El gigante ataque de ransomware contra Kaseya podría haber sido completamente evitable. Antiguo personal hablando a Bloomberg afirman que advirtieron a los ejecutivos sobre fallas de seguridad «críticas» en los productos de Kaseya varias veces entre 2017 y 2020, pero que la compañía no las abordó realmente. Varios miembros del personal renunciaron o dijeron que fueron despedidos por inacción.

Según los informes, los empleados se quejaron de que Kaseya estaba usando código antiguo, implementaba un cifrado deficiente e incluso no aplicaba parches de forma rutinaria al software. El Virtual System Administrator (VSA) de la compañía, la herramienta de mantenimiento remoto que cayó presa del ransomware, supuestamente estaba plagado de suficientes problemas que los trabajadores querían que se reemplazara el software.

Un empleado afirmó que fue despedido dos semanas después de enviar a los ejecutivos un informe de 40 páginas sobre problemas de seguridad. Otros simplemente se fueron frustrados con un enfoque aparente en nuevas funciones y versiones en lugar de solucionar problemas básicos. Kaseya también despidió a algunos empleados en 2018 a favor de la subcontratación del trabajo a Bielorrusia, lo que algunos miembros del personal consideraron un riesgo de seguridad dadas las asociaciones de los líderes locales con el gobierno ruso.

Kaseya se ha negado a comentar.

La empresa ha mostrado signos de querer solucionar los problemas. Solucionó algunos problemas después de que investigadores holandeses señalaran vulnerabilidades. Sin embargo, no solucionó todo, y no pasó mucho tiempo antes de que firmas de analistas como Truesec encontraran fallas evidentes en la plataforma de Kaseya. Esta no fue la primera vez que Kaseya se enfrentó a problemas de seguridad. Según los informes, el software de la compañía se utilizó para lanzar ransomware al menos dos veces entre 2018 y 2019, y no reconsideró significativamente su estrategia de seguridad.

Por muy precisos que sean los informes, la situación de Kaseya no sería única. Personal en Vientos solares, Gorjeo y otros han descrito fallas de seguridad que no se solucionaron a tiempo. Eso solo empeora la situación, eso sí. Sugiere que partes clave de la infraestructura en línea estadounidense han sido vulnerables debido a la negligencia, y que estos errores básicos son demasiado comunes.