El 8 de octubre de 2025, SonicWall confirmó que actores no autorizados accedieron a los archivos de respaldo de configuración de firewall almacenados en su servicio MySonicWall Cloud Backup.
El incidente, investigado junto a Mandiant, impacta a todos los clientes que utilizaron el servicio de respaldo en la nube, quienes podrían ver comprometidos datos críticos de configuración, credenciales cifradas y secretos operativos de sus dispositivos.
Aunque las credenciales estaban protegidas mediante cifrado AES-256, la posesión de estos archivos podría facilitar ataques dirigidos que busquen explotar configuraciones conocidas o credenciales reutilizadas.
Impacto técnico
Los archivos comprometidos (.EXP) contienen información sensible sobre:
- Credenciales locales y secretos de autenticación.
- Configuraciones de VPN (IPSec, L2TP, PPTP).
- Integraciones LDAP, RADIUS y TACACS+.
- Parámetros de servicios de administración remota y logging en AWS.
Esta exposición reduce significativamente la seguridad de las instancias de firewall afectadas, pudiendo ser aprovechada para escalar privilegios, eludir controles de acceso o lanzar ataques específicos contra redes corporativas.
Productos afectados
- Firewalls SonicWall con archivos de configuración respaldados en MySonicWall Cloud Backup.
Recomendaciones de contención y mitigación
SonicWall recomienda aplicar de inmediato el procedimiento Essential Credential Reset, priorizando los dispositivos con servicios expuestos a Internet:
- Restablecer todas las contraseñas locales y códigos TOTP.
- Actualizar claves compartidas en túneles VPN y servicios de autenticación (LDAP, RADIUS, TACACS+).
- Revocar y regenerar claves API de Cloud Secure Edge (CSE).
- Rotar credenciales de integración con AWS, SNMPv3 y WWAN.
- Verificar los dispositivos afectados accediendo a: MySonicWall → Product Management → Issue List
Los equipos aparecerán clasificados como:
- Active – High Priority: servicios expuestos a Internet.
- Active – Lower Priority: sin exposición directa.
- Inactive: sin conexión en los últimos 90 días.
Recomendaciones desde CronUp ATRc®
Desde el equipo de Alerta Temprana de Riesgos (ATRc®) de CronUp Ciberseguridad, recomendamos además:
- Revisar la exposición de los firewalls SonicWall en motores de búsqueda de activos (Shodan, Censys) para identificar servicios públicos inadvertidos.
- Monitorear intentos de autenticación anómalos y eventos de acceso a la consola de gestión.
- Auditar el uso de contraseñas y claves reutilizadas entre entornos.
- Implementar listas de control de acceso (ACL) estrictas para administración remota.
- Integrar IoCs relacionados con SonicWall en SIEM o Threat Intelligence Platform para detección temprana.
Este nuevo incidente nos recuerda que debemos siempre revisar los procesos de respaldo y gestión de configuraciones críticas, incluso cuando se confía en servicios cloud del propio fabricante.
La exposición de archivos cifrados no implica necesariamente una brecha inmediata, pero sí incrementa el riesgo de explotación dirigida, especialmente en entornos donde las credenciales o configuraciones no han sido rotadas oportunamente.
En CronUp, acompañamos a nuestros clientes con servicios de Ciberinteligencia, Ethical Hacking y Red Teaming continuo para identificar este tipo de riesgos antes de que sean aprovechados por actores maliciosos.
¿Deseas conocer si tu organización se ve afectada o podría ser blanco de ataques relacionados?
Escríbenos a [email protected] o solicita una evaluación de exposición digital en www.cronup.com
Referencias:
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
