China’s largest cybersecurity firm, Qihoo 360, ha expuesto inadvertidamente su propia clave privada SSL wildcard al incluirla directamente dentro del instalador público de su nuevo asistente de IA, 360Qihoo (Security Claw). La falla, descubierta el 16 de marzo de 2026, es un error clásico de seguridad operacional por parte de una empresa en la que confían más de 461 millones de usuarios.

La mayor empresa de ciberseguridad de China, Qihoo 360, ha expuesto inadvertidamente su propia clave privada SSL wildcard al incluirla directamente dentro del instalador público de su nuevo asistente de IA, 360Qihoo (Security Claw).

El fallo, descubierto el 16 de marzo de 2026, es un error de seguridad operacional de manual por parte de una compañía en la que confían más de 461 millones de usuarios para proteger sus vidas digitales.

Security Claw es un envoltorio personalizado construido sobre el marco del navegador OpenClaw, alojado en https://myclaw.360.cn:19798.

Lukasz Olejnik, quien descargó el instalador e inspeccionó su estructura de directorios, encontró una clave privada TLS wildcard de grado producción sin protección dentro del paquete, en la ruta /path/to/namiclaw/components/Openclaw/openclaw.7z/credentials.

El certificado, emitido por WoTrus CA Limited, tiene el Subject CN=*.myclaw.360.cn — una designación wildcard que significa que es criptográficamente válido para todos los subdominios bajo myclaw[.]360[.]cn.

Su ventana de validez va del 12 de marzo de 2026 al 12 de abril de 2027, y la clave privada RSA correspondiente fue confirmada ejecutando comprobaciones del módulo OpenSSL, que mostraron hashes MD5 idénticos tanto para el certificado como para la clave, demostrando que son un par coincidente.

Clave privada expuesta

Una clave privada SSL/TLS es la base criptográfica de HTTPS. Su posesión permite a un adversario realizar varios ataques de alto impacto:

• Intercepción Man-in-the-Middle (MitM) — descifrar silenciosamente todo el tráfico entre los usuarios y los servidores de IA de 360.
• Suplantación de servidor — montar un endpoint falso de myclaw[.]360[.]cn que los navegadores confían como legítimo.
• Recolección de credenciales — servir páginas de inicio de sesión convincentes que capturan nombres de usuario y contraseñas.
• Secuestro de sesiones de IA — interceptar o manipular consultas enviadas al backend de IA por completo.

Dado que la clave cubre todos los subdominios, el radio de impacto no se limita a un solo endpoint: toda la infraestructura de myclaw[.]360[.]cn quedó teóricamente comprometida en el momento en que el instalador se hizo público.

Tras la divulgación pública, se informó que el certificado fue revocado. Sin embargo, debido al comportamiento de caché del OCSP (Online Certificate Status Protocol), algunos clientes aún pueden recibir una respuesta de estado "válido" desde búsquedas en caché, lo que significa que la revocación no es instantánea ni universal.

El momento hace que el incidente sea particularmente embarazoso. El fundador de Qihoo 360 promocionó públicamente Security Claw con la promesa de que la plataforma "nunca filtraría contraseñas", una promesa que el producto incumplió antes de que terminara su día de lanzamiento.

Con una valoración de 10 mil millones de dólares y una identidad de marca centrada en la seguridad construida durante dos décadas, incluir una clave privada wildcard en un archivo zip descargable es un fracaso fundamental en las prácticas de desarrollo de software seguro, del tipo que las organizaciones suelen advertir a sus propios clientes que eviten.