despreciados. <\/p>\n

\u201cEl p\u00fablico no tiene idea de lo que sucedi\u00f3 detr\u00e1s de escena para juzgar por qu\u00e9 un investigador que previamente coordinaba finalmente se cans\u00f3 y decidi\u00f3 abandonar un d\u00eda cero. [vulnerability]\u00bb, dijo Moussouris. Como tal, est\u00e1 menos inclinada a criticar las acciones de Nightmare Eclipse, y agrega que \u00abparecen ser alguien que necesita ayuda\u00bb. <\/p>\n

Sin embargo, la confianza entre los investigadores y los proveedores de vulnerabilidades se rompe a menudo. A principios de esta semana, el investigador de seguridad Ammar Askar afirm\u00f3 que su \u00faltima interacci\u00f3n con el equipo de seguridad de Microsoft fue tan pobre que decidi\u00f3 revelar p\u00fablicamente cualquier error que encuentre en VS Code en el futuro. Cumpli\u00f3 esa amenaza al dejando caer una vulnerabilidad<\/a> y explotar el c\u00f3digo para un defecto que permite a los atacantes robar tokens de GitHub. <\/p>\n

Si bien acciones como esta pueden sabotear la confianza y abrir una brecha entre los proveedores y los investigadores de vulnerabilidades, el recurso es en gran medida limitado. Moussouris dijo que la mayor\u00eda de las veces los l\u00edmites legales y \u00e9ticos son claros para los involucrados. Los investigadores pueden informar errores, retenerlos, venderlos o publicarlos. \u00abLa \u00fanica l\u00ednea roja es el crimen: usar un defecto para extorsionar o atacar a la gente\u00bb, dijo Moussouris. <\/p>\n

\u00abAmenazar con publicar en una fecha determinada es una amenaza con divulgar, y la divulgaci\u00f3n es legal. El tono puede resultar feo. [Nightmare Eclipse] todav\u00eda no viol\u00f3 ninguna regla ni viol\u00f3 ning\u00fan deber\u201d. <\/p>\n

El momento no podr\u00eda ser peor <\/h4>\n

Ambas partes son en parte responsables de lo sucedido, pero Microsoft empeor\u00f3 las cosas, afirm\u00f3 Morris. Amenazar con acciones legales y adoptar un enfoque agresivo nunca ha funcionado. Construir una buena relaci\u00f3n entre investigadores y proveedores requiere comunicaci\u00f3n abierta y confianza. <\/p>\n

\u00abPens\u00e9 que ya hab\u00edamos superado esto. Resulta que no\u00bb, dijo. <\/p>\n

El incidente de Nightmare Eclipse llega en un momento tenso en este espacio. Los proveedores y sus clientes se enfrentan a una avalancha de m\u00e1s vulnerabilidades, y el aumento de modelos de inteligencia artificial que las descubren est\u00e1 exacerbando este desaf\u00edo, dejando a los expertos en seguridad alarmados por lo que se avecina.<\/p>\n

Las perspectivas sobre d\u00f3nde se descubrir\u00e1n y explotar\u00e1n las vulnerabilidades a continuaci\u00f3n, y con qu\u00e9 impacto, son desconocidas y tremendamente inquietantes. <\/p>\n

Estas se\u00f1ales implican que el sistema cl\u00e1sico basado en CVE con procesos divulgados responsablemente probablemente est\u00e9 roto, dijo Morris. \u00abHay tantos CVE. Es como si esto \u00bfya funciona?\u00bb.<\/p>\n

Por ahora, y a pesar de todos sus defectos, los programas coordinados de divulgaci\u00f3n de vulnerabilidades se consideran ampliamente como el enfoque m\u00e1s sensato y escalable para este dilema.<\/p>\n

\u00abLa divulgaci\u00f3n coordinada es lo que sucede cuando un proveedor tiene suerte. Alguien a quien no contrat\u00f3 le entrega un error real en lugar de usarlo o venderlo. Eso pone toda la carga de mantener viva la coordinaci\u00f3n en el proveedor\u00bb, dijo Moussouris. \u00abLa aplicaci\u00f3n de parches silenciosos sin CVE y la llamada a los investigadores que no siguen su cronograma de divulgaci\u00f3n desperdician la suerte del proveedor\u00bb. <\/p>\n

Hizo hincapi\u00e9 en lo que est\u00e1 en juego: \u00abEspero que Microsoft y todos los proveedores aprendan que la divulgaci\u00f3n coordinada de vulnerabilidades es un regalo y una gracia de la comunidad de investigadores de seguridad para ellos, y la divulgaci\u00f3n p\u00fablica sigue siendo mejor que la no divulgaci\u00f3n o el delito\u00bb.<\/p>\n

Las alternativas a una relaci\u00f3n en deterioro podr\u00edan causar estragos y dejar a todos los proveedores y clientes m\u00e1s susceptibles a los ataques. <\/p>\n

\u00abSi los proveedores desaprenden c\u00f3mo recibir propiedad intelectual y mano de obra gratuita de la comunidad de seguridad en forma de informes de vulnerabilidad con gratitud, nos dirigimos a un mundo donde nadie se molesta en avisar a los proveedores, o se mueven hacia un modelo de divulgaci\u00f3n cronometrada que no da ninguna gracia\u00bb, dijo Moussouris.<\/p>\n

Concluy\u00f3 con un mensaje directo: \u00abLos proveedores de productos escribieron el c\u00f3digo vulnerable, son due\u00f1os del riesgo y deben hacer todo lo que est\u00e9 a su alcance para con sus usuarios para reducir ese riesgo\u00bb. Eso incluye \u201cguardar sus quejas para s\u00ed mismos y aprender de la introspecci\u00f3n sobre la divulgaci\u00f3n coordinada de vulnerabilidades que salieron mal\u201d.<\/p>\n