El ataque al Museo del Louvre podría interpretarse como una verdadera prueba de penetración física realizada por atacantes que utilizaron técnicas preparatorias avanzadas de OSINT y CTI (Inteligencia de Amenazas Cibernéticas): reconocimiento detallado, estudio de cambios, flujos y vulnerabilidades de procedimiento, que crearon las condiciones para el robo del siglo.

El increíble fallo en el sistema de seguridad del Louvre: la contraseña de los servidores era el nombre del museo

El medio Libération de la mano de CheckNews ha podido detallar una serie de errores de seguridad garrafales que sufría el museo. Uno de ellos, por ejemplo, implicaba el uso del mismo nombre del Louvre como contraseña para servicios críticos.

"LOUVRE", la contraseña del Louvre

En una serie de documentos oficiales publicados por el portal, podemos leer no solo cómo se gestaron estos fallos informáticos, sino la magnitud de los mismos, que estuvieron presentes durante al menos una década en el museo.

CheckNews cita una auditoría de sistemas informáticos realizadas por agentes y expertos de la ANSSI, que buscaban probar la red de seguridad de la institución. Hablamos de una auditoría realizada a finales de 2014.

Con esta premisa, la ANSSI estableció que desde varios puntos de acceso, era posible desde "comprometer la red de seguridad" hasta "modificar los derechos de acceso otorgados a una credencial al comprometer la base de datos utilizada por el sistema de control de acceso".

También era posible dañar el sistema de videovigilancia con tan solo comprometer unos servidores internos que la misma ANSSI calificaba como obsoletos. El organismo sentenció que todos estos fallos serían fácilmente explotables por atacantes externos al museo.

No solo eso; para acceder a uno de los programas críticos del sistema, la contraseña era THALES. Por si fuera poco, estos entornos estaban aderezados con sistemas y piezas de software ya obsoletos.

¿Por qué THALES? Pues bien, Thales era la desarrolladora del software Sathi, utilizado para la "supervisión de la videovigilancia analógica y el control de accesos" del museo, comprado por la institución artística en el año 2003. Thales ya no desarrolla esta solución.

El sistema de seguridad tenía contraseñas triviales.

El «robo del siglo» sigue conmocionando a Francia, y algunos periódicos han informado sobre graves fallos de seguridad en el museo más visitado del mundo. Documentos oficiales que datan de 2014 y se actualizan hasta 2024 parecen demostrar que las contraseñas de los sistemas de videovigilancia eran extremadamente sencillas: » LOUVRE » y » THALES «, los nombres del museo y del software de seguridad encargado de su protección, respectivamente.

El descubrimiento, publicado por Libération , arroja luz sobre un sistema considerado impenetrable, pero que presenta claras vulnerabilidades. La ministra de Cultura, Rachida Dati, inicialmente a la defensiva, declaró que «se habían encendido las alarmas», pero posteriormente reconoció ante la Comisión de Cultura del Senado que «hubo fallos de seguridad» y que será necesaria una investigación exhaustiva para determinar quién es el responsable.

El 20 de octubre, poco después de la inauguración del museo, una carretilla elevadora mal estacionada en la fachada con vistas al Sena facilitó uno de los robos más audaces de la historia del Louvre. Dos hombres irrumpieron en la Galería Apolo, sala que alberga algunos de los tesoros más valiosos de Francia, y en cuestión de minutos destrozaron las vitrinas con amoladoras. El botín, valorado en 88 millones de euros en joyas, fue recogido y transportado por cómplices que esperaban en scooters Yamaha T Max.

Contraseñas y vulnerabilidades de seguridad

Las cámaras, que debían documentar todo el robo, grabaron imágenes borrosas e incompletas. Tras una semana de investigación, la policía francesa realizó dos detenciones, el 25 y el 29 de octubre, y puso en prisión preventiva a un total de siete personas. Cuatro de ellas fueron acusadas formalmente de robo organizado y asociación delictuosa , mientras que tres fueron puestas en libertad. Los principales sospechosos, dos hombres de 37 años, tenían antecedentes penales por hurto desde 2015 y residían en Seine-Saint-Denis.

El problema más vergonzoso se refiere a la gestión digital del museo. En diciembre de 2014, tres expertos de la Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI) realizaron una inspección de la red informática del Louvre, analizando cámaras, alarmas y controles de acceso. El informe destacó un riesgo significativo: quien lograra controlar la red podría facilitar el robo de obras de arte.

Por lo tanto, las contraseñas predecibles/triviales son uno de los elementos más esenciales de todo el sistema de seguridad que facilitó el robo del siglo.

La fortaleza cayó justo sobre la guardia del cofre.

El Louvre, símbolo mundial del arte y la cultura, se encuentra ahora bajo la lupa de la opinión pública y los medios de comunicación. El caso ha puesto de manifiesto problemas de gestión, un mantenimiento deficiente y una falta de transparencia. Para el ministro Dati, candidato a la alcaldía de París, el robo supone un duro golpe político. La investigación administrativa sigue en curso, pero el daño a su reputación ya es evidente: el museo que alberga la Mona Lisa no ha logrado protegerse ni siquiera a sí mismo.

Este episodio se convierte en emblemático de la paradoja tecnológica moderna: las herramientas avanzadas que deberían garantizar la seguridad pueden, si se gestionan mal, convertirse en el punto más vulnerable de instituciones aparentemente sólidas.

Fuentes:

https://www.redhotcyber.com/es/post/robo-en-el-louvre-la-contrasena-del-sistema-de-vigilancia-louvre-ha-sumido-al-museo-en-una-crisis/