Senador insta a la FTC a investigar a Microsoft tras el ataque de ransomware Ascension

El senador estadounidense Ron Wyden insta a la FTC a investigar a Microsoft después de que su software contribuyera a un importante ataque de ransomware en el Hospital Ascension, exponiendo 5,6 millones de registros de pacientes.

Un senador estadounidense está impulsando una investigación formal sobre Microsoft, alegando que el software de la compañía facilitó un ataque masivo de ransomware contra un importante sistema hospitalario. En una carta (PDF ) fechada el 10 de septiembre de 2025, el senador Ron Wyden instó a la Comisión Federal de Comercio (FTC) a exigir responsabilidades a Microsoft por el "software peligroso e inseguro" que comprometió los historiales clínicos de millones de pacientes de Ascension , uno de los sistemas de salud sin fines de lucro más grandes del país.

Un portavoz de la FTC confirmó que la agencia había recibido la carta, pero no hizo más comentarios.

Nuevos detalles de la oficina del senador revelan cómo comenzó el hackeo de 2024. La computadora portátil de un contratista se infectó con malware tras hacer clic en un enlace malicioso de una búsqueda en Bing. Gracias a la configuración predeterminada insegura del software de Microsoft , los hackers lograron obtener acceso con privilegios elevados a la red de Ascension.

Para su información, los hackers explotaron una vulnerabilidad mediante una técnica llamada Kerberoasting. Este método aprovechó una tecnología de cifrado muy antigua de la década de 1980 llamada RC4, que el software de Microsoft aún incluye en su configuración predeterminada.

Esto permitió a los hackers tomar el control del servidor de Active Directory , lo que les otorgó el control total de toda la red. Utilizaron este acceso para propagar ransomware a miles de computadoras y, finalmente, robar datos confidenciales de 5,6 millones de pacientes.

Vale la pena señalar que grupos gubernamentales como la Agencia de Seguridad Cibernética y de Infraestructura (CISA), el FBI y la NSA ya habían emitido advertencias sobre estas mismas debilidades de seguridad.

Esta no es la primera vez que Microsoft se encuentra en el centro de una controversia de seguridad de este tipo. Wyden señaló que la compañía tiene un largo historial de problemas de seguridad, incluyendo un ataque informático chino a agencias del gobierno estadounidense en 2023. Una junta de revisión formada para analizar este ataque, a petición de Wyden, concluyó que «la cultura de seguridad de Microsoft era inadecuada y requiere una reforma integral».

La carta de Wyden también destacó la lentitud de la respuesta de Microsoft. Incluso después de que su personal advirtiera a los directivos de la compañía sobre la amenaza de Kerberoasting en julio de 2024, Microsoft tardó hasta octubre en publicar una entrada técnica en su blog, y aún no ha publicado la actualización de software prometida para corregir la vulnerabilidad.

El senador argumenta que, dado el dominio del mercado de Microsoft, esta tiene pocos incentivos para solucionar sus problemas, ya que muchas empresas y organismos gubernamentales no tienen más opción que usar sus productos. Wyden concluyó que «Microsoft se ha convertido en una especie de pirómano que vende servicios de extinción de incendios a sus víctimas», y añadió que el enfoque actual de seguridad de la compañía supone un riesgo considerable para la seguridad nacional.