Black Hat USA 2026: dos argentinos descubrieron cómo hackear antenas que interconectan redes a kilómetros de distancia
Reportaron dos fallas críticas en antenas Ubiquiti AirMax. Además: un balance negativo de la edición de este año de Black Hat en relación con 2024 y 2025.
Dark News es un resumen semanal de noticias de ciberseguridad, privacidad y hacking. Los temas están producidos y seleccionados por Juan Brodersen según estos criterios de edición.
🎲 Envío desde Las Vegas 🎲
Presentado por:
7
ago
⚡TL;DR
El día de cierre de Black Hat me permitió sacar algunas ideas sobre una conferencia que, en relación al año pasado, la vi peor.
Primero, algo raro ocurre con la dinámica de la conferencia, porque las dos keynotes principales no fueron buenas. Transcurrieron entre algunos casos concretos de uso de agentes de IA y sus consecuencias y datos que se presentaban como disruptivos y ya tienen unas semanas dando vueltas (como este del récord de vulnerabilidades de Microsoft).
Si pensamos en las keynotes de los últimos dos años, que eran en un microestadio en el Mandalay Bay y que tuvieron a figuras como Moxie Marlinspike, fundador de Signal, la diferencia de esta edición 2026 fue muy grande. Esta vez fueron al fondo del Business Hall, en un espacio menos atractivo y con menos producción.
Un segundo problema es la enorme cantidad de charlas “principales” que hay. Es difícil seguir el ritmo y muchas salas se encontraban semivacías, incluso en casos donde la charla prometía buen material. Hay un exceso de oferta que no parece tener un problema de demanda, sino tenerla dispersa.
Lo que sí se ve es la enorme cantidad de dinero que se está poniendo en la exposición, la zona principal de la conferencia, donde brilla el marketing de los vendors que ofrecen sus servicios. Siempre pienso que, en un mundo donde lo que venden es intangible y hasta aburrido (protección de sistemas), las empresas tienen que ponerse así de creativas:
Desde hace unos años trato de recorrer las exposiciones con un mapa mental para ir pasando por todos los stands, porque es difícil llegar a ver todo. Este año, el stand de XBOW armó una suerte de mini museo informático que tenía verdaderas joyas, incluida una Silicon Graphics original:
Y lo otro que se empieza a palpar es el clima Saas-Pocalypse. Este término lo vengo escuchando en publicaciones especializadas, podcasts (Decoder, el de Nilay Patel de The Verge viene insistiendo mucho en la idea) y significa, básicamente, que el modelo de negocio del software como servicio empieza a estar cada vez más presionado por la inteligencia artificial.
Si un agente puede hacer por sí mismo tareas que hoy requieren entrar a cinco plataformas distintas, completar formularios, mover datos entre aplicaciones o pagar varias suscripciones (enfatizo: pagar varias suscripciones), buena parte de ese ecosistema corre el riesgo de convertirse en una capa innecesaria. Muchas empresas de cyberseguridad venden algo que, lo saben, es reemplazable por este modelo.
Un elemento más de la burbuja, y no de poco peso.
Dato de color y voy con el tema de apertura. En la expo había un stand de Rewards for Justice, el programa de recompensas de seguridad nacional del Departamento de Estado de Estados Unidos. Ofrecen dinero a cambio de información de cibercriminales.
Son los responsables del cartel “de bienvenida” que puso bastante de mal humor a la comunidad hacker desde el lunes, en la cartelera del Horseshoe, punto neurálgico del Strip de Las Vegas:
“Si sos un hacker que quiere romper algo, no hay problema con vos. Si sos uno patrocinado por un Estado, por Irán, Rusia o China, queremos atraparte”, me dijeron. Cuando les pregunté por el posible impacto negativo que pudiera generar la campaña, me dieron la “respuesta PR” por excelencia (no por eso poco efectiva):
No hay tal cosa como la mala publicidad: preferimos que hablen de nosotros por esto antes de que no hablen.
No creo que pueda decir “misterio resuelto”, pero si están acá en Vegas y están leyendo esto, una fuente del programa me dijo que van a tener un stand en DEF CON y que estarán encantados de recibir las consultas que tengan.
Dejo abajo el reportaje de una charla técnica de dos argentinos en uno de los salones principales de Black Hat, publicado en tándem con Clarín.
Mañana vamos con el kick off de DEF CON 34.
✂✂✂
Atención: este posteo es más largo que lo habitual. Si se te corta, podés leerlo online (haciendo clic en el títlo)
✂✂✂
⏰ Substack dice que leer este correo completo lleva 13 minutos
Dark News #216
Black Hat USA 2026: dos argentinos descubrieron cómo hackear antenas que llevan internet a zonas aisladas
Dos investigadores argentinos descubrieron dos vulnerabilidades críticas en equipos inalámbricos de Ubiquiti utilizados para interconectar redes a varios kilómetros de distancia. Las fallas permitían tomar el control de los dispositivos sin conocer una contraseña, sin estar conectado a la red y sin tocar físicamente el equipo: alcanzaba con encontrarse dentro del alcance de la señal y enviarle un mensaje.
El trabajo fue presentado en el escenario principal de Black Hat USA 2026, una de las principales conferencias de ciberseguridad del mundo, por Gastón Aznarez, principal investigador de seguridad de la empresa argentina Faraday Security y Federico Kirschbaum, vicepresidente de investigación de la compañía.
Los equipos analizados pertenecen a la plataforma AirMax, una tecnología de la empresa estadounidense Ubiquiti utilizada para montar enlaces inalámbricos de larga distancia. Aunque habitualmente se los llama “antenas”, en realidad son sistemas de comunicación completos: combinan una antena direccional, una radio, componentes de red y un pequeño sistema operativo. Un combo que tiene todo lo necesario para llamar la atención de un hacker.
Estas antenas suelen utilizarse para llevar internet a lugares donde desplegar fibra óptica o cable resulta demasiado costoso o directamente inviable, como ocurre en zonas rurales o serranas de la Argentina. Pequeños proveedores las instalan en techos, torres o puntos elevados para crear enlaces inalámbricos de varios kilómetros: una antena envía la conexión desde un punto que ya tiene acceso a internet y otra la recibe en una vivienda, un campo o una localidad alejada.
“En la zona donde vivo [Córdoba] no hay fibra óptica, por lo que existen varios proveedores de internet inalámbrico. Como resultado, una gran cantidad de casas tienen una de estas antenas instalada en el techo, probablemente sin que sus habitantes sepan exactamente qué es o cómo funciona”, explicó Aznarez en diálogo con Clarín.
A diferencia de Starlink, que conecta cada terminal directamente con una red de satélites, estos equipos establecen enlaces terrestres entre antenas que deben tener una línea de visión relativamente despejada.
Las vulnerabilidades afectaban siete familias de productos, entre ellas airMAX AC, airMAX M, airFiber y GigaBeam. En total, abarcan más de 50 modelos que todavía se comercializan.
Según los investigadores, los errores habrían estado presentes desde las primeras generaciones de la tecnología AirMax. Ubiquiti fue notificada por Faraday en diciembre de 2025 y publicó el primer parche en menos de diez días. Los equipos que instalaron las actualizaciones correspondientes ya se encuentran protegidos contra los ataques demostrados durante la investigación.
Qué son los enlaces inalámbricos de larga distancia
Para entender el alcance del descubrimiento primero hay que comprender qué hacen estos equipos. En una casa conectada mediante fibra óptica, los datos viajan por un cable que llega hasta el domicilio. En muchas regiones rurales, barrios periféricos o lugares donde desplegar fibra es demasiado caro, esa conexión puede realizarse mediante ondas de radio.
Un proveedor instala una antena en un punto elevado y coloca otra en el techo de la casa del cliente. Ambas deben apuntarse entre sí, como si fueran dos reflectores enfrentados. La señal transporta los datos por el aire y permite ofrecer acceso a internet sin tender un cable entre los dos puntos. Este tipo de compañías se conoce como WISP, por la sigla en inglés de proveedor inalámbrico de servicios de internet.
La tecnología también puede utilizarse para conectar edificios de una misma empresa, sucursales, depósitos o sistemas de cámaras de vigilancia. Una organización puede, por ejemplo, colocar cámaras en un predio alejado y transmitir las imágenes hasta una sala de control sin instalar kilómetros de cableado.
La investigación presentada no implica, vale aclarar, que todos los que tengan uno de estos dispositivos hayan sido atacados ni que sus redes estén actualmente comprometidas. El descubrimiento demuestra que los equipos sin actualizar podían recibir una instrucción maliciosa a través de la señal inalámbrica y entregar el control de su sistema operativo.
Un ataque sin contraseña y desde kilómetros de distancia
La presentación fue titulada Root From Kilometers Away, algo así como “obtener control total desde kilómetros de distancia”. En los sistemas basados en Linux, “root” es la cuenta con el máximo nivel de privilegios, y puede compararse con un “modo Dios” de una computadora: tiene permiso para modificar la configuración, instalar programas, detener procesos y controlar prácticamente todas las funciones del equipo.
“En términos prácticos, un atacante podía tomar control total del dispositivo sin conocer la contraseña, sin estar conectado a la red y sin tener acceso físico. Solo necesitaba estar dentro del alcance de la señal y enviar una trama inalámbrica especialmente diseñada”, explicó Dan Borgogno, investigador de seguridad de Faraday, que apoyó la investigación.
Una trama es, en términos simples, un pequeño paquete de información que se transmite por el aire. Los dispositivos reciben constantemente esta clase de mensajes para detectar otros equipos, establecer conexiones y organizar la comunicación.
Las vulnerabilidades aparecían cuando una antena recibía y procesaba una trama manipulada por el atacante. No era necesario ingresar a una página de administración, conocer el nombre de la red ni robar previamente las credenciales de un operador.
El ataque tampoco dependía de estar a pocos metros del objetivo. Estos dispositivos están diseñados precisamente para transmitir información a grandes distancias. Con el equipamiento adecuado y una línea de visión razonablemente despejada, una señal puede llegar desde kilómetros de distancia.
Un protocolo que parecía cifrado, pero no lo estaba
Para encontrar las vulnerabilidades, los investigadores tuvieron que estudiar un sistema sobre el que existía muy poca documentación pública. AirMax es una extensión desarrollada por Ubiquiti sobre el estándar Wi-Fi y su funcionamiento interno es propietario.
El equipo hizo ingeniería inversa, una técnica muy común entre hackers que consiste en desmontar lógica y técnicamente un sistema para comprender cómo funciona, aunque su fabricante no publique el código fuente ni una descripción completa de cómo opera. Tuvieron que reconstruir el lenguaje utilizado por los equipos para comunicarse y analizar la parte del software que procesa los datos recibidos directamente por radio.
Durante ese proceso, los investigadores estudiaron los mensajes que intercambiaban los dispositivos y descubrieron que algunos campos que parecían estar cifrados no lo estaban.
La investigación también destacó que algunas de las plataformas todavía utilizaban un núcleo de Linux con alrededor de 17 años de antigüedad. La edad de un componente no demuestra por sí sola que sea inseguro: muchos sistemas antiguos pueden mantenerse protegidos mediante correcciones y controles adicionales. Pero sí vuelve más difícil su mantenimiento y aumenta la importancia de someterlos a auditorías.
Cuál es el riesgo y qué hacer para mitigar un posible ataque
El principal riesgo actual se concentra en los dispositivos que no hayan instalado las actualizaciones publicadas por Ubiquiti. En muchos casos, estas antenas se configuran una vez y quedan funcionando durante años. Como están montadas en techos, torres o lugares de difícil acceso, pueden pasar inadvertidas mientras continúen prestando servicio.
Además, algunas redes mantienen los dispositivos separados de internet como una medida de seguridad. Ese aislamiento reduce ciertos riesgos, pero también puede impedir que el equipo compruebe automáticamente si existe una nueva versión de su firmware, el software interno que controla su funcionamiento.
“Hay infraestructuras que llevan años funcionando sin inconvenientes. Es fácil que la actualización se postergue o directamente se olvide”, explicó Kirschbaum. Ubiquiti cuenta con una plataforma de administración centralizada que permite actualizar los equipos de manera remota. Sin embargo, el proceso depende de que cada proveedor, empresa o responsable de la red supervise sus dispositivos y aplique las nuevas versiones.
La principal medida de protección es actualizar: Ubiquiti corrigió las fallas en versiones nuevas de airOS para las distintas familias afectadas. Sin embargo, esa tarea no siempre depende del usuario de la vivienda. En muchos enlaces rurales, la antena es instalada y administrada por el proveedor de internet, que debe aplicar la actualización.
El cliente puede consultar quién gestiona el equipo y pedirle al proveedor que confirme que utiliza una versión corregida.
En América Latina, los enlaces inalámbricos tienen un papel relevante por la extensión territorial, las zonas rurales y la falta de fibra óptica en distintas regiones. Esto no significa que los equipos instalados en la región sean necesariamente más inseguros, sino que existe una gran cantidad de infraestructura que puede depender de tareas manuales de mantenimiento.
La exposición también dejó en evidencia la naturaleza de cualquier comunicación inalámbrica. Cuando un dispositivo transmite por radio, la señal puede ser recibida por otros equipos que se encuentren dentro de su alcance.
De hecho, el año pasado, un investigador mostró en DEF CON, la conferencia hacker más grande del mundo, cómo podía acceder a comunicaciones de radio de aviones y helicópteros sin tener que hackear nada, simplemente usando el equipo adecuado para escuchar las conversaciones. En la era de la inteligencia artificial, donde se puede clonar una voz en minutos, esto representa un riesgo grave.
La seguridad detrás de cajas negras
El caso vuelve a poner el foco sobre los denominados sistemas embebidos: dispositivos que incluyen una computadora en su interior, pero que no se presentan ante el usuario como una PC tradicional. Routers, cámaras, televisores, autos, antenas y equipos industriales pertenecen a esta categoría.
Muchos permanecen encendidos durante años y cumplen funciones críticas, aunque reciben menos análisis público que sistemas operativos como Windows, Android o iOS. “Existe muy poca visibilidad sobre su funcionamiento interno. Esa falta de transparencia dificulta enormemente la investigación de seguridad”, señaló Kirschbaum.
“Este caso es un buen ejemplo: equipos que llevan más de 15 años en funcionamiento tienen una vulnerabilidad crítica que nadie había identificado. No necesariamente porque fuera imposible de encontrar, sino porque investigar protocolos propietarios, firmware cerrado y hardware poco documentado requiere mucho tiempo, conocimiento especializado y acceso a los dispositivos”, cerró el investigador.
Además de revelar las dos vulnerabilidades, el equipo desarrolló herramientas de código abierto para identificar y analizar redes que utilizan AirMax. El objetivo es que otros especialistas puedan continuar estudiando una infraestructura extendida, pero hasta ahora poco explorada.
La investigación fue un ejemplo más de un problema frecuente en la tecnología que opera fuera de la vista de los usuarios: equipos esenciales que permanecen durante años en funcionamiento, sostenidos por protocolos cerrados y con pocas auditorías independientes.
El sello argentino se sintió fuerte en uno de los escenarios principales de Black Hat, con una investigación de alto nivel técnico que aporta a la detección de fallas y a su corrección.
Lejos de la imagen hollywoodense de un hackeo remoto con resultados devastadores, la solución apareció como algo más terrenal: actualizar a la última versión del sistema es una protección efectiva que, curiosamente, pocos tienen en cuenta a la hora de manejar infraestructura crítica.
Este newsletter fue escrito por un humano. Se usó inteligencia artificial generativa para resumir textos, detectar errores de redacción, concordancia y typos. Aun así, puede contener imprecisiones.
Para cualquier comentario, corrección o sugerencia, podés responder este mail. Si tenés información sobre un hackeo, me podés contactar por acá o por mis redes.
Si te sirvió, compartilo: tu recomendación orgánica es mucho más valiosa que cualquier campaña publicitaria.
