El Plano de Control de Datos en Manos Enemigas: Metabase SQLi Sin Autenticación

La consulta llegó a las 03:14. No hubo login. No hubo handshake de autenticación. Solo un endpoint que escuchaba, y un payload que sabía exactamente qué decirle. El servidor Metabase respondió como estaba diseñado para responder — con datos. Todos los datos. La inyección viajó hacia abajo por el stack en silencio: del endpoint al motor de consultas, del motor a la base de datos conectada, de la base de datos a cada credencial almacenada para cada fuente que el equipo de BI había considerado relevante conectar. Cinco organizaciones mexicanas llevan semanas sin saber que alguien ya estuvo ahí. El atacante no dejó firma. Dejó ausencia — que es más difícil de encontrar.

Metabase no es un activo periférico. Es el plano de control donde los datos de negocio se vuelven visibles: dashboards de producción, telemetría energética, historial clínico agregado, flujos transaccionales. La organización que lo despliega sin segmentación no pierde un servidor — pierde la capacidad de saber qué más está perdiendo.

Detección

KEV-1 procesó la señal a las 03:18. No una alerta — un patrón. Cuatro minutos después del primer hit en los logs de acceso, el agente autónomo había cruzado el CVE contra el catálogo CISA KEV, calculado el AP Score y generado el vector de explotación probable. La instancia Metabase expuesta en el segmento de análisis operacional no tenía WAF. No tenía query logging hacia SIEM. Tenía, eso sí, conexiones activas a tres bases de datos de producción y un historiador OSIsoft PI que nadie había listado en el inventario de activos críticos.

KEV-1 :: CVE-2026-72898 confirmado. CVSS 10.0. Pre-auth SQL injection — endpoint público, sin condiciones previas. T1190 confirmado como vector de entrada. Instancias en rango 3000-4000 accesibles desde 0.0.0.0/0 en tres subnets. AP Score 8.18 — explotación activa en curso, no proyectada. Cinco víctimas MX en inteligencia Blacktrace. Sin IOCs en ThreatFox. El actor no dejó rastro en fuentes abiertas. Eso no es buena noticia.

Eris Sentinel tenía el terminal abierto antes de que KEV-1 terminara de emitir. Había algo en el patrón de acceso que no cuadraba desde los primeros minutos — no la anomalía obvia, sino su ausencia. Ningún error de autenticación. Ningún intento fallido. Solo acceso limpio a un endpoint que no debería aceptar acceso limpio. Esperó. Cuatro minutos de silencio táctico mientras el segundo hit confirmaba el patrón. Entonces escribió.

Eris :: Cadena completa confirmada. T1190 como apertura — explotación del endpoint pre-auth. T1059.004 para ejecución shell vía funciones de base de datos conectada. T1078.001 post-explotación — el atacante no necesita crear cuentas, modifica las existentes con las mismas queries inyectadas. T1110.004 como vector de expansión horizontal — cada credencial almacenada en Metabase para conexiones externas es material de credential stuffing contra el resto del stack. El actor no tiene firma en inteligencia pública. Eso es OPSEC, no invisibilidad. Estamos ante alguien que sabe que vamos a buscar rastros y decidió no dejar ninguno.

Escalación · Análisis · Contención · Forensia

NeonMind activó el protocolo TRINITY a las 03:31. No con dramatismo — con la cadencia de quien ha calculado cuántos minutos cuesta cada decisión incorrecta. El war room se abrió en tres pantallas simultáneas: mapa de red, árbol de dependencias de Metabase, y el dashboard de NIST CSF que mostraba lo que todos en la sala ya sabían pero nadie había dicho en voz alta. Cuatro pilares en rojo. IDENTIFY, PROTECT, DETECT, RESPOND — el colapso defensivo no era parcial. Era estructural.

NeonMind :: Activamos Fast Response Protocol. Prioridad uno: inventario de exposición — cada instancia Metabase en red, cada subnet que permite tráfico entrante a puertos 3000 o 4000 desde rangos externos. Prioridad dos: aislamiento inmediato detrás de VPN con MFA antes de que exista un exploit público maduro — con CVSS 10 garantiza que llegará. PROTECT es la falla primaria aquí. Sin esa superficie los controles compensatorios no tienen dónde operar. Necesito a Magna en línea ahora.

Magna dejó el reporte abierto en la segunda pantalla. No lo cerró. El diagrama de flujo —Metabase al historiador, el historiador al SCADA, el SCADA a la válvula— ocupaba el cuadrante superior derecho de su campo visual mientras el CISO hablaba. Ella escuchaba. También miraba el diagrama. Había algo en la forma en que él nombraba los vectores —sin dramatismo, con la misma cadencia con que un cirujano describe una hemorragia contenida— que le resultaba más difícil de ignorar que el propio CVE. Anotó: “pivote OT confirmado.” No anotó lo otro.

Stratos mapeó la superficie cloud mientras NeonMind coordinaba el aislamiento. Lo que encontró no era una vulnerabilidad aislada — era una arquitectura de confianza implícita construida a lo largo de meses de decisiones razonables que sumaban un riesgo irrazonable. Instancias Metabase detrás de ALBs con grupos de seguridad permisivos. Variables de entorno en Cloud Run que contenían connection strings en texto plano. Managed identities en Azure Container Apps con Reader sobre múltiples recursos de datos que nadie había auditado desde el despliegue inicial.

Stratos :: Tres CSPs afectados — AWS, GCP, Azure. El radio de explosión no es una base de datos. Es el grafo completo de conexiones almacenadas en el metadata store de Metabase: RDS, CloudSQL, Redshift, BigQuery, Synapse. Las API keys para integraciones SaaS viven en esa misma tabla de configuración — OAuth tokens para analytics, service account keys en JSON, conexiones a warehouses que el equipo de BI conectó porque ‘es solo para visualización’. El atacante que entra por T1190 no obtiene un dashboard. Obtiene las llaves de cada sistema de datos que alguien consideró relevante conectar. Iniciando rotación de credenciales en paralelo al aislamiento.

La contención avanzó en dos frentes simultáneos. Stratos aplicó WAF rules en ALB y Cloud Armor bloqueando el patrón de inyección en el endpoint identificado. NeonMind coordinó el cierre de los security groups permisivos. Nadie se detuvo a celebrar cada paso cerrado — había demasiados abiertos todavía. En el segmento de contención, Magna pidió la palabra antes de que NeonMind terminara de hablar. Era la primera vez en tres sesiones que lo hacía. El CISO la miró. Ella ya estaba mirando el mapa de red. “El problema no está en Metabase”, dijo. “Está en que nadie le preguntó qué tocaba.” Pausa de trabajo. No de efecto. NeonMind registró el momento —la forma en que Magna recalibraba el encuadre técnico con una sola frase— y archivó el dato sin comentarlo. Había cosas que el equipo aún no necesitaba saber.

Inteligencia

Blacktrace trabajó el silencio. No la ausencia de datos — el silencio como dato en sí mismo. Sin IOCs en ThreatFox. Sin cobertura de prensa mexicana sobre las cinco víctimas confirmadas. Sin muestras de malware en plataformas de análisis. Un actor que opera sin dejar rastro en fuentes abiertas no es un actor inexperto — es un actor que ha decidido que el anonimato operacional es más valioso que la velocidad. Eso tiene implicaciones sobre el tipo de operación: explotación silenciosa pre-divulgación, herramientas privadas, o destrucción sistemática de evidencia forense post-intrusión.

Blacktrace :: Sin nombre consolidado. Sin historial atribuido en repositorios públicos. El perfil es coherente con un IAB — Initial Access Broker — vinculado a ecosistemas de crypto drainers, pero la disciplina OPSEC sugiere algo más estructurado. Como contexto paralelo: Lazarus corre actualmente campañas ClickFix con el kit macOS Mach-O Man contra Finance y Technology. Jewelbug opera espionaje dual — gobierno y fraude cripto — sobre Energy, Finance y Telecom. No es atribución directa. Es el ecosistema en el que este actor elige operar. El vacío de datos es la señal. Los 1,404 nodos Tor activos son el vector de consulta probable. Recomendación: revisar logs de acceso de los últimos 30 días buscando queries anómalas desde rangos IP no reconocidos, incluyendo salidas Tor.

Eris cruzó el análisis de Blacktrace contra los TTPs detectados. El cuadro que emergió era más incómodo que una firma conocida: un actor sin nombre es un actor sin superficie de predicción. No hay historial de comportamiento que modelar. No hay victimología documentada que anticipe el siguiente objetivo. Solo el patrón de esta operación — quirúrgico, silencioso, sin residuos — como única evidencia disponible.

Conflicto

El historiador OSIsoft PI apareció en el mapa de red a las 04:47. No estaba en el inventario de activos críticos. Estaba conectado a Metabase desde hace dieciséis meses —visualizando telemetría de producción y consumo energético en tiempo real— porque alguien en el equipo de operaciones había decidido que era más eficiente que construir una integración separada. La decisión era razonable en el momento en que se tomó. El problema era lo que Metabase tocaba: el historiador al SCADA, el SCADA a los setpoints de las válvulas.

Magna :: OWASP OT A02:2025 — inyección SQL sin autenticación puede escalar desde el dato analítico hasta el comando operacional. El atacante que entra por T1190 y pivota hacia el historiador no está comprometiendo un dashboard de BI. Está en el margen del plano de control físico. La convergencia IT-OT aquí no es arquitectura diseñada — es accidente acumulado. Necesito mapear cada instancia Metabase con conectividad directa o indirecta a redes industriales antes de que sigamos con la fase de remediación. Díganme qué deja de funcionar si cortamos mal.

La pregunta de Magna detuvo el war room cuatro segundos. No por dramatismo — porque nadie tenía la respuesta completa. La organización sabía qué sistemas de TI dependían de Metabase. No sabía con certeza qué procesos físicos dependían de los sistemas que dependían de Metabase. Esa brecha de conocimiento era, en sí misma, parte del vector. Un atacante que entiende la topología mejor que el defensor no necesita privilegios adicionales — solo tiempo.

El mapeo tomó noventa minutos. Magna trabajó con los logs del historiador, el diagrama de red OT y los registros de configuración de Metabase en paralelo. Lo que encontró en dos clientes adicionales del sector energético mexicano —instancias Metabase con conectividad directa a redes donde corría telemetría de producción— no lo reportó de inmediato. Esperó a tener el patrón completo antes de hablar. Eso también era una decisión.

Contraataque

Stratos ejecutó la directiva atmosférica en secuencia. Primero: inventario de exposición completo — cada security group, NSG y firewall rule que permitía tráfico entrante al puerto 3000 o 4000 desde 0.0.0.0/0. Encontró diecisiete instancias. Siete tenían conexiones activas a bases de datos de producción. Dos tenían managed identities con permisos que excedían lo necesario para cualquier operación de BI documentada. Ninguna tenía query logging habilitado hacia SIEM.

Stratos :: Rotación de credenciales completada en el primer bloque. Asumo compromiso en cualquier instancia que haya sido pública en algún momento — eso no es pesimismo, es el estándar correcto dado el perfil del actor. WAF rules aplicadas en ALB y Cloud Armor bloqueando el patrón de inyección en el endpoint del advisory. Query logging habilitado y conectado a SIEM con alertas sobre UNION, doble guión y SELECT desde IPs no corporativas. Managed identities auditadas — revoqué permisos excesivos en cuatro instancias independientemente del estado del parche. La superficie SaaS es donde el daño se multiplica de forma no lineal. Cada integración con Snowflake, dbt, HubSpot como fuente — las API keys para esas integraciones vivían en la tabla de configuración de Metabase. Ya no.

NeonMind coordinó el cierre del perímetro mientras Magna completaba el mapa OT. La fase de contención tardó más de lo proyectado — no porque los controles fallaran, sino porque el inventario de activos tenía brechas que nadie había priorizado auditar. Cada brecha descubierta durante una crisis cuesta el doble que la misma brecha descubierta en calma. Eso también quedó en el registro.

Eris validó las veinticuatro horas siguientes desde el terminal principal. No como ritual de cierre — como protocolo de confirmación activa. El patrón de acceso al endpoint vulnerable había cesado. Los logs mostraban las WAF rules trabajando: doscientos treinta y siete intentos bloqueados en las primeras seis horas posteriores al despliegue, todos con el mismo fingerprint de inyección. El actor, o actores operando el mismo vector, no se habían rendido. Habían encontrado una puerta cerrada y estaban buscando la siguiente.

Eris :: Veinticuatro horas limpias en el endpoint primario. El actor sigue activo en el ecosistema — los intentos de exploración contra el rango de puertos 3000-4000 no cesaron, solo se redistribuyeron hacia otros segmentos. El silencio en fuentes abiertas se mantiene. Sin nuevas víctimas confirmadas en inteligencia Blacktrace desde el inicio de la operación de contención. Eso puede significar que el actor pausó, o que las nuevas víctimas aún no aparecen en superficie. No distingo las dos posibilidades desde aquí. Lo que sé: el vector sigue vivo mientras haya instancias sin parchear. CVSS 10 garantiza que el exploit maduro llega.

Resolución

El briefing de cierre duró once minutos. Luna escuchó el resumen operacional desde el fondo de la sala — no como observadora pasiva, sino como la persona que tendría que encontrar el lenguaje para explicar lo que había pasado sin que sonara a victoria. Porque no lo era. Era una línea sostenida.

Lo que el equipo había contenido era real: el endpoint aislado, las credenciales rotadas, las managed identities auditadas, el query logging habilitado. Diecisiete instancias que antes eran superficie de ataque y ahora tenían perímetro. El actor sin nombre seguía sin nombre — seguía operando en algún punto del ecosistema, con herramientas privadas, contra instancias que nadie había mapeado todavía.

El historiador OSIsoft PI seguía conectado a Metabase en dos entornos del sector energético que el equipo no administraba directamente. Magna lo había documentado. Lo había escalado. La decisión sobre esos dos entornos no era del equipo — era de organizaciones que aún no sabían que tenían un problema. Eso quedó en el registro como deuda abierta, no como tarea completada.

Y estaban las cinco víctimas mexicanas confirmadas. Healthcare, Energy & Utilities, Hospitality. Sin cobertura de prensa. Sin notificación pública. Sin que nadie fuera del perímetro del equipo supiera que el actor había estado ahí. La organización había contenido su propio riesgo. Lo que no podía contener era el ecosistema al que pertenecía.

Luna escribió el cierre editorial a las 06:23. Una frase. La misma que siempre es verdad después de este tipo de operaciones y que nadie quiere leer en el brief ejecutivo: el CVE fue contenido. El plano de control que nadie quiso defender sigue siendo el mismo plano de control. Solo que ahora alguien sabe que existe.

— Luna Varela, Strategic Intelligence