Cuando un fallo web silencia las alertas de terremoto: la lección de Japón tras la crisis de PHP

Casi nadie piensa en el lenguaje de programación que hay detrás de las webs que usa. Esta semana, millones de personas en Japón tuvieron motivos para hacerlo. Dos fallos críticos en PHP, el veterano lenguaje de servidor que aún mueve buena parte de internet, desataron una carrera mundial por aplicar parches, y uno de sus efectos llegó a un lugar inesperado: las alertas de terremoto en los móviles.

Un sistema de alerta en pausa

SoftBank, la tercera operadora móvil de Japón, suspendió sus mensajes de alerta de emergencia a primera hora del viernes mientras sus ingenieros protegían los sistemas expuestos. A los clientes de SoftBank y de sus marcas económicas Y!mobile y LINEMO se les avisó de que, hasta que termine el mantenimiento el lunes, sus teléfonos no sonarían ante alertas tempranas de sismo, avisos de tsunami ni órdenes de evacuación. La compañía les recomendó usar otra aplicación de alertas mientras tanto.

En un país donde el pitido del móvil segundos antes de un temblor forma parte de la vida diaria, es una decisión llamativa. Muestra hasta qué punto la tecnología web corriente se ha integrado en infraestructuras que se suponen hechas a medida y aisladas. Y demuestra que los operadores consideran ya más peligroso un servidor sin parchear que unos días sin un canal de seguridad clave.

Por qué este fallo es distinto

Los investigadores sitúan los dos fallos en el propio lenguaje y no en un producto concreto, por lo que afectan a versiones publicadas durante casi una década. Un atacante podría ejecutar código en un servidor sin iniciar sesión. Los parches llegaron a mitad de semana, pero para entonces los intentos de explotación se contaban por millones. Bancos, ferrocarriles, aerolíneas y organismos públicos de Japón y Europa desconectaron servicios por precaución. Hasta ahora no se ha confirmado ninguna intrusión.

Hay una ironía que marcará el debate: los fallos pasaron años inadvertidos y se descubrieron con ayuda de herramientas de IA. La misma tecnología que abarata encontrar debilidades también abarata que los delincuentes las busquen a gran escala.

La respuesta de Tokio: atacarse primero a sí mismo

El Gobierno japonés creará un equipo que usará IA para simular ciberataques contra los sistemas del país y localizar puntos débiles antes que nadie. Es un giro de la reacción a la prueba continua, habitual en las grandes tecnológicas pero menos común en la administración pública.

Para el resto de Asia, el episodio plantea preguntas prácticas:

• ¿Qué servicios críticos dependen de software web genérico que nadie ha inventariado?
• ¿Tienen los canales de emergencia un respaldo que no comparta el mismo punto débil?
• ¿Pueden los pequeños municipios y hospitales parchear tan rápido como las grandes operadoras?

Las respuestas variarán de Seúl a Yakarta, pero la lección es común: la resiliencia no consiste solo en muros sólidos, sino en saber qué hay detrás. Las operadoras japonesas probablemente restablecerán sus alertas en pocos días. Lo difícil será lograr que el próximo fallo invisible ni siquiera tenga la oportunidad de apagarlas.