Pentesting automático llega a la contabilidad: PT Dephaze compromete 1C como un auténtico hacker

Positive Technologies añadió a PT Dephaze una comprobación básica de 1C. El sistema automático de pruebas de penetración ahora intenta acceder a 1C:Enterprise desde la red interna de la empresa, busca configuraciones débiles y verifica si los nombres de usuario y contraseñas encontrados anteriormente permiten entrar en la aplicación. Para las empresas el riesgo es especialmente sensible, ya que por 1C suelen pasar la contabilidad, las finanzas, las compras, los suministros y la gestión del personal.

PT Dephaze realiza una prueba de penetración automatizada, es decir, reproduce automáticamente las acciones de un atacante real en un entorno controlado. Un escáner habitual puede señalar una vulnerabilidad aislada o un error de configuración, mientras que una prueba de penetración va más allá y verifica si es posible combinar varios puntos débiles en una cadena de ataque funcional.

Al comprobar 1C, el sistema primero determina si la aplicación es accesible por la red. A continuación, PT Dephaze verifica si es posible obtener la lista de usuarios sin autenticación, detecta cuentas con contraseñas vacías y prueba iniciar sesión con las credenciales obtenidas en etapas anteriores del ataque. Por ejemplo, la contraseña de otro servicio corporativo puede abrir el acceso a 1C si un empleado usó la misma combinación en varios sistemas.

La escala del problema potencial es grande. Se estima que más de 1,6 millones de organizaciones usan 1C:Enterprise. Más de 11 000 empresas trabajan con 1C:ERP, y en sistemas de ese tipo se almacenan no solo datos contables, sino también información sobre compras, finanzas, contrapartes, suministros y empleados.

Los desarrolladores también mejoraron nueve escenarios de ataque sobre Active Directory, FreeIPA, Windows, Linux y Unix. PT Dephaze ahora muestra en la cadena de ataque las direcciones IP y las credenciales que se utilizaron en las distintas etapas. Las recomendaciones son más concretas: el sistema indica configuraciones, comandos y acciones que ayudan a cerrar la ruta encontrada. El ámbito de la comprobación se puede ampliar directamente durante la prueba, y el análisis de contraseñas ayuda a detectar debilidades en la política de contraseñas.

La nueva versión admite la instalación en Debian 13 Trixie y Astra Linux 1.8.5. Positive Technologies planea ampliar la comprobación de 1C y añadir escenarios para otras aplicaciones corporativas.

Al mismo tiempo, no se ha informado de una nueva vulnerabilidad en el propio código de 1C:Enterprise, ni hay datos sobre ataques reales que hayan aprovechado los problemas mencionados. Por ahora, PT Dephaze comprueba principalmente errores de configuración, autenticación débil y la posibilidad de escalar un ataque ya iniciado hasta obtener acceso a 1C.

Las estadísticas de 2025 muestran que el 64% de los ataques que la empresa clasifica como exitosos terminaron con la fuga de información confidencial. Con mayor frecuencia los atacantes robaron secretos comerciales y credenciales, en un 19% de los casos para cada categoría. Estas cifras describen el panorama general de los ciberataques y no se refieren específicamente a los sistemas 1C.