Kiteworks, la empresa de transferencia de archivos antes conocida como Accellion, pidió a sus clientes que apagaran sus sistemas ante una advertencia “creíble” de un posible ciberataque. Días después, la orden se levantó.

Una alerta con sello de urgencia

El aviso salió el 25 de septiembre. Según confirmó la compañía a TechCrunch, todo empezó con información recibida de las autoridades: un actor de amenazas podría intentar atacar “algunos sistemas de Kiteworks para clientes”. La noticia la adelantó primero la publicación alemana Heise, que citó un correo enviado a los clientes hablando de un ataque “inminente” que podría ocurrir durante el fin de semana.

Frank Balonis, responsable de seguridad de la información de Kiteworks, explicó a TechCrunch que la advertencia era preventiva. “No tenemos constancia de ningún compromiso de los sistemas de Kiteworks, y este aviso es preventivo, no una respuesta a una brecha confirmada”, declaró. La compañía no reveló qué agencia de inteligencia le pasó el aviso ni qué grupo estaría detrás. El FBI y la agencia de ciberseguridad de EE.UU., CISA, no respondieron a las peticiones de comentario de TechCrunch.

El correo enviado a los clientes pedía apagar los sistemas antes del fin de semana “para protegerse contra posibles ataques de día cero”. Kiteworks no podía confirmar si había otras vías de acceso indebido. Balonis añadió que la versión 9.5.1, la más reciente, ya cubre todas las vulnerabilidades conocidas y recomendó su uso.

Nueve horas de apagado preventivo

La medida fue inusual por su alcance. Según recogió Infosecurity Magazine, la recomendación afectaba a los clientes que gestionan sus propios sistemas, ya sea en sus instalaciones o en AWS/Azure. Kiteworks también apagó durante ese tiempo los sistemas que aloja en nombre de sus clientes.

El apagado duró nueve horas el 25 de septiembre. El 27 de septiembre, la compañía actualizó su postura: los clientes ya pueden volver a encender sus sistemas. “Los clientes con Advanced Forms autoalojados deben ponerse en contacto con el soporte”, indicó Kiteworks. “Todos los sistemas que Kiteworks aloja en nombre de los clientes se han reactivado y funcionan con normalidad”.

Tampoco hubo confirmación de una brecha. Balonis insistió en que no había informes de compromiso y que la recomendación era una precaución mientras seguían trabajando con las autoridades federales.

Un sector marcado por los ataques

Lo que no está claro es qué amenaza concreta motivó la alerta. La especulación apunta a que un actor malicioso podría estar preparando la explotación de una vulnerabilidad de día cero, pero no hay detalles públicos.

El contexto ayuda a entender la preocupación. Kiteworks ya sufrió un incidente grave antes de cambiar su nombre: en 2021, cuando aún era Accellion, una vulnerabilidad en su aplicación de transferencia de archivos permitió a un grupo de extorsión robar datos de cientos de organizaciones. En campañas más amplias contra productos de transferencia de archivos, los atacantes se hacían con copias de datos enviados por internet que seguían en los servidores y amenazaban con publicarlos si no se pagaba un rescate.

Las plataformas de transferencia gestionada de archivos han sido un objetivo recurrente. Accellion, GoAnywhere, Cleo y MOVEit han sufrido brechas. La campaña MOVEit de 2023, atribuida al grupo Cl0p, comprometió a cerca de 3.000 clientes corporativos y dejó comprometidos los datos de más de 90 millones de usuarios finales.

La medida de Kiteworks generó reacciones encontradas entre expertos. John Strand, de Black Hills Information Security, aseguró que nunca había visto algo así: “Esto es una locura. No es un ataque activo. La gente no está siendo atacada activamente y, sin embargo, el proveedor dice a los clientes que desconecten sus sistemas”.

Phil Wylie, consultor senior de Suzu Labs, defendió la decisión como un ejemplo de uso proactivo de la inteligencia. “Cuando la inteligencia creíble sugiere que un ataque puede ser inminente, las organizaciones no deberían esperar a que se confirme un compromiso antes de actuar”, afirmó.

Por ahora, Kiteworks asegura que no tiene constancia de que sus sistemas se hubieran visto comprometidos y que la alerta fue preventiva. La orden de apagado, en cualquier caso, ya se ha levantado: los servidores pueden volver a estar en línea.