En 2023 será el fin del soporte técnico de varios productos de Microsoft altamente utilizados por empresas. Esto nos lleva a abordar la importancia de advertir los riesgos a los que se someten estas organizaciones al continuar utilizando software sin soporte ni parches de seguridad del fabricante.
Los productos de Microsoft tienen un ciclo de vida que dura aproximadamente 10 años, lo que significa que su soporte técnico tiene un tiempo limitado. Este soporte incluye la implementación de nuevas características, corrección de errores y seguridad. Si las empresas continúan utilizando un software y ya no recibe soporte, se arriesgan a que sus sistemas y datos estén expuestos a vulnerabilidades que no podrán ser remediadas.
Desde hace cinco años, las vulnerabilidades reportadas han tenido un aumento sostenido llegando a un crecimiento del 26,5% en 2022. El uso de software sin soporte representa un riesgo considerable, especialmente, en relación a las regulaciones de ciberseguridad que establecen requisitos para el tratamiento y protección de la información.
Teniendo en cuenta estos factores, el 2023 se convierte en un año crucial para las actualizaciones de seguridad de Microsoft. Las organizaciones deberían plantearse seriamente migrar a software más actualizados y con soporte técnico para garantizar la protección de sus sistemas y datos, cumplir con las regulaciones y reducir el riesgo de ataques.
La cuenta regresiva del soporte técnico: fechas claves de finalización de soporte de productos Microsoft
El 10 de enero de 2023 se dio finalización al soporte de 19 productos de Microsoft, entre ellos, los sistemas operativos Windows 7 y Windows 8.1 y el antivirus Windows Defender para Windows 8 y 8.1.
Para el 11 de abril de 2023 se estipuló el fin de soporte para 22 productos más, entre los que encontramos: Exchange Server 2013, Microsoft Office 2013, Windows Server 2008 y 2008 R2.
La tercera fecha relevante es el 11 de julio, para 10 productos que tienen marcada su fecha de fin de soporte como es Microsoft SQL Server 2012.
La última fecha marcada en el calendario de fin de soporte de Microsoft es el 10 de octubre, 21 productos están enmarcados en esta fecha, entre ellos: Microsoft Office 2019 para Mac, Windows Server 2012 y Windows Server 2012 R2.
Según la compañía, la mayoría de los dispositivos con Windows 7 no cumplirán con los requisitos de hardware para actualizar a Windows 11, por lo que se sugiere como alternativa actualizar a Windows 10. Sin embargo, es importante tener en cuenta que la fecha de fin de soporte para Windows 10 está prevista para el 14 de octubre de 2025, por lo que la sugerencia es transferir las operaciones de estos dispositivos a Windows 11.
Para el periodo 2024-2027 también se esperan finales de soporte importantes:
Octubre de 2025: Fin de soporte para Exchange Server 2016 y 2019, Microsoft Office 2016 y 2019, y Windows 10 2015 LTSB. Es importante tener en cuenta que Windows 10 2015 LTSB es el último sistema operativo que Microsoft lanzó como "Long Term Servicing Branch", esto significa que después de la fecha mencionada, esta versión no recibirá más actualizaciones, por lo que es recomendable planificar la transición a una versión más reciente.
-
Julio de 2026: fin de soporte para SQL Server 2016.
-
Octubre de 2026: fin de soporte para Office LTSC 2021.
-
Enero de 2027: fin de soporte para Windows Server 2016 y Windows Defender para Windows Server 2016.
-
Octubre de 2027: Fin de soporte para SQL Server 2017.
Ejemplos de casos reales de impactos por falta de actualización y soporte en productos de Microsoft
En Chile se han establecido regulaciones específicas para la protección de datos personales, gestión de seguridad de la información y uso de la firma electrónica. Como es el caso del Decreto Supremo N°83 sobre política de seguridad de la información que deben seguir las instituciones públicas y empresas privadas, o el Plan Nacional de Ciberseguridad, que establece estrategias y medidas para mejorar la seguridad en el ámbito digital en el país. Estas regulaciones son fundamentales para la protección de los derechos y la seguridad de los ciudadanos y las empresas.
En mayo del año 2017 tuvo lugar el ataque global del ransomware WannaCry, fue un ciberataque masivo que afectó a miles de organizaciones en todo el mundo. Este ransomware aprovechó una vulnerabilidad conocida como EternalBlue, que había sido filtrada de la Agencia Nacional de Seguridad de EE. UU. (NSA).
Una vez que WannaCry infectaba un sistema, encriptaba los archivos y pedía un rescate en Bitcoin a cambio de la llave para descifrarlos. El ataque se propagó rápidamente a través de una cadena de vulnerabilidades infectando sistemas sin parches o sin soporte en cuestión de minutos.
El ataque afectó a importantes organizaciones como la Agencia Nacional de Salud del Reino Unido, la empresa de telecomunicaciones española Telefónica y la empresa automotriz francesa Renault, entre otras. Se estima que el ataque infectó a más de 200.000 sistemas en más de 150 países.
Este hecho marcó la importancia de mantener el software actualizado y los parches al día, así como la necesidad de tomar en serio la seguridad cibernética en todas las organizaciones, ya sean grandes o pequeñas. Además, fue un recordatorio de que las cadenas de propagación son una realidad y que las vulnerabilidades en un sistema pueden ser utilizadas para atacar otros sistemas conectados.
Un ejemplo más reciente que destaca la importancia de aplicar actualizaciones y parches es el caso del Estado Mayor Conjunto (EMCO) de las Fuerzas Armadas de Chile. El EMCO utilizaba Microsoft Exchange OnPremise, pero aparentemente no se aplicaron los parches de seguridad necesarios a la velocidad requerida. En septiembre de 2022, se dio a conocer que habían sufrido un ataque que provocó la filtración de casi 400 mil correos, según reportó el periódico chileno Emol. Se cree que el incidente se produjo a través de ProxyShell, que explota tres vulnerabilidades en Microsoft Exchange. Todo esto podría haberse evitado si se hubieran aplicado los parches publicados por Microsoft en 2021 para estas vulnerabilidades.
Estos son solo algunos de los muchos ejemplos que muestran la importancia de mantener nuestros sistemas y productos actualizados, y, aún más relevante, migrar a sistemas que todavía tienen soporte y recibirán actualizaciones en el futuro. Si deseas obtener más información sobre el fin del soporte de Microsoft, te recomendamos visitar su sitio web oficial.
Los peligros de navegar en aguas sin ningún tipo soporte: consecuencias de utilizar productos obsoletos
Aunque los productos pueden continuar funcionando después de la fecha de fin de soporte, esto implica operar sin actualizaciones de seguridad u otros tipos de actualizaciones. Es importante migrar a productos con soporte y actualizaciones continuas para garantizar la seguridad y el rendimiento óptimo de tu sistema.
Los principales riesgos de asociados con el uso de productos que han finalizado su soporte técnico son:
-
Exposición a vulnerabilidades de seguridad no corregidas: los productos que ya no cuentan con soporte técnico pueden tener vulnerabilidades de seguridad que no se corregirán mediante actualizaciones de seguridad. Esto significa que los sistemas y datos podrían estar expuestos a ataques cibernéticos que exploten estas vulnerabilidades.
-
Mayor riesgo de malware: los usuarios pueden estar expuestos a malware que aprovecha las vulnerabilidades no corregidas. Los hackers pueden explotar estas vulnerabilidades para insertar malware en el sistema y así obtener acceso no autorizado a los datos y sistemas.
-
Ataques de phishing: pueden ser más susceptibles a ataques de phishing. Sin actualizaciones de seguridad, los productos sin soporte técnico pueden no tener las defensas adecuadas para protegerte contra estas amenazas.
-
Problemas de cumplimiento: puede ser un problema de cumplimiento para las empresas, especialmente, aquellas que operan en industrias reguladas. Las regulaciones pueden exigir que los sistemas y datos se mantengan actualizados y seguros. El uso de productos sin soporte técnico puede no cumplir con estos requisitos.
-
Cadenas de propagación: las vulnerabilidades que puedan aparecer en un producto sin soporte pueden no sólo implicar un riesgo de ataque sobre este en particular, sino que también pueden servir como vector de entrada y método de propagación entre otros servicios que sí están mantenidos y soportados adecuadamente.
Es importante mencionar, en el contexto de las cadenas de propagación, la importancia de que las empresas tomen en cuenta no solo el riesgo de seguridad individual de los productos sin soporte, sino también, el riesgo de propagación y las posibles implicaciones en la seguridad general de su infraestructura.
Microsoft recomienda a todos sus usuarios migrar a productos con soporte técnico continuo para reducir estos riesgos y proteger los sistemas y datos de los ataques cibernéticos. De esta forma, las empresas pueden garantizar un entorno más seguro y confiable para sus operaciones y cumplir con las regulaciones de ciberseguridad aplicables en su jurisdicción.
Recomendaciones
Una estrategia de ciberdefensa integral actúa de forma preventiva frente al fin de soporte de plataformas, tomando en consideración el impacto del cambio en plataformas que son parte activa en la continuidad operacional.
La planificación toma un rol fundamental en este proceso ya que tomar acción sin considerar impacto y proporción de los cambios puede generar otras brechas en su ciberseguridad que no estén contempladas.
Sin importar si se trata de una pequeña organización que está empezando o una gran corporación que esté avanzada en materia de seguridad, en Widefense acompañamos a las empresas en su recorrido hacia una ciberdefensa integral.
Fuentes
https://bitlifemedia.com/2023/01/exchange-server-2013-soporte/
https://bitlifemedia.com/2023/01/windows-7-soporte/
https://blog.underc0de.org/microsoft-exchange-server-2013-llega-al-final-del-soporte-en-90-dias/
https://learn.microsoft.com/es-es/lifecycle/overview/product-end-of-support-overview
https://www.kaspersky.es/resource-center/threats/ransomware-wannacry