Incidente de CrowdStrike de 2024

El incidente de CrowdStrike de 2024 tuvo lugar el viernes 19 de julio de 2024, cuando varios sistemas informáticos en todo el mundo experimentaron una falla que provocó interrupciones en múltiples industrias diferentes luego de una actualización defectuosa del software de seguridad de terceros CrowdStrike Falcon que se ejecuta en Microsoft Windows.​
Los servicios afectados incluyen aerolíneas, aeropuertos, sector bancario, bolsas de valores, servicios de radiodifusión y todos aquellos que utilizan herramientas CrowdStrike Falcon en Windows. Varios países han informado de estos cortes y los han calificado de graves. El problema se atribuye a una actualización defectuosa de CrowdStrike Falcon. La región central de Australia, Estados Unidos y el Reino Unido se encuentran entre los países más afectados.​​ Varias autoridades han descartado que la interrupción sea un ciberataque y se ha confirmado que la causa se debe a una actualización defectuosa.​
CrowdStrike produce un conjunto de productos de software de seguridad para empresas, diseñados para proteger las computadoras de los ciberataque s. Falcon, el agente de detección y respuesta de endpoints de CrowdStrike, trabaja a nivel del núcleo del sistema operativo en computadoras individuales para detectar y prevenir amenazas.​ CrowdStrike distribuye periódicamente parches a sus clientes para permitir que sus equipos puedan hacer frente a nuevas amenazas.​
La propia investigación posterior al incidente de CrowdStrike identificó varios errores que llevaron al lanzamiento de una actualización de fallas en el «motor de detección de sensores de CrowdStrike»:​
El 19 de julio a las 04:09 UTC, CrowdStrike distribuyó una actualización de configuración defectuosa para su software de sensor Falcon que se ejecuta en PC con Windows y servidores. Una modificación a un archivo de configuración que era responsable de filtrar las canalizaciones con nombre, el archivo de canal 291, provocó una lectura de memoria fuera de límites​ en el cliente del sensor de Windows que resultó en un fallo de página no válida. La actualización provocó que las máquinas entraran en un bucle de arranque o se iniciaran en modo de recuperación.​​
Casi de inmediato, las máquinas virtuales de Windows en la plataforma de nube Microsoft Azure comenzaron a reiniciarse y a fallar,​ y a las 06:48 UTC, Google Compute Engine también informó el problema. El problema afectó a los sistemas que ejecutan Windows 10 y Windows 11 con el software CrowdStrike Falcon.​​ La mayoría de las PC personales con Windows no se vieron afectadas, ya que el software de CrowdStrike es utilizado principalmente por organizaciones.​ El software de CrowdStrike no ofrecía a los suscriptores una forma de retrasar la instalación de sus archivos de contenido.​ Las computadoras que ejecutan macOS y Linux no se vieron afectadas, ya que el archivo de contenido problemático era solo para Windows,​ pero problemas similares habían afectado a las distribuciones de Linux del software CrowdStrike en abril de 2024.​​
CrowdStrike revirtió la actualización de contenido a las 05:27 UTC,​ y los dispositivos que se iniciaron después de la reversión no se vieron afectados.​
A las 07:15 UTC, Google dijo que la actualización de CrowdStrike tenía la falla.​ En cuestión de horas, el director ejecutivo de CrowdStrike, George Kurtz, confirmó que la actualización defectuosa del archivo de configuración del núcleo de CrowdStrike había causado el problema.​​ A las 09:45 UTC, Kurtz confirmó que se había implementado la solución,​ y que el problema no era el resultado de un ciberataque.​​
El impacto para las empresas del centro de Estados Unidos se vio agravado por una interrupción no relacionada con Microsoft Azure el día anterior.​ El 18 de julio, la plataforma Azure sufrió una interrupción que bloqueó el acceso de algunas empresas a su almacenamiento y a las aplicaciones de Microsoft 365 en la región central de Estados Unidos de Azure.​
Las máquinas afectadas podrían restaurarse reiniciándolas mientras están conectadas a la red; idealmente mientras están conectadas a Ethernet, brindando así la oportunidad de descargar el archivo de canal revertido, con múltiples reinicios, según se informa, siendo necesarios.​​
Si los fallos persistían, la solución requería reiniciar en modo a prueba de fallos o en el entorno de preinstalación de Windows y eliminar cualquier archivo .sys que comenzara con C-00000291- y con marca de tiempo 04:09 UTC en el directorio %windir% \ System32 \ drivers \CrowdStrike\ .​ Como este proceso debía realizarse localmente en cada máquina individual, se «esperaba que tomara días» para que las empresas afectadas restauraran todos los sistemas.​ El personal técnico tuvo que reiniciar los ordenadores afectados individualmente con intervención manual en cada sistema.​​​
En los dispositivos con el cifrado de disco BitLocker de Windows habilitado, que las corporaciones suelen utilizar para aumentar la seguridad, la solución del problema se vio agravada porque las claves de recuperación numéricas de BitLocker de 48 dígitos (únicas para cada sistema) requerían una entrada manual, con desafíos adicionales para proporcionar las claves de recuperación a los usuarios finales que trabajaban de forma remota. Además, varias organizaciones que utilizan servidores locales para el almacenamiento de claves de recuperación de Bitlocker no pudieron acceder a claves que estaban almacenadas en servidores que habían dejado de funcionar.​​
Microsoft también ha recomendado restaurar una copia de seguridad anterior al 18 de julio para solucionar el problema.​
Se experimentaron caídas de sistemas en todo el mundo.​​​ Según algunas estimaciones iniciales, el error de Crowdstrike causó problemas a aproximadamente 24 000 clientes,​ siendo difícil determinar el número de ordenadores individuales afectados, ya que muchos de los clientes son grandes organizaciones.​ Al día siguiente, Microsoft estimó el número de dispositivos afectados en alrededor de 8,5 millones, cifra correspondiente a menos del 1% de dispositivos Windows a nivel mundial.​ Sin embargo, dado que muchos sistemas de TI en todo el mundo utilizan Windows y el software de CrowdStrike, se informaron interrupciones en múltiples sectores comerciales.​ En 2021, se estimó que alrededor del 47% de las empresas de la lista Fortune 500 eran clientes de CrowdStrike,​que a su vez afirma en su propio sitio web que tiene casi el 60% de las empresas Fortune 500 y más de la mitad de las Fortune 1000 entre sus clientes.​ El sector de viajes y transporte aéreo en general se vio ampliamente afectado, cancelándose más de 1000 vuelos en todo el mundo.​​
En América del Norte, United, Delta y American Airlines emitieron una parada en tierra. Los vuelos en el aire seguirán volando, pero no despegarán nuevos vuelos.​ Allegiant Airlines también quedó en tierra debido a la interrupción, según la Administración Federal de Aviación.​​
Swiss International Air Lines tuvo en tierra el 30% de sus vuelos.​ El aeropuerto de Praga​​ en Chequia, el aeropuerto de Budapest​ en Hungría y Lufthansa​ en Alemania experimentaron problemas. Ryanair informó que las reservas y el check-in no estaban disponibles,​ y sus vuelos desde el aeropuerto de Bratislava en Eslovaquia se vieron afectados.​ A los aviones no se les permitió aterrizar en el aeropuerto de Zúrich.​ Wizz Air culpó del incidente a la desconexión de sus servicios en línea.​​ La aerolínea holandesa KLM suspendió la mayoría de sus operaciones, anunciando que el manejo de vuelos es imposible debido a este problema.​ El aeropuerto de Berlín-Brandeburgo​ tenía previsto detener los vuelos hasta las 8:00 (UTC).​ En Bruselas, los empleados del aeropuerto de Charleroi registraron manualmente a los pasajeros, pero otro software alivió los problemas a las 10:00 y hubo retrasos mínimos.​ Los aeropuertos españoles sufrieron perturbaciones.​
El Aeropuerto Internacional de Hong Kong experimentó retrasos durante el check-in, principalmente para los pasajeros de la aerolínea local de bajo costo Hong Kong Express,​ que recurrió a que los miembros del personal usaran carteles escritos a mano para dirigir a los pasajeros a diferentes mostradores de check-in. La Autoridad Aeroportuaria de Hong Kong activó la respuesta de emergencia, después de que los sitios web de las aerolíneas y el check-in automático fallaran. Los sistemas de reserva de las aerolíneas locales Cathay Pacific, Hong Kong Express y Hong Kong Airlines no están disponibles.​
Las aerolíneas Jeju Air​ y Spring Japan​experimentaron problemas. Jetstar Japan tuvo que cancelar varios vuelos.​ Algunos de los quioscos de autofacturación en el Aeropuerto Internacional de Singapur se vieron afectados, lo que retrasó y obligó a las aerolíneas a cambiar al check-in manual.​ Los vuelos de Cebu Pacific y Filipinas AirAsia están retrasados.​​​ Se formaron largas colas en el Aeropuerto Internacional Ninoy Aquino.​
Se están experimentando cortes en Air India, Indigo Airlines, Akasa Air, SpiceJet y Vistara. Durante la interrupción se emiten tarjetas de embarque escritas a mano. El Ministerio de Aviación Civil ha pedido y ordenado a las aerolíneas y a los aeropuertos que sean compasivos al proporcionar alimentos y asientos si es necesario.​​​​
A las 18:14 (IST), más de 200 vuelos fueron cancelados y el total de Indigo fue de 192 ​
Las principales empresas de TI de la India, como TCS, Infosys, Oracle, Nokia y muchas otras, también se enfrentan a la interrupción, lo que genera miles de problemas planteados por empleados y dispositivos que quedan atrapados en el bucle de arranque y no pueden recuperarse.​
El Equipo de Respuesta a Emergencias Informáticas de la India (CERT-In) ha emitido una calificación de gravedad de Crítico para el incidente.​
Maruti Suzuki, un fabricante de automóviles de la India, informó que su producción se detuvo y recurrió inmediatamente a medidas preventivas y correctivas. También ha informado que el problema ha sido resuelto.​
Sin embargo, NSE y BSE han dicho que no se han visto afectados por la interrupción global de los sistemas de Microsoft en medio de informes de interrupciones.​ Por otro lado, el Ministro de Ferrocarriles, Información y Radiodifusión, Electrónica y Tecnología de la Información de la India, Ashwini Vaishnaw, dijo que el gobierno estaba en contacto con Microsoft y que se había identificado el motivo de la interrupción.​ El Banco de la Reserva de la India (BRI) dijo en un comunicado que solo unos pocos bancos utilizan herramientas CrowdStrike y que muchos sistemas críticos de la mayoría de los bancos no se ejecutan en la nube, por lo que no se ven afectados. State Bank of India, el banco más grande de la India, informó que ninguno de sus servicios se vio afectado debido a la interrupción.​ Según la evaluación del RBI, solo 10 bancos y NBFC tuvieron interrupciones menores que se han resuelto o se están resolviendo. También ha añadido que los sistemas bancarios indios se sienten insultados por este tipo de interrupciones y sólo han informado de algunas interrupciones menores.​​
Es possible que ClowdStrike haya violado GDPR.​
En Bélgica, el problema afectó a la compra de billetes de tren y anuncios digitales en las estaciones de la Sociedad Nacional de los Ferrocarriles Belgas, a los ordenadores portátiles de oficina de DPG Media Belgium –lo que afecta a JOE y QMusic Radio, a los bancos, a los servicios postales, a las agencias gubernamentales, a las comunicaciones telefónicas con el Servicios urbanos en Amberes.​​
Un portavoz de la Sociedad Nacional de los Ferrocarriles Belgas dijo que no hay impacto en el tráfico ferroviario real, sino en todas las aplicaciones digitales. Aconsejan a los pasajeros que escuchen los anuncios de audio en las distintas estaciones de tren y, si no pueden comprar un billete, que se pongan en contacto con el revisor del tren.
El Centro de Ciberseguridad de Bélgica afirmó que el impacto en Bélgica es limitado.​
El Servicio Público Federal de Salud Pública ha confirmado que hubo dos hospitales afectados y han activado sus planes informáticos de emergencia. También han afirmado que no hay impacto en la atención, sólo en los ingresos de nuevos pacientes.​
El Centro Nacional de Crisis estaba evaluando el impacto en Bélgica y afirmó que no había informes de problemas significativos en los sectores de seguridad y nuestra infraestructura crítica (por ejemplo, plantas de energía o sector de transporte). También fueron informados del problema que afecta a dos hospitales en Bélgica.​
ENAIRE, responsable de la gestión nacional del control de tráfico aéreo, también ha mencionado una falla de TI en su sitio web y redes sociales.​ Todos los aeropuertos españoles han reportado interrupciones​ y los gobiernos regionales de Aragón, País Vasco, Castilla-La Mancha, Cataluña y Galicia han informado de problemas con sus servicios de salud.​
Entre los canales de televisión franceses afectados por los problemas se incluyen TF1, TFX, LCI y Canal+ Group.​ El proveedor de servicios de telefonía e Internet Bouygues Telecom también anunció la indisponibilidad de su servicio de atención al cliente como resultado de la interrupción.​ El aeropuerto Charles de Gaulle y el aeropuerto de Orly también experimentaron problemas relacionados con la facturación y la suspensión de vuelos.​
Las operaciones de los Juegos Olímpicos de París 2024, cuyo inicio oficial está previsto para dentro de una semana después de las interrupciones, también se han visto afectadas. El incidente ocurrió un día después de la apertura de la Villa Olímpica, y los organizadores estaban procesando la llegada de atletas y delegados. El comité organizador dijo que se activó un plan de contingencia, y que solo se vio afectada la entrega de uniformes y acreditaciones. El incidente, sin embargo, está ralentizando las operaciones, ya que el mostrador de acreditaciones del centro de prensa está cerrado y los controles de seguridad se realizan manualmente utilizando una lista de nombres.​​
Dos hospitales de Lübeck y Kiel han cancelado operaciones que no son de emergencia.​ La cadena de supermercados Tegut ha cerrado algunas de sus tiendas.​ El aeropuerto de Brandeburgo de Berlín informó que desde las 07:00 horas los procesos operativos se vieron afectados por «problemas informáticos de un proveedor externo». Si bien el manejo de pasajeros continuó con algunas restricciones, hubo retrasos y las aerolíneas tuvieron que cancelar algunos vuelos.
Sky News no pudo transmitir en vivo,​ así como tampoco CBBC, un canal de televisión infantil en abierto de la BBC.​ Varios aeropuertos experimentaron dificultades, incluido Edimburgo, cuyos paneles de salida se congelaron,​ y el aeropuerto de Gatwick, donde el escaneo automático de códigos de barras dejó de funcionar y tuvo que ser verificado manualmente.​ Las empresas ferroviarias también se vieron afectadas.​ El Servicio Nacional de Salud (NHS) dijo que los problemas están «causando interrupciones en la mayoría de las consultas de los médicos de cabecera [ingleses]»,​ con algunos de sus servicios, como las consultas de los médicos de cabecera, que dependen de un producto de software llamado EMIS Web, incapaz de ver y administrar registros médicos, emitir y administrar recetas o programar citas.​ La Bolsa de Londres, aunque operaba con normalidad, no pudo publicar actualizaciones de noticias en su sitio web.​
La empresa de juegos de azar Ladbrokes Coral y la cadena de supermercados Morrisons también informaron de problemas.​ Amadeus, que gestiona el equipaje en Heathrow, dice que se vieron afectados por la interrupción del sistema informático.​
Los taxis en Londres también se vieron afectados ya que los clientes no podían pagar con tarjetas de crédito o débito y necesitaban efectivo.​
Fuentes de noticias en el Reino Unido han informado que el comité COBRA del gobierno se reunió para discutir el incidente.​
El Sistema Central de Información Sanitaria de Croacia se vio afectado, aunque se aclaró que se trataba de un problema separado relacionado con el traslado de sus servidores a una nueva ubicación,​ así como con el control de tráfico aéreo de Croacia.​ El Hospital Profesor Doctor Fernando Fonseca de Portugal ha registrado problemas.​ El portavoz de la Autoridad de Seguridad Nacional confirmó que varias instituciones en Eslovaquia se vieron afectadas.​ Se ha reportado que la empresa farmacéutica Krka en Eslovenia,​ sufrió una interrupción total de la producción y envió a sus trabajadores a casa. En Suecia, el tráfico aéreo se vio interrumpido,​ no se pudieron vender entradas para partidos de fútbol,​ y el transporte público,​ y la mina de Malmberget fue evacuada como medida de precaución.​ Vodafone, Nova Poshta y Sense Bank en Ucrania experimentaron interrupciones debido a la actualización.​ Las cadenas de farmacias noruegas Apotek1 tuvieron que cerrar sus tiendas durante algún tiempo.​
El equipo Mercedes AMG PETRONAS F1 también sufrió problemas el viernes del Gran Premio de Hungría, y un portavoz de Mercedes confirmó que el equipo tuvo que solucionar el problema manualmente en cada computadora que utilizó. El problema también afectó a sus clientes de motores, McLaren, Aston Martin y Williams.​
Los aeropuertos de Ezeiza y el Aeroparque se vieron afectados en sus sistemas de registro.​ Tuvieron dificultades las aerolíneas JetSmart, Iberia, Level y Aerolíneas Argentinas pero no Flybondi. ​​ También se vio afectado el servicio de atención al cliente de Banco Galicia ​
La Agencia Federal de Ciberseguridad (AFC) de Argentina, informo que «Una actualización de CrowdStrike Falcon, proveedor de seguridad de Microsoft, está afectando las computadoras con sistema operativo de Windows, provocando que se bloqueen y muestren una pantalla azul sin aparente salida.»
Varias aplicaciones de bancos, así como cajeros automáticos en sucursales, aeropuertos y sistemas de operadores de telefonía celular experimentaron picos de lentitud y problemas en sus servicios durante la madrugada y las primeras horas del día.​​ Además, parte de los sistemas vinculados al Supremo Tribunal Federal (STF) también se vieron afectados por la falla.​
Record fue una de las emisoras de televisión afectadas por el problema, llegando a no poder acceder al sistema de transmisiones (switcher), con el problema siendo percibido durante toda la programación matinal, principalmente en el noticiero Fala Brasil, que salió al aire totalmente en vivo, pero con fallas en la generación de caracteres, causando también la falta de conexión con las emisoras afiliadas y filiales para la exhibición de enlaces en las calles y la transmisión de reportajes grabados, afectando también al Hoje em Dia.​
Desde el Aeropuerto Internacional de Santiago se recomendó a los pasajeros a revisar el estado de sus vuelos antes de concurrir a la terminal para quienes viajen durante la jornada. ​ La aerolínea chilena, LATAM Chile informó durante la mañana del 19 de julio que sus operaciones "podrían verse afectadas, generando atrasos en nuestros vuelos", siendo más tarde confirmado por la misma que las operaciones no sufrieron alteraciones por la falla informática, pero que "lamentan los inconvenientes que esta situación haya podido causar a sus pasajeros".​
La Asociación de Bancos e Instituciones Financieras (Abif) señaló que se encontraban "en alerta" y monitoreando continuamente la situación para mitigar las afectaciones, así también indicaron que "los servicios bancarios están operando con mínimos niveles de afectación".​
Hay cortes en el servicio 911 o interrupciones en el funcionamiento de los centros de llamadas 911 en algunas partes de Alaska,​ Arizona,​ Florida,​ Indiana,​ Kansas,​ Míchigan,​ Minnesota,​ Nueva York,​ Ohio,​ y Pensilvania.​ El 911 estaba caído en todo Nuevo Hampshire.​ ​ Además, Alaska está experimentando problemas con los centros de llamadas que no son de emergencia.​
Las acciones de CrowdStrike y Microsoft cayeron como resultado del apagón tecnológico. Las acciones de CrowdStrike cayeron casi un 12 por ciento en las operaciones previas a la comercialización el viernes temprano.​​
Muchos hospitales de Estados Unidos han suspendido cirugías y operaciones de los pacientes. Aunque permanecen abiertos, los hospitales tienen acceso limitado o nulo a los registros de los pacientes.
La Secretaría de Infraestructura, Comunicaciones y Transportes reportó que hubo 582 demoras y 75 cancelaciones de vuelos,​ el Grupo Aeroportuario del Pacífico (GAP) reporto 274 demoras y 23 cancelaciones.​ En el aeropuerto de Aeropuerto Internacional de la Ciudad de México, 6 aerolíneas cancelaron vuelos a las 7:30 hs.(CST),​ el Aeropuerto Internacional Felipe Ángeles reporto “inconvenientes por el fallo de sistemas informáticos”,​ en el Aeropuerto de Monterrey se reportaron demoras y filas de usuarios esperando, afecto a aerolíneas como VivaAerobus y Volaris.​​ También afecto a BBVA México y a Banco Santander.​
Los bancos Ueno y Banco Continental se vieron afectados, y sus clientes no pudieron iniciar sesión.​
Las empresas y agencias gubernamentales australianas se vieron enormemente afectadas por los cortes, incluidas empresas de medios, aerolíneas, aeropuertos, supermercados, hospitales, universidades, bufetes de abogados, farmacias, casinos, redes de trenes, gasolineras, estadios y bancos.​​ Las empresas de medios australianas afectadas por los problemas incluyen ABC, SBS, Seven Network y Nine Network.​
Las aerolíneas afectadas incluyen Qantas, Virgin Australia y Jetstar.​​ Un portavoz del aeropuerto de Sídney dijo que la interrupción había afectado algunas operaciones de la aerolínea y que el aeropuerto podría experimentará algunos retrasos a lo largo de la noche.​ En su boletín de noticias, Nine Network informó que el toque de queda en el aeropuerto de Sídney significaba que no habría tiempo suficiente para eliminar el trabajo atrasado antes de las 11 de la noche y que podría ser necesario Tomará varios días para eliminar el trabajo atrasado. El aeropuerto de Melbourne también se ha visto afectado, con declaraciones en el sitio web que subrayan que el «problema tecnológico global» afecta los procedimientos de facturación y aconsejan a los pasajeros que consulten con las aerolíneas correspondientes.​ El aeropuerto de Canberra, el aeropuerto de Darwin, el aeropuerto de Adelaida, el aeropuerto de Perth, el aeropuerto de Hobart y el aeropuerto de Brisbane también se vieron afectados.​​​
Los minoristas y las cadenas de comida rápida también se ven afectados por la interrupción, lo que provocó que los sistemas de autopago y pedidos en línea queden fuera de servicio.​ Las estaciones de combustible también se han visto afectadas, con personas atrapadas en los surtidores de combustible sin poder pagar la gasolina porque los sistemas de pago no funcionan.​
Los supermercados afectados incluyen Woolworths y Coles, y la mayoría de las tiendas se vieron obligadas a dejar de operar durante el día.​ Las aplicaciones bancarias cayeron, lo que afectó a bancos como NAB, Westpac, ANZ, Commonwealth Bank, Bendigo Bank y Suncorp.​ El operador de trenes de mercancías Aurizon se vio afectado.​ Los trenes regionales en Nueva Gales del Sur en Hunter Line y Southern Highlands Line fueron cancelados o retrasados y la red regional de autobuses y trenes en Victoria operada por V/Line tuvo todas las líneas suspendidas.​​ Los sistemas de algunos hospitales de Ramsay Health Care y Uniting Care se vieron afectados, incluidos el Wesley Hospital y el St Andrews Hospital en Brisbane.​ Sunshine Coast Council fue uno de los varios consejos afectados.​ La venta de entradas en el Estadio Docklands para el partido de la Liga Australiana de Fútbol del viernes por la noche entre los Essendon Bombers y los Adelaide Crows se vio afectada.​
Se recomendó a los victorianos que llamaran al 000 si suena una alarma de incendio o se detecta humo, ya que es posible que algunas alarmas automáticas en los edificios no llamen automáticamente a los servicios de bomberos debido al corte.​
El gobierno australiano celebró una reunión nacional de emergencia para abordar el apagón. Se declaró que se había activado el Mecanismo de Coordinación Nacional y el primer ministro Anthony Albanese dijo: «Entiendo que los australianos están preocupados por la interrupción que se está produciendo a nivel mundial y que afecta a una amplia gama de servicios. Mi Gobierno está trabajando estrechamente con el Coordinador Nacional de Seguridad Cibernética».​​ Más tarde dijo: «No hay ningún impacto en la infraestructura crítica, los servicios gubernamentales o los servicios Triple 0 en esta etapa. El Mecanismo de Coordinación Nacional se activó y se está reuniendo ahora».​