Aunque hemos visto algunos casos muy serios de negligencia por parte de ciertas compañías, lo que ha sucedido con TP-Link en los últimos días nos da ganas de colocar una bolsa de papel en nuestras cabezas de tanta vergüenza. Al parecer, el fabricante chino dejó caer los dominios para dos de las direcciones que sus productos «pre-2014» utilizan como portal inicial de configuración, y sus nuevos dueños piden 2.5 millones de dólares… sólo por uno de ellos.
Durante mucho tiempo, los fabricantes principales de módems, routers, switches, extensores WiFi y otros dispositivos similares han buscado la forma de simplificar el proceso de configuración. Personalmente soy el primero en admitir que la configuración de un router es cualquier cosa menos intuitiva, pero una vez que logramos cruzar espadas con varios modelos, los parámetros generales son fáciles de seguir. Sin embargo, entiendo que el usuario se sienta incómodo al escribir «192.168.1.1» en el lugar donde suele ir una dirección Web, y en un intento por aprovechar esa «intuición» si se quiere, varias compañías decidieron implementar direcciones parciales o totales como portal de configuración. Por ejemplo, Belkin utiliza «http://router», lo que funciona bastante bien, mientras que en el caso de Asus encontramos a «http://router.asus.com». La primera vez que se configura al router, estas direcciones lo envían correctamente al usuario a la página de configuración, pero una vez que la conexión a Internet está activa, dichas direcciones podrían ser resueltas.
Este último detalle demanda cierta responsabilidad del fabricante, y por lo que hemos podido comprobar, los amigos de TP-Link se la olvidaron en la puerta. De acuerdo a Amitay Dan de la compañía de seguridad Cybermoon, TP-Link olvidó renovar los registros para dos de sus dominios, tplinklogin-dot-net y tplinkextender-dot-net. Dichas direcciones aparecen en las etiquetas de sus productos vendidos antes del año 2014, y ahora presentan otras (tplinkwifi-dot-net y tplinkrepeater-dot-net para ser más precisos), pero ese no es el punto. Al olvidar la renovación, ambos dominios pasaron a ser controlados por elementos externos, que rápidamente los colocaron a la venta. ¿Cuánto están pidiendo? Tplinklogin-dot-net es el más popular de los dos, con 4.4 millones de visitas mensuales, y el número mágico es de 2.5 millones de dólares.
Ante semejante precio, la decisión de TP-Link no fue otra más que abandonar los dominios por completo, y modificar todas las referencias sobre ellos en su página oficial, pero eso no elimina el riesgo de seguridad. Ambos dominios podrían transformarse en un ataque vía phishing (haciéndose pasar por una página oficial) o en un mecanismo de distribución de malware, repartiendo «actualizaciones de firmware» falsas. Por suerte, protegerse es sencillo: Debemos ignorar ambos dominios, y usar la dirección IP interna del dispositivo para llevar a cabo su configuración (sea 192.168.0.1, 192.168.1.1, 10.0.0.1, u otra variante). ¿Qué pasará con ellos? Debido al problema que representan, es probable que sean bloqueados a nivel navegador o ISP. Hasta entonces, los dueños de hardware TP-Link con algunos años encima tal vez quieran pisar con un poco más de cuidado.
