Una vulnerabilidad de día cero en PeopleSoft afecta a cientos de organizaciones y filtra gigabytes de datos

Una vulnerabilidad de día cero descubierta en la plataforma ERP PeopleSoft de Oracle se ha convertido en una campaña activa que exfiltra gigabytes de datos de cientos de organizaciones. El caso que reporta Ars Technica es un ejemplo concreto de riesgo de cadena de suministro en seguridad de software empresarial.

PeopleSoft es una plataforma ERP (planificación de recursos empresariales) heredada pero muy usada por grandes empresas, departamentos gubernamentales, universidades e instituciones sanitarias en todo el mundo. Recursos humanos, finanzas, compras y expedientes estudiantiles corren sobre módulos PeopleSoft. Oracle adquirió la compañía en 2005, pero muchas instalaciones funcionan bajo acuerdos de "soporte sostenido".

La categoría técnica de la vulnerabilidad no se ha revelado por completo; Ars Technica describe el ataque como ejecución remota de código no autenticada o una categoría comparablemente seria. Sin un tráfico saliente inusual evidente, las organizaciones sufren no obstante exfiltración masiva tras el disparo de la vulnerabilidad.

El perfil de los datos robados importa. Las plataformas ERP contienen categorías muy sensibles: identificadores de empleados (DNI/identidad nacional, números de seguridad social, números de cuenta), nóminas y evaluaciones, contratos de proveedores, datos de expediente de pacientes o estudiantes. Estas categorías son de alto valor tanto para el robo de identidad individual como para el espionaje corporativo.

La atribución aún no se ha hecho, pero las fuentes que cita Ars Technica describen al grupo atacante como organizado y técnicamente avanzado. Los sectores objetivo incluyen universidades estatales estadounidenses, departamentos federales, sistemas sanitarios y grandes clientes empresariales.

Hay parámetros urgentes de respuesta a incidentes para las organizaciones. Oracle ha publicado un parche para la vulnerabilidad; el primer paso para los administradores es el despliegue rápido. El segundo es análisis de logs frente a indicadores de compromiso (IOC): consultas inusuales, adiciones inesperadas de tablas, operaciones anómalas de exportación de datos. El tercero es la evaluación de los datos de usuarios o proveedores afectados.

Hay consecuencias regulatorias. En EE.UU., la norma de divulgación cibernética de la SEC en vigor desde 2023 obliga a las cotizadas a divulgar incidentes "materiales" en 4 días hábiles. El RGPD y la directiva NIS2 en la UE imponen obligaciones de notificación similares. En Turquía, las normas KVKK y BTK exigen notificación al KVKK dentro de las 72 horas de una violación.

El incidente saca a la luz un problema antiguo en seguridad ERP: pruebas insuficientes del software empresarial heredado. La "seguridad shift-left" es habitual en aplicaciones modernas, pero arquitecturas diseñadas en los 90 como PeopleSoft se integran tarde a ese régimen moderno de pruebas. El informe ENISA 2024 muestra que la densidad de vulnerabilidades de los ERP heredados usados en la UE es marcadamente superior a la de los ERP cloud-nativos modernos.

Impacto en negocio: fugas de datos a escala de gigabytes se traducen en multas muy elevadas del RGPD. En 2024, los grandes incidentes de violación de datos en Europa promediaron unos 4,5 millones de euros en sanciones. En EE.UU., las class actions generan responsabilidades sustanciales según las categorías de datos filtradas.

Contexto para Turquía: el intento de rescate contra el sistema MEDULA del Ministerio de Sanidad en 2024 mostró que la infraestructura de software crítico también es objetivo a escala nacional. Grandes universidades y organismos públicos turcos usan PeopleSoft o ERPs derivados; el despliegue rápido de la actualización de Oracle es crítico. USOM circula rutinariamente estas vulnerabilidades a la IT empresarial, pero la disciplina de aplicación importa.

Clave a corto plazo: cualquier organización con PeopleSoft debe seguir los avisos urgentes de seguridad de Oracle y no retrasar el parcheo. El reportaje de Ars Technica recuerda que la auditoría de seguridad ERP es una tarea central de la IT empresarial. Este artículo no constituye recomendación de auditoría de seguridad ni consejo de inversión.