WikiLeaks hizo historia esta semana al publicar el mayor paquete de documentos confidenciales de la CIA, incluyendo más de 7.818 páginas web, 943 archivos adjuntos y cientos de millones de líneas de código. Llamada “Vault 7”, la colección incluyó una serie de herramientas de hacking y de espionaje cibernético utilizadas por la CIA entre 2013 y 2016.
Entre las herramientas que se filtraron están varias de malware, virus y sistemas de control remoto capaces de infectar Windows, MacOS, Linux, Android e iOS.
WikiLeaks publicó información general sobre las herramientas, pero también dijo que posee los detalles de una serie de vulnerabilidades de “Día-Cero”, que la organización no está publicando todavía, como informa Krebs on Security.
Día Cero, o “Zero-Day”, son errores que han abierto el software hasta vulnerabilidades activas y sobre las cuales los desarrolladores del software no son conscientes. Google tiene su propio “Proyecto Cero”, que identifica vulnerabilidades, notifica al desarrollador y espera 90 días antes de publicarla, independientemente de si el desarrollador la ha arreglado. Pero ese no es el caso de todas las compañías.
El editor en jefe de WikiLeaks, Julian Assange, dijo en una conferencia de prensa que “después de considerar lo que creemos que es la mejor manera de proceder, y escuchar llamadas de algunos de los fabricantes, hemos decidido trabajar con ellos para darles acceso exclusivo a detalles técnicos adicionales que tenemos, para que las soluciones se puedan desarrollar e implementar”. Solo cuando las vulnerabilidades estén determinadas y arregladas, WikiLeaks publicará los detalles.
WikiLeaks publicó una encuesta en Twitter, y la mayoría de los encuestados respondió que la organización debería trabajar con compañías de tecnología en soluciones.
Tech companies are saying they need more details of CIA attack techniques to fix them faster. Should WikiLeaks work directly with them?
— WikiLeaks (@wikileaks) March 8, 2017
Hasta el momento, WikiLeaks no ha proporcionado ninguna información adicional sobre cómo trabajaría con los desarrolladores para asegurar que las vulnerabilidades de Día-Cero fueran arregladas, o sobre cuánto tiempo espera que tome este proceso.
