00:00San Francisco sigue poniendo disquetes para arrancar su metro y necesita hasta 2034 para
00:07dejarlos atrás. El metro ligero de San Francisco sigue utilizando disquetes de 3.5 pulgadas para
00:15cargar manualmente el software de su Automatic Train Control System. Una tecnología instalada
00:23en 1998 que opera con la misma fiabilidad que cuando se implementó. La entidad de transporte
00:32SFMTA aprobó en 2024 un contrato con Itachi Rail por 212 millones de dólares, dentro de un plan de
00:41700 millones, para reemplazar este sistema obsoleto con uno basado en comunicaciones inalámbricas,
00:50Wi-Fi y redes móviles. La transición completa está programada para finalizar en 2034, siguiendo este
01:00cronograma. 2027. Inicio de las pruebas de la nueva tecnología. 2028. Comienzo de la sustitución del
01:10sistema en las líneas subterráneas. Posteriormente, modernización de las líneas que circulan a nivel
01:17de calle. La demora en la modernización se debe a la complejidad de actualizar infraestructura crítica
01:25sin interrumpir el servicio diario. Así como a la degradación física de los disquetes y la escasez
01:33de personal capaz de mantener los sistemas legados. ¿Qué riesgos de ciberseguridad implica el uso de
01:40disquetes? El uso de disquetes en sistemas críticos como el de SFMTA plantea riesgos de ciberseguridad
01:49que son, paradójicamente, tanto una ventaja como una vulnerabilidad. Ventaja. El AirGap, al no tener
01:59conexión de red, el sistema es inmune a ataques remotos. Como señaló un experto de Pentest Partners,
02:07si el disquete es la única interfaz. La única forma de introducir malware es a través de ese
02:15disquete. Esto reduce drásticamente la superficie de ataque externa. Riesgos principales. Vector físico
02:24concentrado. Todo el riesgo se condensa en un único punto de entrada. Un solo disquete comprometido,
02:31por un insider, ingeniería social o una cadena de suministro corrupta, puede brear el aislamiento.
02:40El gusano Stuxnet demostró exactamente este patrón. Llegó a una instalación nuclear aislada
02:47mediante un dispositivo de almacenamiento físico. Sin controles modernos. Los sistemas legados no pueden
02:56ejecutar antivirus, no reciben parches de seguridad, no verifican firmas digitales en las actualizaciones
03:03y carecen de cifrado. Si un disquete no está protegido contra escritura, un atacante con acceso
03:11al sistema puede inyectar un gusano que se propague al reutilizarse el disco. Sin trazabilidad ni
03:19autenticación. No hay registro de quién insertó qué disco ni cuándo, ni mecanismos de autenticación
03:27más allá del acceso físico. Riesgo de exfiltración. Los datos en el disquete no están cifrados. Si se
03:36pierde o roba, la información queda expuesta. Vulnerabilidades residuales en el código. El caso
03:44de la vulnerabilidad Venom, 2015, mostró que incluso el código de controladores de disquetes
03:51virtuales, obsoleto desde 2004, podía contener buffer overflows explotables que permitían ejecutar
04:00código con privilegios de administrador en la máquina host. En resumen, el disquete elimina el riesgo
04:08remoto pero concentra todo el riesgo en el plano físico. La seguridad depende enteramente de los
04:16procedimientos de control de acceso, escaneo de medios y gestión de personal, controles que,
04:23en sistemas de los 90, suelen ser manuales y difíciles de auditar.
