DEF CON 2026: 10.000 entidades públicas vulnerables en Polonia y lecciones para startups

La investigación que expuso 10.000 entidades públicas vulnerables en Polonia

Robert Kruczek y Kamil Szczurowski, dos investigadores de seguridad polacos, presentaron en DEF CON 2026 de Las Vegas el 7 de agosto un hallazgo alarmante: más de 10.000 entidades públicas de su país con fallos de seguridad activos, incluyendo 250.000 sitios web vulnerables que abarcan aeropuertos, hospitales, tribunales y oficinas gubernamentales. El descubrimiento más crítico fue una vulnerabilidad en el CMS Pad —ampliamente utilizado en la administración pública polaca— que proporcionaba acceso sin contraseña a más de 300 sitios web gubernamentales.

Lo que comenzó como un proyecto de patriotismo digital se convirtió en un mapa detallado de riesgos sistémicos que afectan infraestructura crítica. Los investigadores actuaron sin autorización oficial, utilizando técnicas similares a las de un investigador de seguridad que mapea la superficie de ataque de una red sin explotar activamente las vulnerabilidades.

¿Cómo encontraron estas vulnerabilidades masivas?

Kruczek y Szczurowski identificaron vectores de ataque comunes entre las entidades afectadas: software de gestión de contenido con bugs conocidos no parchados, ausencia de programas de bug bounty donde los investigadores puedan reportar vulnerabilidades de forma segura, y falta de canales claros para comunicar fallos a los responsables de los sitios. Esta combinación convierte fallos individuales en riesgos sistémicos.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El caso del CMS Pad es particularmente revelador: una sola vulnerabilidad en software compartido por cientos de sitios gubernamentales se convierte en una llave maestra que abre 300 puertas simultáneamente. Cuando la infraestructura digital del sector público depende de un único punto de fallo, una sola vulnerabilidad se transforma en un incidente de escala nacional.

La presentación en DEF CON coincidió con alertas previas del CERT Polska —la agencia nacional de respuesta a ciberincidentes— que había emitido el 5 de agosto de 2026 una alerta sobre vulnerabilidades críticas en WordPress que afectaban a sitios gubernamentales, con el riesgo de que atacantes tomaran el control de los sitios comprometidos.

El contexto: Polonia en el punto de mira cibernético

El timing de esta investigación no es accidental. Polonia lleva meses en el punto de mira de ciberataques atribuidos a actores estatales rusos. En enero de 2026, el gobierno polaco informó de haber detenido un ciberataque contra infraestructura eléctrica. En 2025, una oleada de ataques de ransomware afectó hospitales en varias regiones, en algunos casos obligando a volver a procesos manuales y a desviar pacientes.

Esta investigación expone un problema estructural que no es exclusivo de Polonia: la administración pública digital se construyó asumiendo que el software de terceros es seguro si viene certificado, y que el mantenimiento de seguridad es responsabilidad del proveedor. Ninguna de las dos cosas es cierta en el panorama actual de ciberseguridad.

¿Qué significa esto para tu startup?

1. La seguridad no es un feature, es una arquitectura

Si tu startup desarrolla software para el sector público o empresas que dependen de infraestructura crítica, esta investigación debería cambiar tu perspectiva sobre la seguridad. No se trata de agregar parches después del lanzamiento, sino de diseñar sistemas donde la seguridad sea inherente a la arquitectura.

Acción concreta: Implementa revisiones de seguridad desde la fase de diseño, no como auditoría posterior. Cada componente debe tener controles de acceso mínimos necesarios, y los sistemas compartidos deben incluir aislamiento entre instancias.

2. La dependencia de software de terceros multiplica el riesgo

El caso del CMS Pad muestra cómo la dependencia de un único proveedor de software puede crear un punto de fallo sistémico. Para startups que utilizan software de terceros en su stack, es crucial tener planes de contingencia y monitoreo continuo de vulnerabilidades.

Acción concreta: Crea un inventario de todas las dependencias de software de terceros en tu startup, incluyendo versiones y fechas de soporte. Establece alertas automáticas para vulnerabilidades conocidas y define procesos claros para actualizaciones críticas.

3. Los canales de reporte son tan importantes como la detección

Los investigadores encontraron que en muchos casos no había una dirección clara de seguridad a la que notificar los fallos. Sin bug bounties ni canales oficiales, los investigadores de buena fe se enfrentan al dilema de reportar a quien no tiene proceso para recibirlo o no reportar.

Acción concreta: Si tu startup maneja datos sensibles o infraestructura crítica, establece un programa de bug bounty o al menos un canal claro para reportar vulnerabilidades. Esto no solo mejora tu seguridad, sino que construye confianza con la comunidad de investigadores.

4. La automatización de IA amplifica tanto las amenazas como las defensas

La investigación coincide con el desarrollo de IA ofensiva capaz de descubrir zero-days autónomamente, lo que hace que la superficie de ataque de infraestructuras con software desactualizado sea exponencialmente más peligrosa. Si un modelo puede escanear 250.000 sitios en horas y explotar las vulnerabilidades detectadas, la escala del problema se amplifica enormemente.

Acción concreta: Implementa herramientas de seguridad basadas en IA para monitoreo proactivo, pero no dependas exclusivamente de ellas. Combina automatización con revisión humana experta, especialmente para sistemas críticos.

Lecciones para founders hispanohablantes

La situación en Polonia refleja desafíos que muchos países de LATAM y España enfrentan: infraestructura digital heredada, presupuestos limitados para seguridad, y dependencia de soluciones de software que no reciben mantenimiento adecuado.

Para startups que operan en estos ecosistemas:

Prioriza la seguridad sobre la velocidad: Un lanzamiento rápido con vulnerabilidades críticas puede costar más a largo plazo que un desarrollo más lento pero seguro.
Educa a tus clientes: Muchas organizaciones públicas y privadas subestiman los riesgos cibernéticos. Ofrece educación como parte de tu propuesta de valor.
Colabora con la comunidad: Participa en programas de seguridad responsables y contribuye al ecosistema de ciberseguridad local.

El futuro de la seguridad en infraestructura pública

La pregunta a 12 meses es clara: ¿cambiará la investigación de DEF CON 2026 la política de seguridad de la administración pública polaca? Los incidentes documentados de ataques contra infraestructura crítica del país en 2025-2026 deberían haberlo impulsado ya. El escaneo masivo de Kruczek y Szczurowski es el equivalente digital de alguien que comprueba que las puertas están sin llave antes de que lo haga un ladrón.

Para startups, el mensaje es igualmente claro: en un mundo donde la superficie de ataque crece exponencialmente, la seguridad debe ser una prioridad estratégica, no un gasto operativo. La investigación polaca demuestra que los riesgos sistémicos no son hipotéticos —son reales, medibles y potencialmente catastróficos.