{"id":20406,"date":"2026-10-05T12:48:02","date_gmt":"2026-10-05T15:48:02","guid":{"rendered":"http:\/\/laf5.publisher.highstack.com.ar\/?p=20406"},"modified":"2026-10-05T12:48:02","modified_gmt":"2026-10-05T15:48:02","slug":"una-ia-paso-10-dias-intentando-entrar-en-microsoft-un-chico-de-16-anos-escribio-admin-y-abrio-la-puerta-a-173-billones-de-filas","status":"publish","type":"post","link":"https:\/\/laf5.publisher.highstack.com.ar\/?p=20406","title":{"rendered":"Una IA pas\u00f3 10 d\u00edas intentando entrar en Microsoft. Un chico de 16 a\u00f1os escribi\u00f3 \u201cadmin\u201d y abri\u00f3 la puerta a 17,3 billones de filas"},"content":{"rendered":"
\n

Eran cerca de las dos de la madrugada y sus padres estaban durmiendo cuando un investigador de seguridad de 16 a\u00f1os se qued\u00f3 mirando una cifra dif\u00edcil de procesar en la pantalla: 17.333.335.124.315 filas.<\/p>\n

No hab\u00eda utilizado una vulnerabilidad in\u00e9dita ni una sofisticada cadena de exploits. Durante diez d\u00edas, una herramienta de inteligencia artificial hab\u00eda estado ayud\u00e1ndolo a probar posibilidades. Pero el \u00faltimo paso fue mucho m\u00e1s sencillo.<\/p>\n

Faav (el nombre con el que publica sus investigaciones) escribi\u00f3 \u201cadmin\u201d.<\/p>\n

Microsoft confirm\u00f3 posteriormente el hallazgo, cerr\u00f3 el acceso y le pag\u00f3 una recompensa de 5.000 d\u00f3lares. Lo que hab\u00eda descubierto era una falla de autenticaci\u00f3n en Titan, un servicio interno de anal\u00edtica de la compa\u00f1\u00eda conectado a bases de datos que, seg\u00fan los metadatos analizados por el investigador, conten\u00edan aproximadamente 17,3 billones de filas.<\/p>\n

La IA encontr\u00f3 la puerta. El humano supo qu\u00e9 intentar despu\u00e9s<\/h2>\n

La historia comenz\u00f3 el 25 de agosto. Antares, una herramienta de investigaci\u00f3n asistida por IA creada por el propio Faav, encontr\u00f3 una API de Titan expuesta mediante un host de Azure, aunque la interfaz web del servicio estaba restringida a empleados de Microsoft.<\/p>\n

Durante los siguientes diez d\u00edas, el investigador y su sistema automatizado fueron probando c\u00f3mo respond\u00eda la autenticaci\u00f3n.<\/p>\n

Ah\u00ed apareci\u00f3 el verdadero problema: Titan aceptaba JSON Web Tokens (JWT) cuya firma criptogr\u00e1fica no hab\u00eda sido validada correctamente. Un JWT puede contener informaci\u00f3n sobre qui\u00e9n es un usuario y qu\u00e9 permisos tiene, pero esa informaci\u00f3n solo resulta confiable si el servidor comprueba que el token fue realmente firmado por una entidad autorizada.<\/p>\n

Titan examinaba varios de sus campos. El problema era que se saltaba precisamente esa garant\u00eda esencial. Las propias buenas pr\u00e1cticas del IETF exigen comprobar los algoritmos criptogr\u00e1ficos utilizados, mientras que la documentaci\u00f3n actual de Azure se\u00f1ala expl\u00edcitamente que deben validarse firma, emisor, audiencia y vigencia.<\/p>\n

Antares logr\u00f3 avanzar hasta encontrar ese comportamiento, pero choc\u00f3 despu\u00e9s con otro obst\u00e1culo: necesitaba proporcionar un usuario que Titan reconociera. Entonces Faav tuvo una corazonada. Cambi\u00f3 el identificador por \u201cadmin\u201d. El sistema lo interpret\u00f3 como un usuario local asociado al ID 1 y con privilegios administrativos. La consulta funcion\u00f3.<\/p>\n

Detr\u00e1s hab\u00eda mucho m\u00e1s que una cuenta de administrador<\/h2>\n
\"Una
\u00a9 Unsplash \/ Mika Baumeister.<\/figcaption><\/figure>\n

El acceso permiti\u00f3 consultar los metadatos internos de Titan. Entre ellos aparecieron aproximadamente 25.000 registros de cuentas y correos, 17.990 direcciones de empleados, m\u00e1s de 24.000 paneles, cientos de miles de gr\u00e1ficos y configuraciones correspondientes a numerosas bases de datos.<\/p>\n

El investigador sigui\u00f3 la estructura de enrutamiento del servicio hasta identificar 17 bases de datos anal\u00edticas conectadas, con casi 10.000 nombres de tablas diferentes. De ah\u00ed sale la espectacular cifra de 17,3 billones.<\/p>\n

Hay una diferencia importante: Faav no descarg\u00f3 17,3 billones de registros. La cifra es una estimaci\u00f3n calculada a partir de metadatos y probablemente incluye informaci\u00f3n hist\u00f3rica, duplicada o derivada. El investigador asegura adem\u00e1s que no accedi\u00f3 a datos personales de clientes y limit\u00f3 sus comprobaciones a metadatos y muestras m\u00ednimas necesarias para demostrar el problema.<\/p>\n

Report\u00f3 la vulnerabilidad a Microsoft el 5 de septiembre. La empresa restringi\u00f3 el endpoint cuatro d\u00edas despu\u00e9s y el 17 de septiembre le concedi\u00f3 una recompensa de 5.000 d\u00f3lares.<\/p>\n

Y ah\u00ed est\u00e1 quiz\u00e1 lo m\u00e1s curioso de toda la historia<\/h2>\n

El caso tambi\u00e9n funciona como una peque\u00f1a demostraci\u00f3n de c\u00f3mo est\u00e1 cambiando la investigaci\u00f3n de seguridad con IA. Antares tuvo algo que un investigador humano dif\u00edcilmente querr\u00eda aportar durante diez d\u00edas consecutivos: paciencia casi infinita para probar hip\u00f3tesis, seguir pistas y acumular errores. Pero no encontr\u00f3 el paso decisivo.<\/p>\n

Despu\u00e9s de miles de intentos, fue un adolescente quien pens\u00f3 en algo absurdamente simple: si el sistema buscaba un usuario local, quiz\u00e1 alguien hab\u00eda dejado el nombre m\u00e1s obvio de todos.<\/p>\n

\u201cadmin\u201d.<\/p>\n

La IA encontr\u00f3 la cerradura. La intuici\u00f3n humana decidi\u00f3 probar la llave que estaba delante de todo el mundo.<\/p>\n<\/p><\/div>\n","protected":false},"excerpt":{"rendered":"

Eran cerca de las dos de la madrugada y sus padres estaban durmiendo cuando un investigador de seguridad de 16 a\u00f1os se qued\u00f3 mirando una cifra dif\u00edcil de procesar en la pantalla: 17.333.335.124.315 filas. No hab\u00eda utilizado una vulnerabilidad in\u00e9dita ni una sofisticada cadena de exploits. Durante diez d\u00edas, una herramienta de inteligencia artificial hab\u00eda […]<\/p>\n","protected":false},"author":1,"featured_media":20407,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-20406","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sin-categoria"],"_links":{"self":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/posts\/20406","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=20406"}],"version-history":[{"count":0,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/posts\/20406\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/media\/20407"}],"wp:attachment":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=20406"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=20406"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=20406"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}