Escritorio remoto abierto a Internet: la puerta que sigue abierta desde 2020

Si tu empresa tiene el escritorio remoto abierto a Internet, tiene un incidente pendiente de fecha. Es la puerta de entrada más usada del ransomware en pymes y la más fácil de cerrar.

Cómo llegamos aquí

Marzo de 2020. Hubo que sacar a todo el mundo de la oficina en 48 horas y alguien abrió el puerto del escritorio remoto en el router porque era lo único viable ese día. Fue una decisión razonable entonces. El problema es que sigue abierto seis años después y nadie se acuerda.

Por qué es tan peligroso

Un servicio de acceso remoto expuesto recibe intentos de acceso automatizados de forma continua, día y noche. Los atacantes prueban credenciales filtradas y contraseñas comunes hasta que una funciona. No hay que ser un objetivo elegido: basta con estar visible.

Y cuando entran, entran en un equipo dentro de tu red, con la sesión de un usuario legítimo. A partir de ahí buscan el directorio activo y las copias de seguridad.

Qué hacer, en orden

1. Cierra el acceso directo. Ningún escritorio remoto debe ser accesible desde Internet sin una capa previa.
2. Publica el acceso solo a través de VPN o de una plataforma de acceso con verificación de identidad y de dispositivo.
3. Doble factor obligatorio en ese acceso, incluido para dirección y proveedores.
4. Restringe por origen cuando sea posible: solo desde los países o las direcciones desde las que realmente trabajáis.
5. Actualiza el dispositivo de VPN. Las vulnerabilidades en concentradores VPN han sido protagonistas de los últimos años; un dispositivo sin actualizar es peor que no tenerlo.
6. Revisa los accesos de proveedores. Cuentas permanentes de mantenimiento con contraseña compartida son un clásico: acceso puntual, autorizado y registrado.
7. Bloquea tras intentos fallidos y revisa los registros de accesos correctos fuera de horario.

El caso de las cuentas de proveedor

Muchos incidentes no entran por tus empleados sino por el acceso permanente de un proveedor informático o del fabricante de una máquina. Su seguridad es tu riesgo. Toca inventariar quién tiene acceso, con qué credencial y quién lo revisa.

Lo que verás en el análisis externo

En el informe gratuito aparecen exactamente estos servicios: qué tienes publicado, con qué software y con qué versión. Es habitual que la dirección descubra ahí un acceso remoto que creía cerrado hace años, o un entorno de pruebas con datos reales.

Cerrarlo suele costar una tarde. Escríbenos y empezamos por ver qué tienes abierto.