Iré actualizando la noticia cuando la empresa publique el informe detallado que ha prometido para esta semana.

◢Qué ha pasado

mittwald da hosting sobre todo a agencias web. Su servidor MCP (Model Context Protocol, el estándar con el que un asistente de IA se conecta a herramientas externas) permitía que un asistente gestionara el panel de la empresa, mStudio, en nombre del cliente. Según la cronología que ha publicado su director general¹, el atacante probó por primera vez un fallo en ese servidor la noche del 21 de octubre, se movió como un usuario normal por la plataforma los días siguientes y el 27 de octubre lo explotó. La empresa no lo detectó hasta la mañana del 4 de noviembre.

La respuesta fue apagarlo casi todo: el servidor MCP, el acceso a mStudio, SSH, las extensiones y los pedidos. Revocó todos los tokens y las claves de API, bloqueó los proyectos con rastro del atacante y algunos más por precaución, llamó a forenses externos e informó a las autoridades. El 7 de noviembre el panel volvió a funcionar, con la opción nueva de entrar con passkeys. El servidor MCP sigue apagado y la empresa decidirá si vuelve y cómo cuando acabe la investigación.

◢Qué se sabe

◢Qué no se sabe

mittwald no ha explicado cuál era el fallo del servidor MCP. Según The Record³, no está claro si estaba en el código de la empresa o en las librerías de código abierto que usa. Tampoco se sabe cuántos clientes usaban la conexión ni cuántos tokens se robaron, ni quién está detrás. Que hubiera IA es una deducción por la velocidad: un script bien hecho podría dejar el mismo rastro.

◢Por qué importa aunque no seas cliente de mittwald

Esto es lo que pasa cuando conectas un asistente de IA a algo importante. Para que el asistente pueda trabajar por ti, alguien tiene que guardar una credencial con tus permisos, y esa pieza nueva se convierte en una puerta más. Aquí la puerta era el propio servidor MCP del proveedor, no el asistente ni el cliente. Ya lo conté en agentes de IA con demasiados permisos: el problema no es la IA, son los permisos que le das y dónde se quedan guardados.

Es además el segundo caso en pocos días en el que se habla de IA del lado del atacante, después del ataque con 12 agentes de IA a las emergencias de Taipéi. En los dos casos la IA aceleró el trabajo, pero entró por un fallo concreto que ya estaba ahí.

◢Qué hacer

Si eres cliente de mittwald y usabas el servidor MCP, la empresa recomienda²:

1. ▹Cambiar la contraseña de mStudio.
2. ▹Activar el doble factor.
3. ▹Revisar las claves de API, los tokens de proyecto y las claves SSH, y borrar lo que no reconozcas, sobre todo usuarios SSH que no hayas creado tú.
4. ▹Renovar las credenciales de otros servicios que tengas guardadas en tus proyectos, como bases de datos, correo o APIs externas.
5. ▹Avisar a los usuarios de tus proyectos.

Si usas cualquier servidor MCP o conector de IA con tus herramientas, sea de quien sea:

1. ▹Haz una lista de qué asistentes tienen acceso a qué y con qué cuenta.
2. ▹Dales el mínimo permiso posible. Si una tarea solo necesita leer, que no pueda escribir ni borrar.
3. ▹Usa tokens que caduquen y revísalos de vez en cuando. Quita los que ya no uses.
4. ▹Si el proveedor ofrece registros de lo que hace cada token, míralos. En este caso el aviso llegó por un comportamiento raro.

Si quieres que tu equipo use la IA en el trabajo sin abrir puertas como esta, es parte de lo que trabajo en mis formaciones de ciberseguridad e IA.