Un solo hombre frente a los ciberataques que tumbaron miles de webs: hace falta querer hacer algo por los demás

El discreto ingeniero checo Ondrej Surý, de 49 años, tiene 273 seguidores en la red social Mastodon y esta semana estaba de vacaciones en Italia. Tiene también un perfil en la plataforma Patreon en el que 490 personas le dan 1.539 euros mensuales. Allí se describe con estas palabras complejas: “Soy el principal empaquetador de PHP para Debian y de otros paquetes”. Bajo esos oscuros conceptos de software se esconde un trabajo voluntario que la semana pasada salvó millones de webs en todo el mundo.

Cientos de mensajes en redes le agradecían su labor en público y titulares de periódicos le han llamado héroe anónimo. Pero Surý, en una entrevista por vídeo con EL PAÍS desde Toscana, pone esa cara típica de programador amable, poco dado a elogios o exabruptos: “He hecho esto durante mucho tiempo, para mí es lo normal”, dice.

¿Fue realmente tan importante? Sí. Surý hizo la vida muy fácil a miles de desarrolladores que, de otro modo, habrían tenido que trabajar muchas horas. En agosto, dos empresas de seguridad estadounidenses descubrieron dos vulnerabilidades en PHP, el lenguaje de programación que está presente en el 70% de las páginas web del mundo. Antes de publicar el parche, hubo una filtración. Los atacantes podían usar esas vulnerabilidades para modificar la web, robar datos de clientes, actuales o futuros, o incluso acceder a otros ordenadores. En solo unas horas, docenas de agencias y políticos lanzaron alertas de actualización inmediata.

Surý empaquetó ese código parcheado para que fuera rápido de instalar y, sobre todo, lo adaptó a versiones antiguas de PHP. Esta historia tiene dos grandes lecturas. Primero, en 2026, internet sigue dependiendo de la buena voluntad de personas que en sus ratos libres mantienen programas de código abierto: “Cuanto antes la gente se dé cuenta de que el software debe ser mantenido, más seguros estaremos”, dice Surý.

Y segundo, la IA acelera el descubrimiento de vulnerabilidades y, por tanto, la carga de trabajo de estos voluntarios. Un gráfico creado precisamente con ayuda de la IA por un programador conocido como 0xosprey recoge en una web las vulnerabilidades que se registran en la lista oficial de CVE (Vulnerabilidades y Exposiciones Comunes, en sus siglas en inglés) para observar el crecimiento. La curva explica, en parte, algunas declaraciones de políticos preocupados, como el ministro de Defensa de Reino Unido, Wes Streeting, quien la semana pasada instó a los británicos a acumular agua y comida en casa por las múltiples crisis que enfrenta el mundo, entre ellas los ciberataques.

¿De verdad hay miles de voluntarios manteniendo pilares de internet? “Es totalmente cierto”, explica Courtney Miller, profesora de la Universidad George Washington. “El software de código abierto es un movimiento sostenido por voluntarios. Muchas empresas se benefician de él, pero, en última instancia, buena parte lo lideran individuos. A menudo hay una sola persona manteniendo un proyecto”, añade. Como son voluntarios, es frecuente que dejen de mantenerlo por razones como un cambio de trabajo, pérdida de interés o quizá falta de tiempo. Es un extraño riesgo añadido en el mundo moderno.

Internet no es solo una red. Es un increíble mamotreto de pequeñas piezas que se comunican entre sí. Cada una es vital a su manera. Entre programadores, se ha popularizado una viñeta de Randall Munroe, extécnico de robótica de la NASA y autor del webcómic xkcd, que han adaptado al trabajo de Surý. “Cada pieza de infraestructura digital se apoya en componentes de código abierto”, dice Daniel Stenberg, desarrollador sueco que creó y mantiene desde hace décadas curl, una herramienta de transferencia de datos presente en miles de millones de dispositivos. “Todo el que crea software lo sabe. La falta de visión y la mentalidad de ‘no estamos obligados a pagar, así que no pagamos’ es lo que hace que las peores situaciones se repitan una y otra vez”, añade Stenberg, señalando a las empresas que se aprovechan de la situación.

En los últimos días fue PHP, pero esto ya no va a parar. “Hay cientos de programas en la misma situación”, explica Michael Schwartz, director técnico de Censys, empresa de ciberseguridad que escanea continuamente todo internet. “Son como piezas importantes de coches de distintos fabricantes que solo mantienen un pequeño grupo de voluntarios. Si un fallo en una pieza permitiera a alguien abrir o tomar el control de un coche, millones de vehículos estarían en riesgo, sin importar la marca”, explica Schwartz.

El problema con Surý no es que haga un trabajo imposible de replicar. Pero a él le resulta muy fácil de hacer por su experiencia y conocimiento: “Llevo mucho tiempo haciendo esto, es mi pan de cada día”. Si tuviera que hacerlo otra persona, debería implicarse mucho para aprender. El ingeniero checo ve ahí el principal reto: “Cuando yo empecé con el software libre, era algo fresco, nuevo y emocionante. No estoy seguro de que las nuevas generaciones lo sigan viendo así”. Estamos en otro mundo: “Ahora todo se ha acelerado: internet va mucho más rápido. Tenemos la IA. Quizá los jóvenes se sienten abrumados por la cantidad de cosas entre las que pueden elegir. Hace falta una determinada mentalidad: querer hacer algo por los demás”, añade.

Quedan otros candidatos para ir tomando las riendas de todo este software: gobiernos y empresas. Ninguna solución es ideal. La aspiración es que la nueva regulación responsabilice a empresas por el software cerrado que lanzan y no mantienen: “El problema es la responsabilidad. Nos hemos acostumbrado a que todos estos dispositivos tengan fallos, a que sea normal que el software tenga errores. Pero no creo que sea aceptable. Las empresas que ganan dinero con productos comerciales tienen que rendir cuentas”, dice Surý. “Y deberían contribuir a financiar los proyectos” de software libre que usan, añade Stenberg.

Habrá más vulnerabilidades

Esta fragilidad y la irrupción de la IA se combinan en un reto nuevo. Es cierto que la IA puede acelerar los ataques, pero también permite mejorar la defensa. Habrá un permanente juego de gato y ratón a una velocidad que será más difícil de soportar para tan poca gente: “La investigación de vulnerabilidades ha sido siempre una tarea tediosa. Las nuevas herramientas de IA aceleran ese proceso de forma exponencial, así que cabe esperar que aparezcan más vulnerabilidades. Es como una carrera armamentística: todo mejora, pero lo hace tanto para los defensores como para los atacantes”, subraya Schwartz, el director técnico de Censys.

Es en el fondo carga nueva de trabajo para quien vigila el software: “Es muy posible que vayamos hacia más crisis así”, valora Jesús María González Barahona, catedrático de Ingeniería Telemática de la madrileña Universidad Rey Juan Carlos. “La probabilidad de que esto ocurra de forma masiva con componentes que se utilicen mucho no es cero y puede ocurrir que haya un momento donde se detecte una vulnerabilidad que alguien pueda explotar de forma muy rápida y cause problemas en la infraestructura crítica. Es un problema conocido en la comunidad que deberían dedicarse más recursos a eso, tanto de empresas como recursos públicos”, concluye.

Fuente: El Pais