El Instituto Holandés de Divulgación de Vulnerabilidades (DIVD) fue víctima de un ciberataque que utilizó dos fallos de seguridad en la plataforma Zammad para robar datos de investigadores. Lo más destacable es que el modus operandi sugiere que el ataque fue ejecutado por una IA agéntica, debido a la velocidad y la lógica automatizada observada. El DIVD ha sido elogiado por su total transparencia al reportar el incidente y advertir a otros usuarios que actualicen su software.






Agentes de IA hackearon a los hackers: el Instituto Neerlandés de Divulgación de Vulnerabilidades (DIVD) fue atacado a través de dos errores de día cero en su plataforma de soporte Zammad, abusando de los fallos para secuestrar sesiones, ejecutar código remotamente como el usuario local de zammad y elevar privilegios a root.

Los exploits encadenados tardaron solo segundos en pasar del secuestro de sesión al acceso root, y el jueves, la organización sin fines de lucro de búsqueda de errores señaló que los malhechores robaron datos pertenecientes a sus investigadores de seguridad voluntarios, incluyendo direcciones de correo electrónico de DIVD y potencialmente otros detalles de contacto.

“Todavía estamos investigando exactamente qué datos de qué voluntarios se han visto afectados”, afirmó DIVD en su informe de incidentes https://csirt.divd.nl/cases/DIVD-2026-00014/overview_data_investigation/. “Para los voluntarios de DIVD (y otros), esto significa un mayor riesgo de ingeniería social, ya que facilita que alguien se haga pasar por un miembro de DIVD”.

Una publicación posterior en LinkedIn https://www.linkedin.com/posts/divd-nl_this-is-probably-the-most-painful-and-awkward-activity-7511448012582387714-W3cT?utm_source=share&utm_medium=member_desktop&rcm=ACoAAAX3rawBPm6RIM1LZlSs7tFoRQis8-XnEUo aconsejó a cualquiera que reciba un correo electrónico o solicitud de contacto de alguien en DIVD “que parezca ligeramente extraño” que verifique su legitimidad enviando un correo a communications@divd.nl.

DIVD es también una Autoridad de Numeración de CVE (CNA), y asignó IDs de CVE a los agujeros de seguridad ahora públicos en Zammad, un sistema de tickets de soporte al cliente y helpdesk de código abierto. Son CVE-2026-102489 https://csirt.divd.nl/cves/CVE-2026-102489 y CVE-2026-102490 https://csirt.divd.nl/cves/CVE-2026-102490, y ambos errores recibieron puntuaciones CVSS 4.0 de 9.4, evaluados en el escenario de ataque encadenado.

CVE-2026-102489 permite que atacantes no autenticados logren la ejecución remota de código y filtren sesiones de usuario, mientras que CVE-2026-102490 permite que un usuario local eleve sus privilegios a root.

Las versiones de Zammad de la 6.3.0 a la 6.5.4 son vulnerables a CVE-2026-102489, y también existe en las versiones 7.0.0 a 7.1.3, aunque no es explotable “debido a condiciones del entorno”, según el aviso de DIVD.

Todas las versiones de Zammad son vulnerables a CVE-2026-102490. DIVD aconseja a “todos los usuarios de Zammad actualizar a la versión 7 de Zammad o desconectarlo”.

Qué pasó

Según la cronología de la organización sin fines de lucro https://csirt.divd.nl/cases/DIVD-2026-00014/, el ataque ocurrió el 21 de septiembre, cuando “actores maliciosos” irrumpieron en su sistema informático a través de los dos zero-days en su software de soporte de tickets.

Los cazadores de errores descubrieron a los atacantes al día siguiente, bloquearon el acceso a todos los sistemas de su centro de datos y formaron un equipo de respuesta a incidentes con Merlon Security.

El 24 de septiembre, DIVD informó de la vulnerabilidad de Zammad al proveedor, notificó el incidente a la Autoridad de Protección de Datos holandesa y al Centro Nacional de Ciberseguridad, y discutió sus opciones con la policía. También publicó su primera divulgación https://www.linkedin.com/posts/security-people-always-say-its-not-a-matter-share-7508986128520261632-bafs/ en LinkedIn.

“Nos tomó (casi) siete años, pero ahora podemos decir que somos los hackers que fueron hackeados”, decía la publicación, añadiendo que DIVD mantenía su compromiso de manejar el incidente de la manera que consideran correcta: “de forma abierta, transparente y honesta, aunque sea desagradable”.

'Modus operandi' indica IA agéntica

DIVD también señaló que su equipo nunca había visto un ataque así.

“Este es un ataque que no habíamos visto antes”, según la publicación. “No porque sea el primero, sino porque el modus operandi indica que se trata de un ataque impulsado por IA agéntica”.

El ataque fue “ruidoso y muy, muy desordenado”, dijo DIVD https://www.linkedin.com/posts/divd-nl_in-every-crisis-you-work-with-whatever-you-activity-7510363579972206592-KeT4?utm_source=share&utm_medium=member_desktop&rcm=ACoAAAX3rawBPm6RIM1LZlSs7tFoRQis8-XnEUo. “Podíamos ver al agente trabajando de forma automatizada, porque después de cada acción decidía el siguiente paso por sí mismo, a la velocidad de la luz y con una lógica o patrón descuidado”.

Publicaciones posteriores con capturas de pantalla de los registros https://www.linkedin.com/posts/divd-nl_wie-jarig-is-trakteert-today-is-our-birthday-activity-7509723920586153984-SU4j?utm_source=share&utm_medium=member_desktop&rcm=ACoAAAX3rawBPm6RIM1LZlSs7tFoRQis8-XnEUo encontrados durante la investigación revelan notas incrustadas en el script de ataque, otra indicación de que se trataba de una operación agéntica o, al menos, habilitada por IA.

“¿Qué atacante humano deja notas para sí mismo en sus scripts, explicando por qué lo que está haciendo está bien y realmente no es phishing? La IA simplemente recibió una tarea y sigue justificando sus propias acciones en el código como comentarios, a un humano no le importaría en absoluto”, decía la publicación. “¿Quién tiene tiempo para eso?”.

Si tan solo todas las organizaciones respondieran a los hackeos así

Mientras la investigación continúa, los investigadores de seguridad aplaudieron a DIVD por su transparencia al divulgar y responder al hackeo.

“Kudos a DIVD por su nivel de honestidad y transparencia al gestionar su incidente activo e investigación”, publicó Patrick Garrity, investigador de seguridad de VulnCheck, en LinkedIn. “¡Sería estupendo que todas las organizaciones fueran así de transparentes con sus incidentes de seguridad!”.

En una entrevista posterior, Garrity dijo que aplaudía la “honestidad brutal” de DIVD sobre la brecha. “Están aplicando sus propios principios, lo cual es genial, y están difundiendo la información rápidamente a otras organizaciones que potencialmente usan este producto para que puedan tomar medidas antes de ser golpeadas”.

Fuente:
TheRegister