Quién la usa y por qué

Los adversarios no eligen fallos por su puntuación. Eligen los que mejor rinden: los productos expuestos a internet, que se alcanzan sin acceso previo y que, al ser los mismos en muchas organizaciones, sirven contra muchas víctimas a la vez. Un servidor de transferencia de ficheros reúne las tres cosas y además guarda justo lo que busca quien roba datos para extorsionar.

Esa es la lectura de inteligencia: preguntar por el motivo del adversario explica qué productos se atacan primero y por qué un fallo de gravedad media en un portal expuesto puede pesar más que uno crítico en una estación interna.

Cinco informes enlazan el CVE con un grupo, y tres de ellos hablan del mismo. Antes de decir que ese grupo es el que más lo usa hay que contar hechos distintos, no artículos. Un informe que cita a otro como su única fuente no añade nada: es la misma información contada dos veces. La columna raiz de cada informe dice de dónde sale: una telemetría propia, un incidente investigado o simplemente otro informe de la tabla.

Es la misma disciplina de la valoración de fuentes: dos fuentes que derivan de la misma valen por una.

En el conjunto hay un informe que no corrobora nada: dice lo mismo que otro y lo cita como su origen. No es inútil: confirma que la noticia circuló. Lo que no hace es subir la confianza, y quien lo cuente como un hecho más está inflando la evidencia.

Hay una manera directa de encontrarlo: buscar los informes cuya raíz es otro informe de la misma tabla.

El perfil del grupo del que más informes independientes hablan dice que ataca molinería, alimentos y logística: justo la actividad de Molinos Santa Rita. Eso no vuelve urgente el fallo por sí solo: Santa Rita puede no tener el producto, o tenerlo parcheado. Pero sí cambia lo que se hace cuando lo tiene: sube la probabilidad de ser objetivo y justifica adelantar el parche y las búsquedas en los registros.

La coincidencia de sector pondera; el inventario decide.

MITRE ATT&CK tiene una técnica para el caso de un adversario que aprovecha una debilidad de un sistema expuesto a internet para entrar en la red: la de explotar una aplicación expuesta al público. Cada perfil de grupo de la plataforma codifica su acceso inicial con el identificador de la técnica, de modo que se pueda cruzar con la cobertura de detección propia.