Por qué 2023 fue el año de las claves perdidas (y cómo mejorar en 2024)

Como las predicciones sobre ciberseguridad para 2024 se suceden con rapidez en esta época del año, he pensado que sería interesante echar la vista atrás a 2023, ya que hay algunas lecciones importantes que aprender y algunos errores que evitar repetir.

Objetivamente, 2023 no fue un buen año para la seguridad. Hubo más ataques y brechas que nunca, lo que dio lugar a una cantidad sin precedentes de datos y registros expuestos. Se perdió la confianza en las organizaciones y se empañó la reputación. Por si fuera poco, en los últimos doce meses también se produjo un aumento significativo de los ataques de malware. 

Why 2023 was “the year of the lost keys“

If I focus more closely on the areas around certificates and PKI, I might call 2023 “the year of the lost keys.” 

One of the primary reasons malware is still installed is because it generally depends on legitimately created code signing keys that are stolen and used to sign the malware. We saw this in cases where Github, Microsoft, and Intel were the targets of abuse to sign either fake drivers or malware. 

But, that is not the worst of it. In my opinion, the most serious case of a “lost key” was the compromise of a so-called “MSA Key” from Microsoft, which resulted in foreign actors gaining access to 25 organizations’ email accounts, including the US Department of State and Commerce. It’s remarkable that these keys were not stored on an HSM! 

While the CA/Browser Forum introduced new measures this year to protect code signing keys by requiring them to be created and stored in hardware, there are still a number of keys that are lying around on servers and desktops that could but used to propagate malware in the next few years.   

Año nuevo, nuevo compromiso con la seguridad

No permitamos que 2024 sea la secuela de "el año de las claves perdidas". Como dice el refrán, la prevención es a menudo la mejor medicina, lo que significa que las organizaciones deben examinar detenidamente las claves que poseen, dónde están almacenadas y cómo están protegidas. 

Common sense tells us that keeping your house keys under the front doormat (or one of those fake rocks) is not a good approach to securing your home and personal property. Similarly, if your enterprise keys are lying around, you’re just leaving the door open to trouble.

If you’d like to learn how Keyfactor can help you start the new year on securing footing, let’s connect. In the meantime, I hope you have a happy, healthy, (and secure) holiday season.