Backdoor

Backdoor es una iniciativa de auditoría de seguridad para el software crítico de Latinoamérica: sistemas de pago, control de redes eléctricas y de agua, telecomunicaciones y registros clínicos.

El trabajo combina modelos de IA, que analizan código fuente y binarios, con especialistas que verifican cada resultado. El objetivo es que las vulnerabilidades de estos sistemas sean identificadas y corregidas por sus responsables antes de ser explotadas.

Un sistema de pagos, una red eléctrica o un registro clínico dependen de millones de líneas de código, y un solo error en cualquiera de ellas puede comprometer la confidencialidad, la integridad o la disponibilidad del sistema completo. En infraestructura crítica, ese efecto alcanza a clientes, pacientes y usuarios que no tienen relación directa con el software.

En 2018, el Banco de Chile registró transferencias fraudulentas al extranjero a través de la red SWIFT. Ese mismo año, varios bancos mexicanos sufrieron desvíos de fondos mediante sus conexiones al sistema de pagos interbancario.

Una auditoría de seguridad a fondo es costosa y depende de especialistas escasos, por lo que en la práctica se concentra en los sistemas nuevos o más expuestos. En la región, los equipos de seguridad son reducidos y una parte relevante del software crítico es antiguo o ya no recibe mantenimiento de su proveedor: buena parte de ese código nunca ha sido auditada.

Los modelos de IA actuales pueden leer bases de código completas, seguir el flujo de datos entre componentes y señalar condiciones de error que una revisión manual suele pasar por alto. Eso cambia la economía de la auditoría: revisar un sistema antiguo deja de ser un proyecto reservado a quien puede costearlo.

Aplicada de forma sistemática, la misma capacidad permite auditar sistemas que nunca han sido revisados. Backdoor tiene por objeto aplicarla, en primer lugar, al software del que depende la región.

Los modelos de IA ejecutan la búsqueda inicial sobre código fuente, binarios y dependencias, y documentan cada posible vulnerabilidad con su evidencia técnica. Ningún resultado se informa sin ser reproducido por un especialista.

Confirmada una vulnerabilidad, se entrega al equipo responsable el detalle técnico y una propuesta de corrección. El cierre se verifica una vez desplegada la corrección.

Las auditorías se realizan solo con autorización expresa de la organización responsable de cada sistema, y sus resultados son confidenciales.

Durante los próximos meses, Backdoor realizará auditorías con un grupo inicial de organizaciones que operan o mantienen software crítico en la región.

A partir de este trabajo se elaborarán recomendaciones en las siguientes materias:

• Gestión de vulnerabilidades

  Procesos internos de reporte, priorización y seguimiento de correcciones.

• Software heredado

  Corrección de sistemas antiguos sin interrupción de su operación.

• Dependencias

  Inventario y mantenimiento de componentes abiertos y de terceros.

• Proveedores

  Requisitos de corrección, soporte y transparencia para proveedores de software crítico.

Backdoor está abierto a la colaboración con equipos de seguridad, investigadores y organizaciones de la región.